数据出境管理清单上新啦!

2025年2月8日，数据出境管理清单喜迎上新。当天，上海市网信办等部门联合发布《中国（上海）自由贸易试验区及临港新片区数据出境管理清单》（2024版）及相关管理办法，这也是自2024年5月上海自贸区临港新片区管委会发布智能网联汽车等领域数据跨境场景化一般数据清单以来，上海自贸试验区在数据跨境管理方面迈出的又一步。

《负面清单》涵盖哪些领域？

本次出台的《负面清单》，涵盖再保险、国际航运和商贸领域（零售与餐饮业、住宿业）3个关键领域，包括重要数据、个人信息2类数据，涉及6个具体场景，84个数据项。

《负面清单》内的数据出境有哪些具体要求？

《负面清单》在三个领域中按照监管要求的不同，分别列出了需要通过数据出境安全评估和需要通过个人信息出境标准合同备案、个人信息保护认证出境这两类管理要求的对应业务场景和数据子类，并对数据的基本特征做出了详细的描述。

《负面清单》与此前规定有哪些突破？

• 国家网信办2024年3月发布的《促进和规范数据跨境流动规定》明确，数据处理者自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感个人信息）或者1万人以上敏感个人信息，需要申报数据出境安全评估；提供10万人以上不满100万人个人信息（不含敏感个人信息）或者不满1万人敏感个人信息，则需要订立个人信息出境标准合同或通过个人信息保护认证。

• 《负面清单》对上述阈值做了较大提升，比如，在人身险、财产险的再保险场景下，去标识化后的姓名、性别、年龄、国籍、职业类型等个人信息，以及保单号、保额、保费、理赔号、理赔金额等敏感个人信息，只有自当年1月1日起累计向境外提供1000万人以上个人信息（不含敏感个人信息），或者100万人以上敏感个人信息，才需要通过数据出境安全评估；同样场景下，自当年1月1日起累计向境外提供100万人以上且不满1000万人个人信息（不含敏感个人信息）或者1万人以上且不满100万人敏感个人信息的，才需要通过个人信息出境标准合同备案或个人信息保护认证。

《负面清单》适用于哪些主体？

《负面清单》适用于在上海自贸试验区及临港新片区内注册且在上海自贸试验区及临港新片区内开展数据出境活动的数据处理者，关键信息基础设施运营者不适用本清单。

相关企业开展数据出境活动，哪些数据免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证？

• 一是国际贸易、跨境运输、学术合作、跨国生产制造和市场营销等活动中收集和产生的数据向境外提供，不包含个人信息或者重要数据的。

• 二是在境外收集和产生的个人信息传输至境内处理后向境外提供，处理过程中没有引入境内个人信息或者重要数据的。

• 三是为订立、履行个人作为一方当事人的合同，如跨境购物、跨境寄递、跨境汇款、跨境支付、跨境开户、机票酒店预订、签证办理、考试服务等，确需向境外提供个人信息的。

• 四是按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需向境外提供员工个人信息的。

• 五是紧急情况下为保护自然人的生命健康和财产安全，确需向境外提供个人信息的。

• 六是关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）的。

• 七是向境外提供《负面清单》外的数据。其中，第三种至第六种条件所称向境外提供的个人信息，不包括被相关部门、地区告知或者公开发布为重要数据的个人信息。 

《中国（上海）自由贸易试验区及临港新片区数据出境负面清单实施指南（试行）》也同步发布，为相关企业提供关于适用范围、报备流程及方式、注意事项等信息指引。

-END-