观察｜跨境数据流动管理如何落地？临港新片区出台办法先行先试
从全球范围来看，跨境数据如何流动尚未形成共识。然而，各经济体在促进经济发展、维护数据信息安全等方面如何平衡？这已日益成为摆在眼前的重大挑战。
在过去的几年时间里，中国针对跨境数据流动的解决方案也在不断推进中。2023年12月举行的中央经济工作会议即指出，必须坚持依靠改革开放增强发展内生动力，并强调了包括“深化重点领域改革”“扩大高水平对外开放”在内的多项重点工作，提出的一系列具体任务即包括 “认真解决数据跨境流动”。
作为我国体制机制创新的“试验田”、产业集聚发展的“增长极”和扩大开放合作的“新高地”，上海临港在探索建立合法安全便利的数据跨境流动机制方面正在有序开展相关工作。
澎湃新闻（www.thepaper.cn）记者从近日于临港新片区召开的国际数据经济产业创新大会上获悉，《临港新片区数据跨境流动分类分级管理办法（试行）》（下称“《管理办法》”正式发布，旨在进一步指导和帮助在新片区范围内注册登记的或在新片区开展数据跨境流动相关活动的企业、事业单位、机构协会和组织等数据处理者。
根据《管理办法》，企业在流通一般数据清单内的数据，需遵循临港新片区管委会的管理要求，通过“临港新片区数据便捷流通公共服务管理平台”进行申请备案后，可自由流动。在此过程中，临港新片区管委会将提供数据跨境流动合规服务和日常监督。
同时，为方便企业在重要数据目录发布后更便捷地申报数据出境安全评估，临港新片区在上海市委网信办的指导下，建立了数据跨境服务中心，作为国内首个设立在一线的服务中心，将为企业提供材料受理、咨询、初审等一系列服务，为新片区企业打造了绿色通道。
临港新片区管委会数据处处长陆森在接受澎湃新闻记者采访时表示，尤其自去年以来，数据跨境流动得到了各方的高度关注，“特别对很多企业来说，数据跨境助力他们开展全球业务，这是非常重要的一个点。”其强调，临港新片区前期在促进数据跨境流动方面积累了很多经验，因此有基础来率先推动一般数据清单和重要数据目录的编制和落地。
临港新片区 视觉中国 资料图
跨境数据分类管理：以企业需求最迫切领域为切入口
近年来，尤其在全球数字贸易和数据经济快速发展的大背景下，数据跨境流动和国际数据合作已经成为各方都高度关注的问题。而在过去的几年里，《数据出境安全评估办法》《个人信息保护认证实施规则》《个人信息出境标准合同办法》等也陆续施行。
2023年8月发布的《国务院关于进一步优化外商投资环境加大吸引外商投资力度的意见》中也明确要探索便利化的数据跨境流动安全管理机制，支持北京、天津、上海、粤港澳大湾区等地在实施数据出境安全评估、个人信息保护认证、个人信息出境标准合同备案等制度过程中，试点探索形成可自由流动的一般数据清单，建设服务平台，提供数据跨境流动合规服务。
2023年11月国务院发布的《全面对接国际高标准经贸规则推进中国（上海）自由贸易试验区高水平制度型开放总体方案》中，在率先实施高标准数字贸易规则方面，首要一项就是数据跨境流动，其中包括按照数据分类分级保护制度，支持上海自贸试验区率先制定重要数据目录。
也就是基于上述相关法规及文件，在上述创新大会上，临港新片区管委会专职副主任唐浩发布了《临港新片区数据跨境流动分类分级管理办法（试行）》。
据介绍，《管理办法》以企业共性需求最迫切的细分领域为切入口，对跨境数据进行分类管理。同时，将跨境数据从高到低依次分为核心数据、重要数据、一般数据3个级别，即核心数据禁止跨境，重要数据形成重要数据目录，一般数据形成一般数据清单。
临港新片区管委会也将探索建立合法安全便利的数据跨境流动机制，对依据本办法开展的数据跨境流动进行日常监督管理，提供数据跨境流动合规服务，指导数据处理者开展数据出境风险自评估。
陆森在接受采访时进一步表示，临港新片区充分依托前期开展数据跨境流动试点积累的经验，遵循“从企业到行业，从案例到清单，从正面到负面”的原则，以行业为维度，以企业数据跨境需求场景为切入口，有序推进一般数据清单和重要数据目录的编制工作。
据悉，对于一般数据清单内的数据，在满足相关管理要求下可自由流动；对于重要数据目录内的数据，可通过临港新片区数据跨境服务中心进行申报材料初验后，向上海市委网信办申报数据出境安全评估。
“通过我们清单化的管理，企业就可以根据清单去识别自身的数据，同时我们在《管理办法》中也提出来，企业也要做好自身数据的分类分级的管理，而且要识别好自身的重要数据，以便更好地融入临港新片区相关的管理体系当中。”
值得一提的是，国际数据经济产业园也已于去年10月在临港正式揭牌。上海市委常委、临港新片区党工委书记、管委会主任陈金山彼时指出，设立国际数据经济产业园，是为了更大力度地推动临港新片区的高水平开放，扛起数据产业安全、高质量发展的大旗，汇聚更多优秀的数据产业企业和资本，大力推动数据经济国际合作和产业发展，为建设数字中国作出临港新片区的特殊贡献。
