我国跨境数据流通实践存在哪些问题？

我来对我国跨境数据流通实践存在的问题进行简单梳理。

1.数据跨境界定不清晰

目前，对于数据跨境的界定在法律层面仍不够清晰，仅国家互联网办公室负 责人就《数据出境安全评估办法》相关问题答记者问时提到，数据出境活动主要 包括：一是数据处理者将在境内运营中收集和产生的数据传输、存储至境外。二 是数据处理者收集和产生的数据存储在境内，境外的机构、组织或者个人可以访 问或者调用。但仍然无法明确某些具体场景下，数据处理活动是否构成数据出境 活动，例如数据中转（data transit）、境外主体访问公开信息，以及境外主体委 托境内主体加工处理数据后再传输出境的情形。对于数据跨境场景界定的不清 晰，将陷入数据处理者无法准确识别自身合规义务、监管部门无法明确监管事项 的困境。

2.市场对于国家核心数据、重要数据的判定存在差异

当前国家核心数据、重要数据的识别标准模糊，导致部分跨境数据流通或交易对于国家核心数据、重要数据的判定存在差异而造成违规或合规压力。如国家 核心数据仅在《数据安全法》中有所提及，缺乏可执行的判定标准；帮助界定重 要数据范围的国家标准仍然处于制定阶段，同样缺乏权威认定标准。一方面，这 让部分数据处理者因未识别到国家核心数据、重要数据，故未履行出境前置程序， 存在合规义务未履行的风险。另一方面，部分数据处理者所处理的数据虽安全级 别较低，不属于国家核心数据、重要数据，但同样由于国家核心数据、重要数据 识别标准模糊，数据处理者将无需进行安全评估的跨境数据事项向网信部门进行 申报，造成了不必要的行政监管资源浪费及企业合规负担加重。

3.数据出境业务开展成本高

《数据出境安全评估办法》规定在申报数据出境安全评估前，应当开展数据 出境风险自评估。特别是在监管趋严的情况下，为确保数据依法依规跨境流通， 尽快达到前述办法明确的合规要求，数据处理者通常自我施压，主动“加码”， 来应对可能出现的风险，最终致使有数据跨境传输需求的数据处理者合规义务陡 增。同时，由于当前标准化自评估体系还未完善，数据处理者通常需要委托有能 力的第三方机构开展评估工作，或将在效率及可操作性层面造成相应损耗，增大 数据出境业务开展成本。

4.数据接收方的合规义务核查难

根据现行有效的法律法规等规范文件，对于数据出境链路及数据接收方的数 据安全保障能力均有相应的要求，但在实际业务开展中，域外法律识别、政策法 规和安全环境评价、接收方数据安全保障能力、数据处理全流程等事项均涉及域 外核查，开展实地调研及核查存在一定难度及较高成本，企业落实存在一定困难。

5.数据跨境安全义务评价标准缺失

对于拟通过数据出境安全评估路径传输数据出境的企业，需对自身及境外数 据接收方的数据处理安全保障能力进行描述，但是对于应当采取何种类型的安全 措施以及应当在数据跨境传输过程中部署哪些安全保障策略等问题，《数据出境 安全评估办法》《数据出境安全评估申报指南（第一版）》等规范文件中均未明 确。数据跨境安全义务评价标准的不可知，将使企业无法判定究竟应当从何种维 度补充或加强自身在数据出境过程中的安全保障措施。如因安全义务履行瑕疵而 无法通过数据出境安全评估，企业也难以获知需要弥补之处。

6.信息出境标准合同适用范围过小

根据国家互联网信息办公室 2022 年 6 月 30 日发布的《个人信息出境标准合 同规定（征求意见稿）》，如个人信息处理者处理个人信息超过 100 万人次，将 无法适用该标准合同传输数据出境，但实践中众多小微企业经营跨境电商等业务 时，都会处理超过 100 万人次的个人信息。对于这类主体，如只能适用数据出境安全评估或通过个人信息保护认证的方式传输数据出境，将导致其承担与其业务 规模不匹配的巨大合规成本。

7.跨境数据流通技术水平和数据治理能力有待提升

我国跨境数据流通的需求正从事件与合规驱动向业务驱动演进，跨境数据流 通在技术上需要性能稳定、简单易用的全链条平台工具释放阻力。跨境数据还存 在数据壁垒突出、碎片化问题严重等瓶颈。现有结构性数据为主治理方式，在数 据质量、数据字段丰富度、数据分布和数据实时性等维度还难以满足跨境领域 AI 应用对数据的高质量要求。