中国北京自由贸易试验区数据出境负面清单管理办法试行2024版V1.01-炼石图解_152页_62mb

中国(北京)自由贸易试验区数据出境负面清单管理办法及负面清单（2024版）总结

核心内容概述

中国（北京）自由贸易试验区（以下简称“北京自贸试验区”）于2024年8月26日发布了《数据出境负面清单管理办法（试行）》及《数据出境管理清单（负面清单）（2024版）》，标志着北京在数据跨境便利化服务改革方面取得重大突破。该政策旨在实现“管得住、放得开、用得好”的目标，形成高效、便利、安全的数据跨境流动“北京实践”。

主要观点与关键信息

1. 负面清单制度设计

• 负面清单制定依据：基于国家数据分类分级保护制度，由北京市相关部门制定负面清单，并报省级网络安全和信息化委员会批准后备案。
• 负面清单适用范围：负面清单适用于北京自贸试验区内的企业，涉及汽车行业、医药行业、民航业、零售与现代服务业及人工智能训练数据等五大领域。
• 负面清单内容：负面清单包括具体的数据出境场景、数据类型、字段及数据量级，便于企业识别和判断数据出境是否需要申报安全评估或签订标准合同。

2. 数据出境路径与合规要求

• 数据出境路径：企业出境数据需依据数据类型选择合规路径，包括数据出境安全评估、个人信息出境标准合同备案或个人信息保护认证。
• 豁免情形：负面清单外的数据出境活动，按《数据出境安全评估办法》《个人信息出境标准合同办法》等国家规定执行。
• 动态管理机制：负面清单实行动态管理，市级管理部门定期评估实施情况和安全风险，适时修订清单，以适应变化。

3. 监管与实施机制

• 监管机制：实施全链条、全领域综合监管，包括事前、事中和事后监管，确保数据安全。
• 市级管理部门职责：
  • 建立负面清单管理体系
  • 指导和监督数据跨境流动
  • 实施报审及备案流程
  • 建立风险研判、通报、监测预警机制
  • 统筹开展安全风险评估与整改
• 各自贸组团职责：
  • 组织指导本组团内数据处理者合规使用负面清单
  • 制定配套实施指南
  • 指导备案和使用申请
  • 加强数据出境活动的跟踪监督
• 数据处理者义务：
  • 及时备案
  • 配合市级管理部门及各自贸组团的监督检查
  • 遵循负面清单使用流程，如一致性抽验等

4. 数据分类分级参考规则

• 重要数据识别：根据《数据安全法》及相关法规，明确重要数据识别标准，形成北京自贸试验区重要数据目录。
• 分类分级标准：
  • 一级类别包括战略物资、自然资源、工业、电信、金融、交通运输等。
  • 二级类别包括具体数据类型，如石油、气象数据、个人信息、健康医疗数据等。
  • 每类数据均提供详细的识别规则，便于企业准确判断。

5. 重点行业数据出境要求

• 汽车行业：
  • 适用企业包括制造商、零部件供应商、经销商等。
  • 重要数据包括车辆研发、测试数据、车联网信息服务数据等。
  • 个人信息出境需根据数量和类型选择合规路径。
• 医药行业：
  • 适用企业包括药品研发、生产、销售等。
  • 重要数据包括临床试验、健康医疗数据、特定药品实验数据等。
  • 个人信息出境标准放宽，如100万人以上或1万人以上敏感个人信息。
• 民航业：
  • 适用企业包括航空运输、维修、客户服务等。
  • 重要数据包括飞行数据记录器、驾驶舱语音记录器、航空器健康状况监测数据等。
  • 个人信息出境标准提高，如500万人以上或10万人以上敏感个人信息。
• 零售与现代服务业：
  • 适用企业包括面向消费者的零售、住宿、餐饮、软件服务等。
  • 个人信息出境标准放宽，如500万人以上或100万人以上敏感个人信息。
• 人工智能训练数据：
  • 适用于训练模型、算法开发及产品测试场景。
  • 重要数据包括高价值敏感数据、关键算法源代码、控制程序等。
  • 个人信息出境标准根据数据类型进行细化。

6. 数据出境服务举措

• 北京数据跨境服务中心：设立4个服务站，提供一站式服务能力。
• 绿色通道服务：拓宽服务范围，分行业、分领域、分批次开展服务。
• 数据跨境便利化信息服务平台：形成全市统一的便利化服务能力。
• 服务指南：编发《北京市数据跨境流动便利化服务指南》，细化百余项服务内容，提升政策覆盖面和到达率。

适用企业影响

• 负面清单内：企业需根据数据类型选择合规路径，如安全评估、标准合同备案或认证。
• 负面清单外：需按国家相关规定执行，如《数据出境安全评估办法》《个人信息出境标准合同办法》等。
• 触发标准：不同行业有不同触发标准，例如汽车行业需关注100万人以上个人信息或1万人以上敏感个人信息。

政策意义与参考价值

• 示范性与实用性：负面清单是首个场景化、字段级的数据出境负面清单，具有示范性和实用性。
• 分批分类管理：负面清单按行业分批制定，数据项采取分类管理。
• 安全可控：强调数据安全底线，确保数据跨境流动在安全的前提下进行。
• 简明实用：厘清各方权责，以场景化形式指导企业合规操作。

相关法律依据

• 《网络安全法》：规定关键信息基础设施运营者在境内存储数据。
• 《数据安全法》：明确重要数据出境安全管理。
• 《个人信息保护法》：规定个人信息出境的合规路径。
• 《促进和规范数据跨境流动规定》：为负面清单制度提供法律依据。

总结

北京自贸试验区数据出境负面清单制度是国家数据跨境流动政策的创新实践，旨在推动数据依法有序流动，同时保障数据安全。该制度明确了负面清单制定流程、职责分工、使用管理及安全监管机制，为各行业提供了明确的合规指引。通过分批分类管理、动态调整、服务举措等方式，提升了企业数据出境的便利性和合规性，为北京自贸试验区的数据跨境流动构建了闭环政策体系。