中國數(shù)據(jù)出境安全評(píng)估準(zhǔn)備四大策略

中華人民共和國國家互聯(lián)網(wǎng)信息辦公室（以下簡稱“網(wǎng)信辦”）頒布的《數(shù)據(jù)出境安全評(píng)估辦法》（以下簡稱《辦法》）于2022年9月1日生效。該辦法為數(shù)據(jù)出境傳輸?shù)陌踩u(píng)估和審批提供了框架，不僅適用于個(gè)人信息----，也適用于比個(gè)人數(shù)據(jù)范圍更廣的重要數(shù)據(jù)。

這一辦法的實(shí)行，對(duì)于在中國經(jīng)營的跨國公司意味著大量的合規(guī)風(fēng)險(xiǎn)，對(duì)其正在進(jìn)行的或即將要進(jìn)行的數(shù)據(jù)傳輸活動(dòng)具有重要影響。因?yàn)閷?duì)適用于數(shù)據(jù)出境安全評(píng)估的跨國企業(yè)而言，只有最終通過政府主導(dǎo)的安全評(píng)估，才可以繼續(xù)數(shù)據(jù)傳輸活動(dòng)。

在中國有業(yè)務(wù)往來的企業(yè)機(jī)構(gòu)可能需要開展當(dāng)?shù)卣鲗?dǎo)的業(yè)務(wù)數(shù)據(jù)和個(gè)人數(shù)據(jù)出境安全評(píng)估?？鐕镜陌踩惋L(fēng)險(xiǎn)管理（SRM）領(lǐng)導(dǎo)者必須提前計(jì)劃，避免數(shù)據(jù)傳輸或業(yè)務(wù)運(yùn)營的中斷（見圖1）。

圖1 數(shù)據(jù)出境安全評(píng)估辦法的基本框架

政府主導(dǎo)的安全評(píng)估，只有在數(shù)據(jù)達(dá)到一定敏感程度或規(guī)模時(shí)才會(huì)觸發(fā)

如今，在中國從事國際貿(mào)易的公司無論行業(yè)和規(guī)模如何，其日常運(yùn)營或多或少地以來數(shù)據(jù)跨境流動(dòng)。數(shù)據(jù)跨境傳輸能力已經(jīng)成為生產(chǎn)力、創(chuàng)新和業(yè)務(wù)增長的重要組成部分和關(guān)鍵推動(dòng)力。限制或喪失數(shù)據(jù)出境傳輸會(huì)導(dǎo)致管理和運(yùn)營成本的增加；削弱產(chǎn)品創(chuàng)新，使產(chǎn)品無法及時(shí)進(jìn)入市場；或使產(chǎn)品價(jià)格缺乏吸引力。

然而，并非所有受《辦法》監(jiān)管的數(shù)據(jù)出境傳輸活動(dòng)都需要申請(qǐng)政府主導(dǎo)的安全評(píng)估。只有當(dāng)中國的數(shù)據(jù)處理者滿足一定條件時(shí)，才需要申請(qǐng)政府主導(dǎo)的安全評(píng)估。

圖2 觸發(fā)政府主導(dǎo)安全評(píng)估的決策樹

2024年3月，網(wǎng)信辦發(fā)布的《促進(jìn)和規(guī)范數(shù)據(jù)跨境流動(dòng)規(guī)定》提出放寬數(shù)據(jù)跨境傳輸?shù)暮弦?guī)要求。該《規(guī)定》規(guī)定了在滿足具體條件的情況下，數(shù)據(jù)出境的企業(yè)機(jī)構(gòu)可以免于申報(bào)數(shù)據(jù)出境安全評(píng)估、訂立個(gè)人信息出境標(biāo)準(zhǔn)合同，或獲得個(gè)人信息保護(hù)認(rèn)證，從而促進(jìn)中國大陸以外的數(shù)據(jù)流通。

長時(shí)間的申請(qǐng)和評(píng)估流程可能會(huì)使計(jì)劃中的項(xiàng)目延期

根據(jù)網(wǎng)信辦發(fā)布的信息以及收到的客戶反饋，完成安全評(píng)估大約需要三個(gè)月。企業(yè)機(jī)構(gòu)需要提前計(jì)劃，盡早根據(jù)新要求進(jìn)行調(diào)整，以防數(shù)據(jù)傳輸中斷或新項(xiàng)目上線延遲。

向當(dāng)?shù)鼐W(wǎng)信部門申報(bào)評(píng)估需要提供必要材料。SRM領(lǐng)導(dǎo)者應(yīng)與安全、隱私、法務(wù)、合規(guī)和業(yè)務(wù)部門地關(guān)鍵利益相關(guān)者溝通，準(zhǔn)備必要的材料。材料不全或信息不準(zhǔn)確，可能會(huì)導(dǎo)致安全評(píng)估取消或失敗。

安全評(píng)估從周期性的行動(dòng)變?yōu)槌掷m(xù)性合規(guī)工作

通過數(shù)據(jù)出境安全評(píng)估的結(jié)果有效期為3年。數(shù)據(jù)處理者應(yīng)當(dāng)在有效期屆滿60個(gè)工作日前申請(qǐng)延長評(píng)估結(jié)果或重新申報(bào)評(píng)估。

作為跨國公司，如果其快速增長的新業(yè)務(wù)依賴數(shù)據(jù)跨境流動(dòng)，則應(yīng)預(yù)見到對(duì)安全評(píng)估的準(zhǔn)備和申報(bào)將成為一項(xiàng)持續(xù)性運(yùn)營工作。這會(huì)增加管理合規(guī)成本，對(duì)于大型企業(yè)來說也許可以忽略不計(jì)，但對(duì)于中小型企業(yè)來說仍是一個(gè)重要問題。

如果跨國公司需要在一個(gè)地區(qū)集中存儲(chǔ)和處理從不同司法轄區(qū)（如中國、歐洲和美國）收集的客戶數(shù)據(jù)，則其需要具備對(duì)數(shù)據(jù)進(jìn)行差異化處理的能力。

安全評(píng)估結(jié)果促使企業(yè)機(jī)構(gòu)重新審視本地化策略

Gartner的客戶詢問表明，中國大多數(shù)受《辦法》監(jiān)管的跨國公司已經(jīng)開始準(zhǔn)備申報(bào)或正在進(jìn)行安全評(píng)估，但正式通過審批的申報(bào)數(shù)量有限。由于網(wǎng)信辦可能要求整改以及由此可能產(chǎn)生額外的管理和運(yùn)營成本，企業(yè)機(jī)構(gòu)應(yīng)重新審視在中國的數(shù)據(jù)本地化和IT隔離的戰(zhàn)略。

●   數(shù)據(jù)本地化：企業(yè)機(jī)構(gòu)需要明確哪些法律和監(jiān)管要求適用于于其在中國的現(xiàn)有業(yè)務(wù)和未來擴(kuò)張計(jì)劃，并且在選擇本地化路線時(shí)，需要同時(shí)考慮企業(yè)機(jī)構(gòu)的風(fēng)險(xiǎn)偏好和中國市場產(chǎn)生的業(yè)務(wù)價(jià)值。

●   中國的IT隔離：在考慮是否有必要專門為中國市場搭建一個(gè)獨(dú)立的IT環(huán)境時(shí)，除了法律和合規(guī)性的考量（例如數(shù)據(jù)本地化、等保2.0），還要考慮到其他業(yè)務(wù)和技術(shù)層面，比如業(yè)務(wù)生態(tài)系統(tǒng)和協(xié)同作用、服務(wù)和技術(shù)提供商的可用性。