当时发布的建设方案提出，国际数据经济产业园将建设成为高水平国际数据合作桥头堡、高标准数据跨境制度创新先行区、高质量国际数据产业集聚地和高能级数据流通基础设施新枢纽。到2025年，产业园将重点打造形成10个高能级国际数据合作平台，50个以上数据便捷流动和国际合作创新场景，集聚100家头部企业，达到1000亿元的数据产业规模。
为进一步提升国际数据经济产业园功能能级，临港新片区数据跨境服务中心、国际数据港研究院和国际数据合作交流工作站也在去年10月揭牌。
在此次创新大会上，作为国际数据经济产业园建设的专业智库机构，国际数据港研究院也发布了2024年重大研究课题。这些课题重点聚焦国际数据经济产业发展，数据跨境流动的政策、机制和技术创新，数据安全有序跨境流动的监管机制，高水平国际数据合作和规则对接等方面。
智能网联汽车等领域将率先发布清单目录
据介绍，今年临港新片区将率先围绕智能网联汽车、金融理财、高端航运、国际贸易、生物医药、文化出海等重点领域的具体场景，组织行业龙头企业和专家组成工作组，陆续发布一批一般数据清单和重要数据目录。
就具体场景，陆森介绍，目前初步考虑在智能网联汽车方面，聚焦产品研发、运营维护和经营管理等环节；在金融理财方面，聚焦信息披露合规、市场研究信息共享和内部管理数据等环节；在生物医药方面，聚焦临床试验和研发、药物警戒和医学问询等环节，开展广泛深度的企业调研，抓紧梳理数据出境的具体细项，率先编制一般数据清单和重要数据目录。
澎湃新闻记者从此次大会上了解到，特斯拉（上海）有限公司、上海汽车集团股份有限公司、保时捷（中国）汽车销售有限公司等14家汽车行业代表企业已成立工作组，共同推进清单和目录的编制工作。
据陆森介绍，预计在今年3月发布第一批相关清单。不过，具体进度还需根据企业深度调研等工作进展情况来定。
在此次大会上，临港新片区还对接数字经济伙伴关系协定（DEPA）和全面与进步跨太平洋伙伴关系协定（CPTPP）等高水平经贸规则，规划建设了一批重点场景和平台，并在电子提单、电子信用证等方面取得了进展。
会上，上海和易孚信息科技有限公司、交通银行上海市分行等8家单位，分别发布了“电子提单、电子信用证和跨境金融服务解决方案”“临港新片区电子发票、电子信用证场景”“临港新片区‘一带一路’跨境通关服务平台”“跨境供应链金融服务平台”“数字信任跨境服务平台”“全球数据统一编码开放平台”。这些场景平台分别聚焦航运贸易无纸化、跨境供应链融资精益化、跨境物流信息可视化、数字身份认证国际化和跨境数据标准化等方面的核心功能。
三井住友海上火灾保险（中国）有限公司副总经理兼首席财务官、首席投资官郑永强在接受澎湃新闻（www.thepaper.cn）记者表示，从保险公司的角度而言，“这是一个数据密集型的产业，我们需要通过数据来判断风险，然后用金融的方式规避风险，因此数据对保险公司来说是特别重要的。”同时，其提到，“中国企业走向全球、全球企业又走向中国，在这个过程当中必然存在保险这一块覆盖的数据，所以在这种情况下要进行大量的数据交换。”
郑永强坦言，在此前缺少数据交换平台、交换机制及法规的情况下，企业有其困惑，“哪些数据可以出去，哪些数据可以进来？前两年国内有了正式的法规，但如何落地确实也仍是我们这些金融企业困惑的地方。”
对临港新片区最新发布《管理办法》的举措，郑永强表示对企业而言意味着进一步消除了不确定性，“无论是对企业的未来的营商环境，还是对企业的数据管理、数据经营，都给我们带来了信心。”
值得关注的是，郑永强认为，不光在中国，企业在全球都面临着跨境数据流动方面的困惑，能落地的标准细则均处于欠缺状态。“在海外也会面临这个问题，所以这次也是一个很好的契机，我们正好通过临港这个平台去学习、探讨，争取把国内的经验推向海外，制定有中国特色的标准。”
清华大学人工智能国际治理研究院副院长、人工智能治理研究中心主任、中国科技政策研究中心副主任、公共管理学院教授梁正此前在一篇撰文中也指出，目前，国际社会对于信息安全和跨境数据安全并没有形成统一共识，各国只能从自身能力、资源、优势等方面出发，基于本国利益来定义信息安全。但是这样的安全观并不具有国际普遍性，导致各国在跨境数据流动的政策法规方面差异较大。其提醒，首先要客观认识跨境数据安全，杜绝因跨境数据安全的迫切性和重要性而盲目照搬传统安全观。
此外值得一提的是，就前述提到的一般数据清单，陆森表示将会有一个逐步完善的过程。
据介绍，一般数据清单是针对企业数据跨境需求最紧迫的场景，在评估论证的基础上进行归纳，明确无需纳入数据出境安全评估的数据形成的。重要数据目录则是经论证明确需要纳入数据出境安全评估的数据形成的。
陆森表示，一般数据清单外的数据并不代表都是重要数据，两者之间存在暂时无法确定是否需要纳入数据出境安全评估的数据，后续可结合企业数据出境需求，根据试点情况进一步进行论证。此外，鉴于企业业务和技术的发展，也可通过隐私计算、监管沙盒等手段降低数据的敏感性。
“在满足安全和可靠的基础上，不断地去优化和完善一般数据清单，这个清单我们觉得应该会不断地扩大。”陆森进一步提到，在《管理办法》中也明确，若相关领域出台重要数据目录，则该领域的一般数据清单自动失效。