中國擬放寬資料跨境流動規則

正如我們早前發佈的一篇衛·視角文章（以下簡稱“九月法律更新”）所強調指出的，中國的資料處理者為遵守資料出境要求正面臨著各種挑戰。最近，中國網路安全監管部門——國家互聯網信息辦公室（以下簡稱“國家網信辦”）發佈了一套相關規定的徵求意見稿，旨在減輕資料處理者所面臨的相關合規壓力以及降低其合規成本。

擬議的修改要點

首先，《規範和促進資料跨境流動規定（徵求意見稿）》（以下簡稱“《徵求意見稿》”）明確指出，“重要資料”的定義雖然一如既往地寬泛，它包括一旦被洩露可能危及國家安全、經濟運行、社會穩定、公眾健康和安全的資料，但只有當監管機構或地方政府明確將相關資料歸類為“重要資料”時，這些資料才會被定義為“重要資料”，並觸發強制性安全評估。這將消除一直以來困擾中國資料出境處理者的有關資料出境規定潛在的模糊性和不確定性。 

其次，中國大陸的企業經營者可以根據《徵求意見稿》中規定的新的明確的豁免清單來避免通過法定途徑（即安全評估、認證和標準合同備案這三種途徑，詳見我們的“九月法律更新”）向境外傳輸資料。這些豁免涵蓋以下資料出境活動：

• 在國際貿易、學術合作、跨國生產製造和市場行銷等活動中產生的、不包含個人資訊或重要資料的資料出境；
• 向境外提供不是在境內收集產生的個人資訊；
• 為訂立、履行個人作為一方當事人的合同所必需，如跨境購物、跨境匯款、機票酒店預訂、簽證辦理等，必須向境外提供個人資訊的；
• 為人力資源管理之目地必須向境外提供內部員工個人資訊的；
• 緊急情況下為保護自然人的生命、健康和財產安全等，必須向境外提供個人資訊的；
• 由資料處理者實施的資料出境，預計一年內向境外提供不滿1萬人個人資訊的；以及
• 自由貿易試驗區制定的負面清單範圍以外的跨境資料傳輸。

最為重要的是，《徵求意見稿》明確規定，如其規定與《個人資訊出境標準合同辦法》和《資料出境安全評估辦法》相關規定不一致的，以《徵求意見稿》為準。

洞見

總體而言，《徵求意見稿》如能實施，將簡化眾多跨國公司的資料出境流程，並大大減輕相關公司在過去數月中為遵守《中華人民共和國個人資訊保護法》相關配套實施細則中有關安全評估和標準合同備案的規定所面臨的負擔。

然而，《徵求意見稿》中所列出的豁免情形並不影響中國資料保護相關法律規定的其他一般資料保護義務，例如取得資料主體的適當同意，以及確保遵守與個人資訊保護有關的自我評估要求。

後續

《徵求意見稿》向社會公開徵求意見，回饋意見截止日期為2023年10月15日。最終定稿的法規發佈時間尚不明確。但鑒於11月30日是標準合同備案寬限期的最後期限，我們預計監管部門將爭取在11月底之前完成《徵求意見稿》的定稿。

一些適用豁免規定的公司可能會停止其正在向國家網信辦辦理的標準合同備案或安全評估程式，以節省時間和成本。

鑒於中國資料法律的快速演變發展，在中國有業務運營或商業利益的公司應當保持警惕，並對未來的發展及時作出反應。《徵求意見稿》中關於資料出境的擬議豁免規定為公司提供了使他們有可能從更有利的資料傳輸機制中獲益的機會。但是，這些公司也應當密切關注法規的發展，並仔細評估豁免規定是否適用於自身的具體情況。