企業(yè)數(shù)據(jù)跨境合規(guī)與技術(shù)應(yīng)用白皮書 2023

1 3 3 4 6 8 92.2數(shù)據(jù)出境合規(guī)路徑判斷方法 122.3數(shù)據(jù)出境合規(guī)路徑實(shí)施流程 152.4數(shù)據(jù)出境所涉基本概念 182.5數(shù)據(jù)出境典型場(chǎng)景 20 233.1組織機(jī)構(gòu)建設(shè) 24 263.3合規(guī)路徑操作實(shí)踐 273.4保障體系建設(shè) 283.5技術(shù)防護(hù)措施 30 394.1健全數(shù)據(jù)出境制度體系與保護(hù)機(jī)制 394.2強(qiáng)化數(shù)據(jù)跨境技術(shù)創(chuàng)新研究與應(yīng)用 404.3推動(dòng)數(shù)據(jù)跨境協(xié)同治理與國(guó)際交流合作 41 43 45表目錄表2-1我國(guó)法律規(guī)制的數(shù)據(jù)出境合規(guī)路徑 10表2-2數(shù)據(jù)出境合規(guī)路徑適用情形 11表2-3《規(guī)定（征求意見稿）》出臺(tái)后合規(guī)路徑適用情形 12表2-4數(shù)據(jù)出境行為模式一 21表2-5數(shù)據(jù)出境行為模式二 22表3-1傳統(tǒng)聯(lián)邦學(xué)習(xí)和安全聯(lián)邦學(xué)習(xí)的比較 36 16 17 24 37-1-規(guī)則》等進(jìn)一步明確了不同數(shù)據(jù)出境路徑的具體要求。信息保護(hù)認(rèn)證？三條路徑具體應(yīng)如何實(shí)施？能夠段防范數(shù)據(jù)出境安全風(fēng)險(xiǎn)？……-2-）：-3-一、全球數(shù)據(jù)跨境流動(dòng)背景地區(qū)重點(diǎn)關(guān)注的議題之一。1.1數(shù)據(jù)跨境驅(qū)動(dòng)全球數(shù)字經(jīng)濟(jì)加速增長(zhǎng)2008年以來，跨境數(shù)據(jù)流動(dòng)對(duì)全球經(jīng)濟(jì)增長(zhǎng)的貢獻(xiàn)已經(jīng)超過態(tài)等方面發(fā)揮著重要作用。-4-長(zhǎng)0.2%。預(yù)計(jì)到2025年，全球數(shù)據(jù)流動(dòng)對(duì)經(jīng)濟(jì)增長(zhǎng)的貢獻(xiàn)將達(dá)到11萬億美元。據(jù)經(jīng)濟(jì)合作與發(fā)展組織（OECD）測(cè)算，數(shù)據(jù)流動(dòng)對(duì)各行業(yè)利潤(rùn)增長(zhǎng)的平均促進(jìn)率在10%，在數(shù)字平臺(tái)、金融業(yè)等行業(yè)強(qiáng)做優(yōu)做大。1.2各國(guó)加快構(gòu)建自身數(shù)據(jù)跨境流動(dòng)規(guī)則-5-個(gè)人數(shù)據(jù)僅能存儲(chǔ)在印度境內(nèi)的服務(wù)器或數(shù)據(jù)中心，絕對(duì)禁止離境。-6-或地區(qū)對(duì)數(shù)據(jù)跨境流動(dòng)進(jìn)行了不同程度的限制。步跨太平洋伙伴關(guān)系協(xié)定》（CPTPP）和《定》（RCEP），保障數(shù)據(jù)合理數(shù)據(jù)跨境流動(dòng)都是其1.3我國(guó)數(shù)據(jù)跨境流動(dòng)監(jiān)管面臨較大挑戰(zhàn)我國(guó)明確將數(shù)據(jù)作為新型生產(chǎn)要素，據(jù)《數(shù)字中國(guó)發(fā)展報(bào)告長(zhǎng)22.7%，占全球數(shù)據(jù)總產(chǎn)量的10.5%，位居全球第二；我國(guó)數(shù)字-7-據(jù)的不合法出境是數(shù)據(jù)跨境安全治理的基礎(chǔ)。