跨境数据交易合规评估指引_53页_6mb

跨境数据交易合规评估指引总结

核心内容概述

《跨境数据交易合规评估指引》由深圳数据交易所牵头，联合多家机构共同编写，旨在为跨境数据交易相关方提供一套可操作的合规评估标准。该文件适用于跨境数据交易的交易主体、数据交易机构及第三方专业服务机构，也适用于主管部门和监管机构对跨境数据交易活动的监督与评估。

主要观点

1. 合规评估框架

   • 跨境数据交易合规评估从主体、标的、流通三个维度展开，涵盖合法、安全、诚信、权益保障四个评估要点。
   • 评估过程分为准备、实施、报告三个阶段。

2. 合规评估原则

   • 合法原则：评估必须依法依规进行，确保评估人员不违反法律法规。
   • 客观公正原则：评估应基于真实、准确的证据，反映跨境数据交易活动的实际情况。
   • 保密原则：评估人员需对评估过程中获得的信息进行审慎使用与保护。

3. 交易主体分类

   • 交易主体分为境内和境外交易主体，分别有不同的合规评估要求。
   • 境内交易主体根据数据类型分为一般数据、个人信息、重要数据三类，适用不同的安全评估标准。

4. 数据定义与分类

   • 数据分为境内数据、境外数据、个人信息、敏感个人信息、重要数据和公共数据。
   • 个人信息是指可识别或可关联的自然人信息，敏感个人信息包括生物识别、宗教信仰、医疗健康等。
   • 重要数据指可能直接危害国家安全、经济运行、社会稳定等的数据。

5. 跨境数据交易模式

   • 跨境数据交易模式分为六种，其中模式 I、II、III 和 VI 需要进行合规评估，而模式 IV 和 V 因不涉及境内数据出境，不纳入评估范畴。

关键信息

一、主体合规评估

1. 合法维度

• 交易主体需提供合法有效的营业执照、资质证书、行业认证等。
• 境内交易主体若涉及重要数据或个人信息，需向国家网信部门申报并通过安全评估。

2. 安全维度

• 境内一般数据交易主体需满足“A级标准”，包括数据分类分级、加密传输、安全审计等。
• 境内涉个人信息交易主体需制定个人信息出境备份与恢复制度，定期备份并验证数据完整性。
• 境内涉重要数据交易主体需进行重要数据识别、分类、安全评估及风险控制。
• 境外交易主体需符合所在国家/地区数据安全政策，且需满足中国对数据跨境安全的合规要求。

3. 诚信维度

• 交易主体需确保在交易过程中不违反所在国家或地区的出口管制、贸易限制等规定。
• 需发布数据处理规则，并确保其透明性、合法性。

4. 权益保障维度

• 交易主体需通过法律文件约定数据安全责任、违约责任和争议解决机制。
• 需在官网等公开渠道提供数据主体维护权益的途径和方式。

二、标的合规评估

1. 合法维度

• 数据来源需合法，包括境内和境外数据来源。
• 数据处理需符合相关法律法规要求，尤其是涉及个人信息和重要数据时。

2. 安全维度

• 数据需采用加密传输、存储等安全技术措施，确保数据完整性和保密性。
• 需进行数据脱敏、去标识化等处理，降低数据泄露风险。
• 需提供数据安全传输、存储、使用等技术文档和证明材料。

3. 诚信维度

• 数据交易需有清晰的描述、适用范围、计费方式等信息。
• 需提供交易承诺函、交付验收清单、支付凭证等。

4. 权益保障维度

• 数据主体需被清晰告知其权利，并有便捷的权益主张渠道。
• 需建立投诉、举报机制，并对数据安全事件进行有效处理。

三、流通合规评估

1. 合法维度

• 数据买方需具备合法资质，且需提供数据使用授权。
• 交易需符合相关法律法规，包括数据出境安全评估、个人信息出境标准合同备案等。

2. 安全维度

• 交易需采用安全传输通道，实施数据监控、日志记录、审计等安全措施。
• 需对数据传输过程进行加密，防止数据被篡改、破坏、泄露等。

3. 诚信维度

• 交易需确保真实、合法、透明，避免误导性宣传。
• 需提供相关承诺函和交易合同等文件。

4. 权益保障维度

• 需明确数据主体的权益保障机制，包括数据安全事件的应急处置。
• 需提供用户投诉、举报处理记录及相关资料。

四、特殊场景合规要求

1. 医疗行业

   • 医疗数据属于重要数据，需通过省级网信部门申报安全评估。
   • 人类遗传资源数据出境需取得国务院科学技术行政部门的证明，且需通过伦理审查。

2. 汽车行业

   • 涉及国家安全、公共利益的数据为重要数据，需进行安全评估。
   • 汽车数据处理者需向网信部门报送年度安全管理情况，包括数据种类、保存地点、安全事件等。

3. 金融行业

   • 金融数据属于重要数据，需通过安全评估。
   • 个人金融信息出境需获得用户明示同意，并通过安全评估确保境外机构的数据安全能力。

4. 人工智能行业

   • 人工智能训练数据需合法合规，避免侵犯他人权利。
   • 涉及重要数据的训练数据需通过省级网信部门申报安全评估。
   • 生成内容需进行明确标识，确保用户知情权。

附录与参考文献

• 附录 A 提供了主体、标的、流通合规评估建议文档，涵盖各类合规证明、制度文件、安全措施等。
• 附录 B 列举了特殊场景下的跨境数据交易合规要求，包括医疗、汽车、金融、人工智能等领域的具体规定。
• 本文件参考了多个国家标准和法律法规，如《个人信息保护法》、《数据安全法》、《网络安全法》等，以及《数据出境安全评估办法》《个人信息出境标准合同办法》等。

评估方法

• 评估准备：组建评估团队，制定评估方案，收集并分类评估资料。
• 评估实施：按主体、标的、流通三个维度进行评估，记录问题并反馈。
• 评估报告：撰写评估报告，包含评估过程、发现、结论与改进建议，并进行跟踪与改进。
• 存档与复审：法律服务机构对评估资料进行归档，并进行复审以确保持续合规。

总结

该指引为跨境数据交易提供系统性、可操作的合规评估标准，涵盖合法、安全、诚信、权益保障四个维度，适用于不同交易模式及行业特殊场景。同时，强调数据来源合法性、数据处理合规性、数据流通安全性及数据主体权益保障，以确保跨境数据交易活动的合法、安全与透明。