数据跨境新路径——上海临港新片区数据跨境场景化一般数据清单评述

标签：公司与并购-公司合规体系，数字经济，电信、传媒、娱乐与高科技-数据及隐私权保护

引言

2024年5月16日，中国（上海）自由贸易试验区临港新片区管理委员会（以下简称“临港新片区管委会”）发布《中国（上海）自由贸易试验区临港新片区智能网联汽车领域数据跨境场景化一般数据清单（试行）》《中国（上海）自由贸易试验区临港新片区生物医药领域数据跨境场景化一般数据清单（试行）》《中国（上海）自由贸易试验区临港新片区公募基金领域数据跨境场景化一般数据清单（试行）》（以下简称“临港一般数据清单”）。

首批临港一般数据清单包含智能网联汽车、公募基金、生物医药3个领域，涉及智能网联汽车跨国生产制造、医药临床试验和研发、基金市场研究信息共享等11个场景，划分成64个数据类别，600余个字段[1]。

对于临港一般数据清单内的数据，数据处理者向临港新片区管委会申请登记备案，并在满足相关管理要求的情况下可自由跨境流动。

一、临港一般数据清单发布的背景

长期以来，我国始终强调推进高水平对外开放。2021年9月，中国正式提出申请加入《全面与进步跨太平洋伙伴关系协定》（CPTPP）[2]；2021年11月，中国正式提出申请加入《数字经济伙伴关系协定》（DEPA）[3]，并于2024年5月完成了加入DEPA工作组第五次首席谈判代表会议[4]；2023年底，国务院印发《全面对接国际高标准经贸规则推进中国（上海）自由贸易试验区高水平制度型开放总体方案》，支持中国（上海）自由贸易试验区对接国际高标准经贸规则，打造国家制度型开放示范区。数据跨境流动正是上述国际协定谈判和高水平制度开放的核心内容之一[5]。

目前，我国数据出境的三条路径（数据出境安全评估、个人信息标准合同备案、个人信息保护认证）及适用标准已经确定。同时，2023年3月发布的《促进和规范数据跨境流动规定》明确，自由贸易试验区在国家数据分类分级保护制度框架下，可以自行制定区内需要纳入数据出境安全评估、个人信息出境标准合同、个人信息保护认证管理范围的数据清单（负面清单），经省级网络安全和信息化委员会批准后，报国家网信部门、国家数据管理部门备案[6]。

此外，2023年8月13日发布的《国务院关于进一步优化外商投资环境加大吸引外商投资力度的意见》提出，支持北京、天津、上海、粤港澳大湾区等地在实施数据出境安全评估、个人信息保护认证、个人信息出境标准合同备案等制度过程中，试点探索形成可自由流动的一般数据清单，建设服务平台，提供数据跨境流动合规服务[7]。

2024年2月，临港新片区管委会发布《中国（上海）自由贸易试验区临港新片区数据跨境流动分类分级管理办法（试行）》（以下简称“《临港数据跨境分类分级管理办法》”）。《临港数据跨境分类分级管理办法》提出，跨境数据分级从高到低依次分为核心数据、重要数据、一般数据3个级别，核心数据禁止跨境，重要数据形成重要数据目录，一般数据形成一般数据清单[8]。

由此可见，临港一般数据清单是从正面清单的角度入手，结合跨境场景细化至具体字段，编制形成可操作、可落地的一般数据清单，并将同步迭代拓展更多场景、更多领域，以此为基准凝练形成场景化、精细化、可操作的字段级别负面清单[9]。

2024年5月9日，中国（天津）自由贸易试验区管理委员会、天津市商务局联合公布《中国（天津）自由贸易试验区数据出境管理清单（负面清单）（2024版）》。与临港一般数据清单从“正面”明确可以自由流动的数据类型不同的是，天津的数据出境管理清单从“负面”明确了需要进行前述三条路径的数据类型。天津自由贸易试验区负面清单和临港一般数据清单虽监管逻辑不同，但两份数据清单均旨在为企业提供更加清晰的跨境指引。

二、临港一般数据清单的适用范围

临港一般数据清单适用于在中国（上海）自由贸易试验区及临港新片区范围内登记注册的，且在临港新片区开展数据跨境流动相关活动的企业、事业单位、机构协会和组织等数据处理者。

不同领域的一般数据清单主要适用于该领域的数据处理者，其中包括：

值得注意的是：

• 上述三个领域一般数据清单均明确排除了对该领域关键信息基础设施运营者的适用。可见，关键信息基础设施运营者向境外提供数据需遵守较严格的规定。
• 《临港数据跨境分类分级管理办法》明确的适用范围为“在临港新片区范围内登记注册的，或在临港新片区开展数据跨境流动相关活动的企业、事业单位、机构协会和组织等数据处理者”[10]，临港一般数据清单的适用范围在前述管理办法的适用范围上进行了一定的限缩。
•  结合《临港数据跨境分类分级管理办法》，如出境数据被明确列举为重要数据，则该等数据的出境将不适用一般数据清单的机制。