衍生數(shù)據(jù)狀態(tài)判斷不明，使得數(shù)據(jù)跨境流動(dòng)風(fēng)險(xiǎn)難以有效判定。-8-二、我國(guó)數(shù)據(jù)跨境政策環(huán)境與重點(diǎn)內(nèi)容解讀-9-的典型場(chǎng)景。2.1我國(guó)數(shù)據(jù)跨境監(jiān)管制度路徑，具體要求如表2-1所示。-10-《網(wǎng)絡(luò)安全法》2017年《數(shù)據(jù)安全法》2021年《個(gè)人信息保護(hù)法》2021年-11-《數(shù)據(jù)出境安全評(píng)估辦法》2022年《數(shù)據(jù)出境安全評(píng)估申《個(gè)人信息保護(hù)認(rèn)證實(shí)施規(guī)則》2022年日對(duì)個(gè)人信息處理者開展個(gè)人信息跨境等處理《信息安全技術(shù)個(gè)人信息安全規(guī)范》《網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實(shí)踐指V2.0》《個(gè)人信息出境標(biāo)準(zhǔn)合同辦法》2023年通過標(biāo)準(zhǔn)合同方式向境外提供個(gè)人信息應(yīng)同時(shí)符合法律、行政法規(guī)或者國(guó)家網(wǎng)信部門另有規(guī)定的《個(gè)人信息出境標(biāo)準(zhǔn)合-12-用情形將發(fā)生變化，總結(jié)如表2-3所示。2.2數(shù)據(jù)出境合規(guī)路徑判斷方法-13-則需進(jìn)一步判斷出境所涉及的個(gè)人信息主體數(shù)量。預(yù)計(jì)一年內(nèi)向境外提供100萬人以上個(gè)人信息的，應(yīng)當(dāng)申報(bào)數(shù)據(jù)出境安全評(píng)估。但可以不申報(bào)數(shù)據(jù)出境安全評(píng)估。-14-未列入自貿(mào)區(qū)負(fù)面清單的數(shù)據(jù)：自貿(mào)區(qū)可自行制定數(shù)據(jù)出境-15-2.3數(shù)據(jù)出境合規(guī)路徑實(shí)施流程2.3.1數(shù)據(jù)出境安全評(píng)估估申報(bào)指南》中明確的數(shù)據(jù)出境安全評(píng)估的申-16-根據(jù)《評(píng)估辦法》的要求，數(shù)據(jù)出境安全評(píng)估整體流程期間為）；2.3.2個(gè)人信息出境標(biāo)準(zhǔn)合同-17-評(píng)估報(bào)告并至少保存三年。地省級(jí)網(wǎng)信部門提交標(biāo)準(zhǔn)合同和個(gè)人信息保護(hù)影響評(píng)估報(bào)告等材料所示。2.3.3個(gè)人信息保護(hù)認(rèn)證-18-依據(jù)則為《信息安全技術(shù)個(gè)人信息安全規(guī)范》以及《網(wǎng)絡(luò)安全標(biāo)準(zhǔn)持續(xù)符合認(rèn)證要求。的，應(yīng)按照該辦法進(jìn)行網(wǎng)絡(luò)安全審查等。2.4數(shù)據(jù)出境所涉基本概念握相關(guān)基本概念對(duì)有效識(shí)別數(shù)據(jù)出境合規(guī)路徑-19-2.4.1重要數(shù)據(jù)公共健康和安全等的數(shù)據(jù)。2.4.2個(gè)人信息個(gè)人信息是以電子或者其他方式記錄的與已識(shí)別或者可識(shí)別的自然的個(gè)人信息。-20-2.4.3關(guān)鍵信息基礎(chǔ)設(shè)施2.5數(shù)據(jù)出境典型場(chǎng)景是否以為中國(guó)境內(nèi)居民提供服務(wù)為目的；提供產(chǎn)品和服務(wù)的過程中是否使用了中文；是否提供了可以用人民幣作為結(jié)算貨幣的選項(xiàng)；-21-是否向中國(guó)境內(nèi)配送物流等。