四十三、 上海自贸区有无数据及个人信息出境的便利监管措施？

基于《跨境流动规定》第六条的规定，自由贸易试验区可自行制定需要纳入数据出境程序管理范围的负面清单，且在负面清单以外的数据跨境传输可以豁免数据出境程序。

上海自贸区即存在相关的数据出境便利政策，其主要基于《上海市落实〈全面对接国际高标准经贸规则推进中国（上海）自由贸易试验区高水平制度型开放总体方案〉的实施方案》（沪府发〔2024〕1 号，2024 年 02 月 03 日生效，“实施方案”）及《中国（上海）自由贸易试验区临港新片区数据跨境流动分类分级管理办法（试行）》（沪自贸临管规范〔2024〕3 号，2024 年 02 月 08 日）。

如前述，《跨境流动规定》提出了自贸区负面清单模式：自由贸易试验区在国家数据分类分级保护制度框架下，自行制定区内需要纳入数据出境安全评估、个人信息出境标准合同、个人信息保护认证管理范围的数据清单（以下简称负面清单），经省级网络安全和信息化委员会批准后，报国家网信部门、国家数据管理部门备案。自由贸易试验区内数据处理者向境外提供负面清单外的数据，可以免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。

实施方案提出上海自贸试验区管委会、临港新片区管委会按照数据分类分级保护制度，根据区内实际需求率先制定重要数据目录；并通过在临港新片区建立数据跨境服务中心等，便利数据处理者开展数据出境自评等数据出境安全合规工作。

《中国（上海）自由贸易试验区临港新片区数据跨境流动分类分级管理办法（试行）》（“临港办法”）适用于在临港新片区范围内登记注册的，或在临港新片区开展数据跨境流动相关活动的企业、事业单位、机构协会和组织等数据处理者。结合上海“五个中心”建设，围绕汽车、金融、航运、生物医药等重点领域以及临港新片区相关行业的发展要求，以跨境需求最迫切的典型场景为切入口，对跨境数据进行分类管理。临港办法将跨境数据分三级并细化了其数据出境监管要求：

（1）核心数据，是指对领域、群体、区域具有较高覆盖度或达到较高精度、较大规模、一定深度的重要数据，一旦被非法使用或共享，可能直接影响政治安全。主要包括关系国家安全重点领域的数据，关系国民经济命脉、重要民生、重大公共利益的数据，经国家有关部门评估确定的其他数据。核心数据禁止跨境。

（2）重要数据，是指特定领域、特定群体、特定区域或达到一定精度和规模的数据，一旦被泄露或篡改、损毁，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全（仅影响组织自身或公民个体的数据，一般不作为重要数据）。数据处理者对重要数据目录内的数据，可通过临港新片区数据跨境服务中心申报数据出境安全评估。

（3）一般数据，是指核心数据、重要数据外的其他数据。数据处理者对在一般数据清单内的数据，可向临港新片区管委会申请登记备案，并在满足相关管理要求下自由流动。

前述重要数据目录及纳入数据出境安全评估、个人信息出境标准合同、个人信息保护认证管理范围的数据清单等由临港新片区管委会负责制定，并报相关部门批准、备案及后续更新和告知。根据上海市政府新闻办举办多部门参与的新闻发布会记者问答，临港新片区将按照“从企业到行业、从案例到清单、从正面到负面”的原则，率先围绕智能网联汽车、金融理财、高端航运等重点领域，开展一般数据清单和重要数据目录的编制工作，并将于近日发布部分相关清单。

在本《实务问答》发布之时，我们尚未从公开渠道查询到临港片区的一般数据清单和重要数据目录。不过，据有关消息人士，我们理解在实操中，已有相关先例，由注册于临港片区的企业可在通过该片区内有关数据链路接入“数据海关”后，认定其系在片区开展数据跨境活动，并适用片区数据出境的有关豁免；并在满足特定存档备查措施后即可开展数据出境。

环球律师事务所等团队