临港一般数据清单试行的时间期限为自发布之日起后一年整，试行结束后临港新片区管委会将依据实际情况做出调整更新。《临港数据跨境分类分级管理办法》亦规定：临港新片区管委会负责对一般数据清单进行更新，并及时告知数据处理者。若相关领域出台场景化重要数据目录，则该领域的一般数据清单自动失效[11]。

三、临港一般数据清单的具体内容

临港一般数据清单精准到字段级，数据处理者可向临港新片区管委会申请咨询一般数据清单各数据类别项下的数据字段。此次只是临港新片区发布的第一批正面清单，后续还将围绕银行国际贸易融资保函业务、国际贸易结算信用证业务、再保险业务、航运贸易业务等场景，陆续发布涉及更多领域的一般数据清单[12]。

（一）智能网联汽车一般数据清单

自2023年6月8日《临港新片区智能网联汽车创新引领区总体建设方案》发布以来，临港新片区形成了独具特色的无人驾驶、智慧道路等标准化指导性文件；推动86公里车路协同道路建设以及云控平台构建，并且打造“临港出行”小程序，实现更加高效便利的公共交通服务；形成了无人重卡、无人公交、无人出租和无人作业等常态示范应用场景[13]。

此次智能网联汽车领域的一般数据清单涉及4个数据跨境场景和23个数据类别，每个数据类别对应了典型数据字段示例和说明。

该清单对每个跨境场景下的VIN号明确了无法直接或间接识别到个人或者未与个人信息关联的传输要求。此外，该清单要求与2021年颁布的《汽车数据安全管理若干规定（试行）》（以下简称“《汽车数据安全规定》”）中规定的汽车领域重要数据相呼应，如，清单规定涉及的视频、图像数据不应包含人脸、车牌等个人信息，库存信息和物流供应链数据应不能反映国家经济运行情况等。

值得留意的是，虽然智能网联汽车领域一般数据清单没有提及个人信息数量的限制，但《汽车数据安全规定》中已经明确涉及个人信息主体超过10万人的个人信息属于重要数据，因此在适用智能网联汽车领域一般数据清单时，数据处理者仍需考虑拟申报的一般数据中所包含的个人信息（如有）的主体的数量。

（二）生物医药一般数据清单

近年来，生物医药细分行业领军企业和特色优势项目纷纷落地临港新片区，项目覆盖细胞与基因治疗、合成生物学、高端医疗器械、疫苗、小分子药研发、CRO/CDMO等生物医药前沿领域[14]。

此次生物医药领域的一般数据清单涉及5个数据跨境场景和30个数据类别，每个数据类别对应了典型数据字段示例和说明。

生物医药领域的数据包含大量的个人信息与敏感个人信息，该清单对个人信息作出去标识化的要求，并规定出境个人信息规模应不满10万人（不含敏感个人信息）。此外，涉及基因等人类遗传资源信息，数据处理者应当严格按照《人类遗传资源管理条例》规定，向国务院卫生健康主管部门事先报告并提交信息备份。对可能影响我国公众健康、国家安全和社会公共利益的人类遗传资源信息，应当通过国务院卫生健康主管部门组织的安全审查。

（三）公募基金一般数据清单

公募基金在临港新片区发挥着助推金融开放与创新发展，支持临港“跨境资产管理示范区”建设的作用，近年来陆续有内外资企业在临港设立公募基金公司。

在跨境数据传输中，公募基金企业最为迫切的需求包括两方面，一是在集团内分享市场研究信息，二是对内部统一管理的数据传输需求[15]。

此次公募基金领域的一般数据清单涉及2个数据跨境场景和11个数据类别，每个数据类别对应了典型数据字段示例和说明。

四、临港一般数据清单操作指引

临港新片区管委会在发布一般数据清单时明确，数据处理者应按照《中国（上海）自由贸易试验区临港新片区数据跨境流动一般数据清单操作指南（试行）》的管理要求开展数据跨境流动，并明确数据处理者可向临港新片区管委会申请咨询一般数据清单各数据类别项下的数据字段。

目前，上海临港已发布操作指南的图解版本[16]，企业可以将备案电子版材料提交至临港新片区数据便捷流通公共服务管理平台进行备案。备案材料包括《自律合规承诺书》《拟出境场景和拟出境一般数据情况说明》《与境外接收方拟订立的数据出境相关合同或其他具有法律效力的文件》等相关文件。

对于临港一般数据清单内的数据，企业可向临港新片区管委会申请登记备案。备案有效期为一年，有效期届满前两个月可以进行备案延续。此外，在备案成功后，企业应对出境的一般数据进行存证和备份，备份时间应不少于1年。

结语

临港新片区此次先行先试发布一般数据清单，为全国各自贸区提供了一份参考样板，有助于进一步推进我国数据跨境流动制度的优化。临港一般数据清单“以问题为导向，以场景为落点”，结合区域产业特点，聚焦企业存在急迫需求的业务场景[17]，有利于满足相关主体的数据跨境需求，进一步提升我国的营商环境。

临港一般数据清单所涵盖的领域和场景后续将进一步扩大和调整，这意味着一般数据清单制度将在临港新片区迎来更为广泛的适用。临港一般数据清单制度的后续发展值得各界持续关注。

扫码订阅“金杜律师事务所”，了解更多业务资讯