主理人：刘典

【AI国际治理知识库】

在全球化和技术革新浪潮中，人工智能作为一种颠覆性的技术力量，正在深刻改变全球经济结构和社会秩序，并引发了广泛的关注和一系列复杂的治理挑战。随着AI技术的快速发展和广泛应用，建立有效的国际治理框架变得尤为迫切。AI国际治理知识库关注全球视野下人工智能国际治理的关键趋势与地缘政治背景下的科技和数字治理问题，为关注相关问题的朋友提供及时、有效、严谨、全面的知识信息。

前言：中国数据跨境流动治理体系

数据是国家基础战略性资源和重要生产要素，现已成为改变全球竞争格局的重要力量之一。为了保障数据安全，保护个人信息权益，促进数据依法有序自由流动，2024年3月22日，国家互联网信息办公室公布《促进和规范数据跨境流动规定》（以下简称《规定》）。《规定》对我国现有数据出境安全评估、个人信息出境标准合同、个人信息保护认证等数据出境制度的实施和衔接作出进一步明确，对进一步促进安全、有序的数据跨境具有重要作用。

为更加深入理解数据跨境流动，同时为理解中国数据跨境流动治理的发展趋势，我们对中国近年来在数据跨境流动治理领域展现出的态度及其治理规则予以初步整理。

PART1中国数据跨境流动治理发展概况

1.中国数据跨境流动治理的法律法规进程

2.中国数据跨境流动治理的规则建构

Part2中国数据跨境流动治理重要政策梳理

Part3

中国数据跨境流动治理现行体系

01

中国数据跨境流动治理发展概况

01

中国数据跨境流动治理的法律法规进程

为保障国家数据安全，保护个人信息权益，促进数据开发利用，加强数据安全管理和个人信息保护，积极推动数据跨境安全、促进数据依法有序自由流动，我国制定出台了多部与数据跨境流动相关的法律法规。

2024年3月22日，《规定》出台，中国数据政策将越来越开放。

其一，中国数据跨境相关政策将越来越朝着促进发展方面进行结构性调整。在《规定》出台前，网信办、数据局等与数据跨境流动相关的部门在对我国数据跨境流动方面的表述一直都是“规范和促进”。而在《规定》出台后，标题由征求意见稿的“规范和促进”改为了现行的“促进和规范”，这体现出国家在对待数据跨境流动领域的重心更侧重于发展。

其二，中国数据跨境流动监管体系逐步迈向更成熟和精细化的方向。《规定》立足于数据跨境流动实践，列举了无需适用数据出境安全评估、个人信息出境标准合同和个人信息保护认证的情形，细化了数据跨境的适用范围。同时，根据《规定》，国家发布《数据出境安全评估申报指南（第二版）》和《个人信息出版标准合同备案指南（第二版）》，进一步规范化数据出境申报材料，并公布线上数据出境申报平台，数据跨境流动治理体系逐步完善。

中国数据跨境流动治理现行政策与体系的开放充分体现了我国扩大开放的决心，以此持续推进高水平对外开放。

02

中国数据跨境流动治理的规则建构

首先，我国相继制定实施《网络安全法》《数据安全法》《个人信息保护法》，对数据跨境流动活动作出明确规定。

其次，为落实法律规定要求，国家互联网信息办公室公布了《数据出境安全评估办法》和《个人信息出境标准合同办法》，联合国家市场监督管理总局实施个人信息保护认证，公布了《个人信息保护认证实施规则》，基本构建了数据出境安全管理制度。

其一，2022年7月，国家互联网信息办公室公布《数据出境安全评估办法》，对数据出境安全评估的适用范围、管理方式、具体情形、工作流程、评估要求等作出说明。其二，2022年11月，国家互联网信息办公室会同国家市场监督管理总局公布《关于实施个人信息保护认证的公告》，制定《个人信息保护认证实施规则》，其中明确适用范围、认证依据、认证模式、认证实施程序、认证证书和认证标志等关键事项，并公布了包含跨境处理活动的个人信息保护认证标志。其三，2023年2月，国家互联网信息办公室出台《个人信息出境标准合同办法》，对适用范围、重要原则、订立条件、备案要求、监督管理、法律责任和合规整改等进行了具体规定，同时明确了标准合同范本。

此外，国家互联网信息办公室先后公布了《数据出境安全评估申报指南（第一版）》《个人信息出境标准合同备案指南（第一版）》等文件，对数据处理者申报安全评估、备案标准合同的方式、流程及需提交的材料等具体要求作出了说明，指导数据处理者规范申报数据出境安全评估。

02

中国数据跨境流动治理重要政策梳理

2022—2024年中国数据跨境流动治理重点政策文件（节选）

03

中国数据跨境流动治理现行体系

《数据出境安全评估办法》《个人信息出境标准合同办法》《个人信息保护认证实施规则》等主要规则构建了以安全评估、标准合同备案和个人信息保护认证为核心的数据出境监管框架。伴随数据跨境流动的实践发展，我国立足社会发展的新动态与实践需求，对数据出境跨境流动治理（监管）体系进行了更新。结合《规定》的相关规范，可以将现行数据跨境中的数据简单归纳为三类。

第一类是非重要数据且非个人信息的一般数据，随便出。《规定》罗列了免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证的情形。

第二类是重要数据，没被通知就不用管。《规定》第2条规定：“数据处理者应当按照相关规定识别、申报重要数据。未被相关部门、地区告知或者公开发布为重要数据的，数据处理者不需要作为重要数据申报数据出境安全评估。”

第三类是个人信息，具体情况具体分析。《规定》明确，被认定为“关键信息基础设施运营者”的，任何一条个人信息出境均需要做数据出境安全评估。

第七条数据处理者向境外提供数据，符合下列条件之一的，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估：
（一）关键信息基础设施运营者向境外提供个人信息或者重要数据；
（二）关键信息基础设施运营者以外的数据处理者向境外提供重要数据，或者自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感个人信息）或者1万人以上敏感个人信息。
属于本规定第三条、第四条、第五条、第六条规定情形的，从其规定。

主编丨刘典

副主编丨王祚

编辑丨薛晶晶

排版丨赵杨博

审核丨梁正鲁俊群

中国数据跨境流动治理体系【AI国际治理知识库】