實習記者 張曉藝

經(jīng)過多年醞釀，9月1日，國家網(wǎng)信辦出臺的《數(shù)據(jù)出境安全評估辦法》正式生效。

《辦法》落實了數(shù)據(jù)出境的安全評估路徑，對該路徑的適用范圍、評估重點、申報材料、申報流程等重要問題作出了具體說明。

安永華南區(qū)咨詢服務主管合伙人胡立基對界面新聞大灣區(qū)頻道記者表示：“《數(shù)據(jù)出境安全評估辦法》的實施，宏觀來看是數(shù)據(jù)合規(guī)領域三大基礎法律《網(wǎng)絡安全法》《數(shù)據(jù)安全法》《個人信息保護法》中數(shù)據(jù)出境路徑的落地，有助于數(shù)字經(jīng)濟發(fā)展；從企業(yè)的角度來看，可以更有依據(jù)、更安心地規(guī)劃建設數(shù)字化項目，處理數(shù)據(jù)隱私和跨境問題。”胡立基長期專注信息安全和數(shù)字化風險，也是安永華南區(qū)網(wǎng)絡安全服務負責人。

數(shù)據(jù)跨境流動問題對大灣區(qū)來說尤為關鍵。深圳零一學院講座教授、執(zhí)行院長、數(shù)據(jù)安全專家相韶華教授曾表示，從制度層面來說，粵港澳大灣區(qū)包含一個國家、兩種制度、三個關稅區(qū)、三種貨幣，在這種情況下，數(shù)據(jù)跨境流動是難點，也是提升大灣區(qū)競爭力的關鍵點。

據(jù)胡立基觀察，近幾年大灣區(qū)數(shù)據(jù)安全、合規(guī)方面的需求特別多。整體而言，目前灣區(qū)企業(yè)明白自己有合規(guī)義務，也愿意投入；但是不同企業(yè)對相關法律的理解不同，投入力度不同，能支配的資源也不同。

對于一些進入內(nèi)地發(fā)展業(yè)務的港澳企業(yè)來說，合規(guī)和安全問題會需要特別留意。由于業(yè)務場景有交叉，加上港澳和內(nèi)地的法規(guī)有所不同，企業(yè)往往需要在內(nèi)地構建本地合規(guī)的能力，解讀法律法規(guī)、管理數(shù)據(jù)資產(chǎn)，滿足安全控制、開展數(shù)據(jù)跨境合規(guī)工作，同時企業(yè)也需要滿足數(shù)據(jù)本地化留存。這意味著資源的大量投入。

“大型公司對合規(guī)的重視程度往往比較高，也有能力投入大量資源；而一些中小型企業(yè)，比如一些剛來內(nèi)地發(fā)展的小型科創(chuàng)企業(yè)，未來可能需要更多支持協(xié)助其在內(nèi)地健康發(fā)展。”

數(shù)據(jù)合規(guī)，指的是組織必須遵守關于組織、管理和存儲數(shù)據(jù)的法律法規(guī)、業(yè)務規(guī)范和道德規(guī)范；這是現(xiàn)階段數(shù)據(jù)流通交易以及產(chǎn)業(yè)界最為關注的問題。由于數(shù)據(jù)具有諸多區(qū)別于傳統(tǒng)要素的特性，數(shù)據(jù)生命周期的各個環(huán)節(jié)（收集、存儲、使用、加工、傳輸、提供、公開）都存在諸多風險。

其中，隨著全球數(shù)字經(jīng)濟的發(fā)展，數(shù)據(jù)跨境流動的風險愈發(fā)凸顯。

據(jù)北京煉石網(wǎng)絡技術有限公司2021年發(fā)布的《數(shù)據(jù)安全與個人信息保護技術白皮書》，數(shù)據(jù)跨境流動風險主要集中于傳輸、存儲和使用三個環(huán)節(jié)。傳輸上，過程可能被中斷，數(shù)據(jù)也面臨被截獲、篡改、偽造等風險；存儲上，容易出現(xiàn)數(shù)據(jù)泄露等問題；使用上，數(shù)據(jù)所在國政策和法律存在差異甚至沖突，導致數(shù)據(jù)所有者和使用者權限模糊，存在數(shù)據(jù)濫用和合規(guī)風險。

競天公誠律師事務所合伙人周楊曾對《21世紀經(jīng)濟報道》表示，從安全監(jiān)管角度出發(fā)，我國由三個方面考察企業(yè)數(shù)據(jù)跨境的合規(guī)性：數(shù)據(jù)處理者身份，即是否為關鍵信息基礎設施運營者；數(shù)據(jù)類型，即是否為重要數(shù)據(jù)或個人信息；數(shù)據(jù)處理活動類型，即是否涉及國家安全。

根據(jù)《中華人民共和國個人信息保護法》，個人信息跨境有三種主要合規(guī)路徑：第一種是本次落地的安全評估辦法，用于傳輸信息量較大、關鍵敏感的數(shù)據(jù)出境；第二種是標準合同，適合輕量、非敏感個人數(shù)據(jù)出境；第三種是個人信息保護認證，主要適用未達安全評估標準的、關聯(lián)公司之間發(fā)生的個人信息出境活動。

在這三種路徑中，安全評估具有優(yōu)先性。北京師范大學網(wǎng)絡法治國際中心執(zhí)行主任吳沈括在接受《財新》采訪時表示，只有在企業(yè)不符合評估要求的情況之下，才可以選擇包括標準合同出境在內(nèi)的其他方式。

目前，《個人信息保護法》所規(guī)定的三種個人信息跨境合規(guī)路徑都有可參考的規(guī)范和標準，其中個人信息保護認證制度還未由網(wǎng)信部門正式發(fā)布，這也是目前企業(yè)數(shù)據(jù)合規(guī)工作的一個難點。