中国拟放宽数据跨境流动规则

正如我们早前发布的一篇卫·视角文章（以下简称“九月法律更新”）所强调指出的，中国的数据处理者为遵守数据出境要求正面临着各种挑战。最近，中国网络安全监管部门——国家互联网信息办公室（以下简称“国家网信办”）发布了一套相关规定的征求意见稿，旨在减轻数据处理者所面临的相关合规压力以及降低其合规成本。

拟议的修改要点

首先，《规范和促进数据跨境流动规定（征求意见稿）》（以下简称“《征求意见稿》”）明确指出，“重要数据”的定义虽然一如既往地宽泛，它包括一旦被泄露可能危及国家安全、经济运行、社会稳定、公众健康和安全的数据，但只有当监管机构或地方政府明确将相关数据归类为“重要数据”时，这些数据才会被定义为“重要数据”，并触发强制性安全评估。这将消除一直以来困扰中国数据出境处理者的有关数据出境规定潜在的模糊性和不确定性。  

其次，中国大陆的企业经营者可以根据《征求意见稿》中规定的新的明确的豁免清单来避免通过法定途径（即安全评估、认证和标准合同备案这三种途径，详见我们的“九月法律更新”）向境外传输数据。这些豁免涵盖以下数据出境活动：

• 在国际贸易、学术合作、跨国生产制造和市场营销等活动中产生的、不包含个人信息或重要数据的数据出境；
• 向境外提供不是在境内收集产生的个人信息；
• 为订立、履行个人作为一方当事人的合同所必需，如跨境购物、跨境汇款、机票酒店预订、签证办理等，必须向境外提供个人信息的；
• 为人力资源管理之目地必须向境外提供内部员工个人信息的；
• 紧急情况下为保护自然人的生命、健康和财产安全等，必须向境外提供个人信息的；
• 由数据处理者实施的数据出境，预计一年内向境外提供不满1万人个人信息的；以及
• 自由贸易试验区制定的负面清单范围以外的跨境数据传输。

最为重要的是，《征求意见稿》明确规定，如其规定与《个人信息出境标准合同办法》和《数据出境安全评估办法》相关规定不一致的，以《征求意见稿》为准。

洞见

总体而言，《征求意见稿》如能实施，将简化众多跨国公司的数据出境流程，并大大减轻相关公司在过去数月中为遵守《中华人民共和国个人信息保护法》相关配套实施细则中有关安全评估和标准合同备案的规定所面临的负担。

然而，《征求意见稿》中所列出的豁免情形并不影响中国数据保护相关法律规定的其他一般数据保护义务，例如取得数据主体的适当同意，以及确保遵守与个人信息保护有关的自我评估要求。

后续

《征求意见稿》向社会公开征求意见，反馈意见截止日期为2023年10月15日。最终定稿的法规发布时间尚不明确。但鉴于11月30日是标准合同备案宽限期的最后期限，我们预计监管部门将争取在11月底之前完成《征求意见稿》的定稿。

一些适用豁免规定的公司可能会停止其正在向国家网信办办理的标准合同备案或安全评估程序，以节省时间和成本。

鉴于中国数据法律的快速演变发展，在中国有业务运营或商业利益的公司应当保持警惕，并对未来的发展及时作出反应。《征求意见稿》中关于数据出境的拟议豁免规定为公司提供了使他们有可能从更有利的数据传输机制中获益的机会。但是，这些公司也应当密切关注法规的发展，并仔细评估豁免规定是否适用于自身的具体情况。