實(shí)踐中企業(yè)常見的幾類數(shù)據(jù)出境場(chǎng)景分別如表2-4和表2-5所示。①例：某公司將收集的境內(nèi)業(yè)務(wù)數(shù)據(jù)上傳至境內(nèi)服務(wù)器，輸至境外母公司服務(wù)器。②例：某款服務(wù)器位于新加坡的App將在境內(nèi)收集的用戶數(shù)據(jù)直接存儲(chǔ)于新加坡。③例：公司聘請(qǐng)第三方機(jī)構(gòu)代為招聘員工，由第三方機(jī)構(gòu)的擬聘請(qǐng)員工數(shù)據(jù)傳輸至境外，供境外母公司進(jìn)一步評(píng)估考核。④供應(yīng)商按照子公司委托將數(shù)據(jù)進(jìn)一步傳輸至境外母公司。⑤例1：在公司招聘的過程中，由應(yīng)聘人員直接訪問境外企業(yè)網(wǎng)站填寫相關(guān)個(gè)人信息。例2：境外母公司通過部署在境外的全球人力資源管理系統(tǒng)直接收集境內(nèi)子公司的員工數(shù)據(jù)。表2-5數(shù)據(jù)出境行為模式二：數(shù)據(jù)處理者收集和產(chǎn)生的數(shù)據(jù)存儲(chǔ)在境①屬子公司或關(guān)聯(lián)公司訪問或調(diào)用境-22--23-境外母公司可以通過登錄系統(tǒng)直接訪問、調(diào)取境內(nèi)服務(wù)器上的員工數(shù)據(jù)。②境外母公司來華視察的高管直接訪問并拷貝境內(nèi)服務(wù)器上的運(yùn)營(yíng)信息。三、企業(yè)數(shù)據(jù)跨境合規(guī)治理體系建設(shè)-24-3.1組織機(jī)構(gòu)建設(shè)-25--26-3.2制度體系建設(shè)展數(shù)據(jù)跨境工作，規(guī)避合規(guī)風(fēng)險(xiǎn)。3.2.1數(shù)據(jù)跨境專項(xiàng)制度活動(dòng)。數(shù)據(jù)跨境合規(guī)操作指南/規(guī)范為數(shù)據(jù)跨境管理提供操作規(guī)程和實(shí)-27-3.2.2安全管控配套制度管理制度，配套輔助數(shù)據(jù)跨境流動(dòng)過程中的安全管理。據(jù)出境中和出境后需要依據(jù)有關(guān)要求采取相應(yīng)的防護(hù)舉措并做好風(fēng)3.3合規(guī)路徑操作實(shí)踐3.3.1數(shù)據(jù)出境場(chǎng)景梳理-28-3.3.2數(shù)據(jù)出境合規(guī)路徑實(shí)施了三種數(shù)據(jù)出境路徑的實(shí)施流程。方行使本法規(guī)定權(quán)利的方式和程序等事項(xiàng)，并取得動(dòng)達(dá)到我國(guó)《個(gè)人信息保護(hù)法》規(guī)定的個(gè)人信息保護(hù)標(biāo)準(zhǔn)。3.4保障體系建設(shè)3.4.1風(fēng)險(xiǎn)監(jiān)測(cè)-29-3.4.2應(yīng)急保障企業(yè)宜根據(jù)數(shù)據(jù)出境業(yè)務(wù)情況建立針對(duì)性的數(shù)據(jù)安全事件應(yīng)急3.4.3出境后合規(guī)監(jiān)控-30-企業(yè)還需要持續(xù)關(guān)注數(shù)據(jù)接收方所在國(guó)家或地區(qū)的數(shù)據(jù)跨境相如觸發(fā)重新申報(bào)數(shù)據(jù)出境安全評(píng)估的情況，還應(yīng)當(dāng)重新申報(bào)。3.4.4安全意識(shí)培養(yǎng)3.4.5監(jiān)督檢查3.5技術(shù)防護(hù)措施-31-不可篡改性。3.5.1數(shù)據(jù)安全通用技術(shù)應(yīng)用-32-的過程中，根據(jù)相關(guān)的權(quán)限及授權(quán)要求，對(duì)實(shí)時(shí)的SQL查詢語句進(jìn)-33-定責(zé)。