2021年6月10日，历经三次审议和修改的《中华人民共和国数据安全法》（以下简称“《数据安全法》”）在第十三届全国人民代表大会常务委员会第二十九次会议通过并发布，将于2021年9月1日起正式施行。

此次《数据安全法》的正式出台，除了在数据分类分级保护、政务数据的利用、数据安全审查制度等方面作出了规定，在数据出境和跨境传输方面也作出了亮点性的规定。本文就《数据安全法》中与数据跨境传输相关的规定进行梳理和解读，以期为关注这方面的读者提供些许帮助。

一、确立数据安全的宗旨，明确域外效力

《数据安全法》第二条第二款规定：“在中华人民共和国境外开展数据处理活动，损害中华人民共和国国家安全、公共利益或者公民、组织合法权益的，依法追究法律责任。”

这一规定体现了维护国家安全和数据主权的立法宗旨，赋予《数据安全法》必要的域外适用效力。

这一规定以“后果论”为标准，域外的数据活动给我国国家、社会、公民利益带来损害的，相关组织或个人应被追究法律责任，确立了我国的对数据管辖权的“长臂管辖”，进一步明确了维护国家数据安全的决心。

站在企业合规的角度，以中国公民为数据处理对象，或者数据处理活动对中国可能产生实际影响的境外主体，都需要履行《数据安全法》的安全义务，为跨国企业面向中国提供服务、开展数据活动提供了依据。

二、明确数据跨境的必要，促进数据跨境的安全和自由流动

《数据安全法》第十一条规定：“国家积极开展数据安全治理、数据开发利用等领域的国际交流与合作，参与数据安全相关国际规则和标准的制定，促进数据跨境安全、自由流动。”

这条规定体现了我国对数据跨境传输的基本准则。国家积极利用数据可以跨国流通这一特性，大力发展数据相关产业，但需以“安全”作为前置要求，体现了我国对数据跨境传输在安全上的重视程度。

综合全球来看，数据已经成为一种全新的国际竞争领域。2020年，我国向国际社会公开呼吁全面客观看待数据安全问题，维护全球信息技术产品和服务的供应链开放、安全、稳定，并发出《全球数据安全倡议》。[1] 如今随着《数据安全法》的出台，进一步提升了我国对于数据主权的竞争优势。

三、明确了关键基础设施运营者的数据出口管制

《数据安全法》第二十五条规定：“国家对与维护国家安全和利益、履行国际义务相关的属于管制物项的数据依法实施出口管制。”

目前我国在物品、技术等领域均有严格的出口管制制度，以《对外贸易法》、《技术进出口管理条例》等规定规制。在技术领域，2020年我国更新了《中国禁止出口限制出口技术目录》，以清单管理的方式，将大数据分析等有关技术列入目录。

但在数据领域，我国的出口管制还不完善，除了《网络安全法》第三十七条规定了“关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估……”，其他领域的数据出口管制并未有明确规定。

在个人信息保护领域，《个人信息和重要数据出境安全评估办法（征求意见稿）》、《个人信息出境安全评估办法（征求意见稿）》、《信息安全技术数据出境安全评估指南（征求意见稿）》均未生效，未来国家出口管制管理部门是否会将相关技术以及数据直接纳入出口管制范畴仍有待观察确认，《数据安全法》目前为将来的配套措施出台留下了空间。

四、明确重要数据出境安全管理制度

《数据安全法》第三十一条规定，“关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理，适用《中华人民共和国网络安全法》的规定；其他数据处理者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理办法，由国家网信部门会同国务院有关部门制定。”

这一条款明确了关键信息基础设施的运营者在境内运营中收集和产生的重要数据的出境安全管理，应当适用《网络安全法》第三十七条提出的“一般情形+例外规定”，即“关键信息基础设施的运营者因业务需要，确需向境外提供重要数据的，一般情况下应由国家网信部门会同国务院有关部门制定的办法进行安全评估，法律、行政法规另有规定的则从其规定”。可见作为关键信息基础设施领域，数据的境内存储是基本原则，出境是例外，并且数据的出境安全评估是必须实行的一项工作。

对于其他数据处理者在境内运营中收集和产生的重要数据，目前可参考的相关规定是2017年的《个人信息和重要数据出境安全评估办法（征求意见稿）》，其中第九条规定了六类重要数据出境时网络运营者应提交行业主管部门或监管部门进行安全评估的场景[2]。

虽然《数据安全法》没有明确规定对非关键信息基础设施运营者进行数据跨境传输的具体要求，但其首次在法律层面明确了相关要求将由国家网信部门会同国务院有关部门通过部门规章予以规定，为后续制定、出台相关具体部门规章和条例提供了法律依据和立法展望。但在此之前，有跨境数据传输需要的企业可参照参照《个人信息和重要数据出境安全评估办法》（征求意见稿）》以及《信息安全技术数据出境安全评估指南（草案）》进行数据跨境传输的合规审查。

