范佳宜｜GDPR下对中国企业数据跨境合规的思考( 四 ) 本文转自：上观范佳宜上海市

之后，国家互联网信息办公室于2019年5月发布的数据安全管理办法（征求意见稿）强调了数据安全需要一个合理的数据治理制度来保障，再次向网络运营者明确了向境外提供重要数据前需经评估并批准，重申了数据出境可能伴随的安全风险。时隔一个月，国家互联网信息办公室发布了个人信息出境安全评估办法（征求意见稿），该办法中涉及处置实体层面安全风险的规定，与国际实践基本保持一致。
2020年10月21日，另一部重要有关数据安全保护的法律，即个人信息保护法公布并公开征求社会公众意见。该法第三章专章规定了“个人信息跨境提供的规则” ，明确了个人信息处理者因业务等需要，确需向境外提供个人信息所具备的条件，并为信息输出方提供了更多元化的数据跨境方式；扩大了本地化存储的范畴，将处理个人信息达到国家网信部门规定数量的个人信息处理者也纳入了管理的范围；确立了涉及国际司法协助或者行政执法协助时需遵循的基本原则；建立了限制或者禁止个人信息提供清单制度，明确了在个人信息保护领域可适用的反制措施。同时也通过增强个人信息处理者责任来促进合规。总体而言，基于数据跨境利益牵扯与风险防范的复杂性，该法延续了中国严格管理型的数据跨境治理倾向。如该部法律证实通过并实施，我国将打破在个人信息保护制度领域碎片化的局面，将在该领域建立统一的、系统化的标准体系。
尽管中国在现阶段仍有不少法律处于草案阶段，但可以确定的是，中国在涉及数据跨境领域所搭建的法律框架与全球范围内数据隐私法的逻辑具有一致性，甚至中国处于强有力的一端。相关的法律规定显示了其受到了GDPR的影响，例如“执法工具包”的多样性，但同时也超越了GDPR的一些相关规定。中国制定一系列强有力的数据隐私规则，其所包含的内容广泛，但同时也设置了相当多的例外规则。遗憾的是，中国并没有设立独立的专门的数据保护主管部门，以及强有力但具有一定自由裁量的数据输出/本地化规则。从长远发展而看，在相关领域建立系统化的监管规则，将对数字经济产业的健康发展带来充分利好，企业的合规工作将会在更公平、公开、透明的环境下展开。
三、针对企业数据合规的建议
一方面，信息技术在全球范围内正在实现跨越式发展，该领域尤其显现了法律的滞后性；另一方面，数据保护立法仍缺乏促使全球形成统一标准的基础，因此对数据保护的要求在不同的司法区域呈现一种割据状态。在这种状况下，不难理解数据在跨境的过程中可能引发更为频繁的冲突。跨国企业必然需要在不同的司法区之间建立业务关系，业态发展已决定了这类企业不可能为了避免法律风险而不去获取数据、利用数据等进行商业竞争，技术与立法之间的冲突对企业的创新需求与数据合规产生了诸多方面的影响，在数据交互频繁的今天，企业如何在满足其数据跨境需求的前提下实现合规，是企业数据合规工作的重中之重。
1.关注法律法规的地区差异性
随着信息技术的发展，大型企业将利用人工智能、区块链等多项技术创新争夺数据市场的话语权。技术发展所带来的集群效应也可以帮助企业实现在无须人为干预的情况下进行大量的数据传输的可能，这降低了中小企业进入数据市场的门槛，那么通过这些企业产生的数据流也将更广泛地流入市场，增强数据市场的活力。然而，针对不断增加的流量，不同国家及区域的监管者并未就该现象及其所带来的更普遍的数据安全需求提供协调的监管。全球化的数字数据和服务贸易既没有伴随着互联网法律而实现普遍协调，也没有实现真正的数据保护和数据隐私法的融合。这些都将引发经济损害的风险，阻碍数据服务领域的创新。