規(guī)進(jìn)行處置。3.5.2數(shù)據(jù)安全創(chuàng)新技術(shù)應(yīng)用-34-有可信第三方的前提下通過數(shù)學(xué)理論保證參與計(jì)算的各方輸入信息-35-安全聯(lián)邦學(xué)習(xí)被認(rèn)為是兼具隱私保護(hù)和跨機(jī)構(gòu)數(shù)據(jù)共享的技術(shù)-36-國(guó)的網(wǎng)絡(luò)安全法以及GDPR、HIPAA等嚴(yán)習(xí)的比較如表3-1所示。技術(shù)成熟度性能算法能力安全性依賴可信方概要普通聯(lián)邦學(xué)習(xí)高高中中部分需要普通聯(lián)邦學(xué)習(xí)，存在風(fēng)險(xiǎn)需要結(jié)合其它技術(shù)改進(jìn)，才能合規(guī)。安全聯(lián)邦學(xué)習(xí)高高高高可不需要綜合運(yùn)用TEE、密碼學(xué)等隱私保護(hù)計(jì)算方法，適用于各種業(yè)務(wù)場(chǎng)景，容易合規(guī)。-37-的研究，基于區(qū)塊鏈網(wǎng)絡(luò)的跨境數(shù)據(jù)流動(dòng)示意圖如3-2所示。境內(nèi)-38-個(gè)顯式的IPv6地址棧，該地址棧儲(chǔ)存一條有序排列的轉(zhuǎn)發(fā)路徑，這種方式有能力在數(shù)據(jù)跨境流動(dòng)過程中控制數(shù)據(jù)的傳輸路徑。APN6（應(yīng)用感知型IPv6網(wǎng)絡(luò)）技術(shù)則是將應(yīng)用信息攜帶在IPv6數(shù)據(jù)報(bào)文的類型和級(jí)別，并進(jìn)一步為不同類型和級(jí)別的數(shù)IFIT（隨流檢測(cè)）技術(shù)是在真實(shí)業(yè)務(wù)報(bào)文中插入IFIT報(bào)文頭以進(jìn)行特征標(biāo)記，這種方式有能力實(shí)現(xiàn)數(shù)據(jù)跨境傳輸?shù)穆窂剿菰锤??？梢哉f，IPv6為感知數(shù)據(jù)、管理并優(yōu)化數(shù)據(jù)跨境傳輸提供了一個(gè)潛在的解決方案。企業(yè)可以積極探索并推進(jìn)IPv6在數(shù)據(jù)跨境場(chǎng)景-39-四、數(shù)據(jù)跨境安全管理發(fā)展建議4.1健全數(shù)據(jù)出境制度體系與保護(hù)機(jī)制化對(duì)數(shù)據(jù)出境的全流程安全管控。的出境管控，保障重要數(shù)據(jù)安全。-40-4.2強(qiáng)化數(shù)據(jù)跨境技術(shù)創(chuàng)新研究與應(yīng)用-41-4.3推動(dòng)數(shù)據(jù)跨境協(xié)同治理與國(guó)際交流合作澳大灣區(qū)數(shù)據(jù)跨境流動(dòng)的合作備忘錄》為始，-42--43-附錄：數(shù)據(jù)出境相關(guān)法律法規(guī)和國(guó)家標(biāo)準(zhǔn)1《中華人民共和國(guó)網(wǎng)絡(luò)安全法》2《中華人民共和國(guó)數(shù)據(jù)安全法》3《中華人民共和國(guó)個(gè)人信息保護(hù)法》2021年11月1日4《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》5《網(wǎng)絡(luò)安全審查辦法》6《數(shù)據(jù)出境安全評(píng)估辦法》78《個(gè)人信息保護(hù)認(rèn)證實(shí)施規(guī)則》9《個(gè)人信息出境標(biāo)準(zhǔn)合同辦法》《個(gè)人信息出境標(biāo)準(zhǔn)合同備案指南-44-GB/T37988-2019《信息安全技術(shù)數(shù)據(jù)安全能力成熟度模型》TC260GB/T