五、严格规制面向境外司法或者执法机构的数据出境活动

《数据安全法》第三十六条规定，“……非经中华人民共和国主管机关批准，境内的组织、个人不得向外国司法或者执法机构提供存储于中华人民共和国境内的数据。”

随着经济全球化及中国经济发展，尤其是中国互联网企业出海，越来越多的行政执法、司法活动中涉及针对中国境内数据的获取。对于企业来讲，遇到境外执法、司法活动，要求提供中国存储的数据时，应报请中华人民共和国主管机关批准，不能私自直接提供。

这一条款制定的背景，是当今数据竞争的⽇益激烈，各国都在试图扩⼤数据⽅⾯的管辖权。2018年3月，在微软爱尔兰数据案[3]之后，美国国会通过《澄清海外合法使用数据法》（ClarifyingLawful Overseas Use of Data Act（CLOUD），简称“云法案”），其中第103(a)(1)条规定“电子通信服务提供商和远程计算服务提供商应当依据本章规定，保存、备份或披露其拥有、监管或控制的用户通讯数据、记录及其他信息，无论该等通讯数据、记录及其他信息储存于美国境内或境外”，从而为美国数据领域的“长臂管辖”规则提供了基础，使得执法部⻔可依据搜查令直接调取境外数据。同样在欧洲，2019年11月，欧洲数据保护委员会（EDPB）对GDPR第三条进⾏统⼀解释，并发布了GDPR地域适⽤的指南，明确了符合“营业机构”标准或“⽬标指向”标准其中之⼀的数据处理者和控制者，均需要遵守GDPR的规定，确立了欧洲在数据领域的“长臂管辖”。

在这一背景下，我国《数据安全法》的规定充分体现了我国维护数据主权和国家安全的决心。关于数据出境对责任人的处罚，《数据安全法》明确了未经主管机关批准向境外的司法或者执法机构提供数据的法律责任，包括对企业和直接负责的主管人员的罚款、责令企业暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照等。[4]这一明确的法律责任形式，不仅意味着第三十六条的规定是企业应严格履行的一项数据合规义务，也是企业在对抗境外执法或司法机构可能的数据调取要求时的抗辩理由之一。

但该条仅规定了跨境司法或执法机构协助数据传输的原则性要求，未明确企业如何申请获得相关批准，因而需要主管部门后续出台实施细则进一步明确具体审批要求。我们也将持续关注相关法律制度的更新和完善情况，并在后续的专业文章中予以探讨。

总结

《数据安全法》历经起草、初审、公开征询意见，并提交二审、三审，将于2021年9月正式实施。《数据安全法》并非完美无瑕，有限于篇幅和体系的限制，《数据安全法》仍在一些方面留下了未来出台配套立法、政策措施的空间，并需要一定的时间进行实践的检验和校准。但正如《中华人民共和国网络安全法》作为网络安全的基础法律一样，《数据安全法》作为我国数据领域内的一部基础法律，为我国数字市场发展提供基础制度保障，结束了我国数据行业发展较为混乱的时代，规范了行业的监管，为我国企业“出海”保驾护航，也加强了企业未来数据跨境传输的合规要求，为我国企业“走出去”创造了更有利的法律和规则条件。

[1] 外交部：《全球数据安全倡议》，https://www.fmprc.gov.cn/web/wjbzhd/t1812949.shtml

[2] 《个人信息和重要数据出境安全评估办法（征求意见稿）》第九条：“出境数据存在以下情况之一的，网络运营者应报请行业主管或监管部门组织安全评估：（一）含有或累计含有50万人以上的个人信息；（二）数据量超过1000GB；（三）包含核设施、化学生物、国防军工、人口健康等领域数据，大型工程活动、海洋环境以及敏感地理信息数据等；（四）包含关键信息基础设施的系统漏洞、安全防护等网络安全信息；（五）关键信息基础设施运营者向境外提供个人信息和重要数据；（六）其他可能影响国家安全和社会公共利益，行业主管或监管部门认为应该评估。行业主管或监管部门不明确的，由国家网信部门组织评估。”

[3] 2013年12月，美国缉毒局（DEA）在调查一起案件时发现若干电子邮件可能是案件证据，向地区法院申请搜查令，要求微软公司向执法部门提交某邮箱用户的全部电子邮件及其他信息。但微软发现该等数据只存储在爱尔兰都柏林的数据中心。微软坚持“数据存储地标准”，认为数据存储在爱尔兰，搜查令只适用于美国境内，不能覆盖爱尔兰；而政府和地区法院坚持“数据控制者标准”，认为微软有能力在美国境内操作并向政府披露数据，搜查令适用于美国境外，微软应配合美国政府获得该数据。此案先后上诉至美国联邦第二巡回上诉法院和联邦最高法院，引发广泛关注。

[4] 《数据安全法》第四十八条：“违反本法第三十六条规定，未经主管机关批准向外国司法或者执法机构提供数据的，由有关主管部门给予警告，可以并处十万元以上一百万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款；造成严重后果的，处一百万元以上五百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处五万元以上五十万元以下罚款。”