范佳宜｜GDPR下对中国企业数据跨境合规的思考( 三 ) 本文转自：上观范佳宜上海市

综上所述， GDPR对企业数据跨境合规指明了原则，同时通过具体的条款设置对数据控制着和数据处理者在处理该项业务时提出了具体的要求。企业在了解相关要求后，如何将其有机结合到企业日常的数据合规中是下一步工作的重点。在GDPR的语境下，合规是必然的要求，良好的数据合规治理也是企业在面对数据安全调查时的一项有效防护。而对于具有数据跨境需求的中国企业而言，同样需要考虑到本国对数据安全及数据传输的相关要求。
二、中国现有涉及数据跨境的相关法律法规
根据IDC报告所显示的数据，现今中国的数据产生量约占全球数据产生量的23% ，比美国的数据产生量大约多出2个百分点，中美两国的数据产生量基本占据了全球数据的一半。而不少中国企业早已发现了数据市场的强大潜力。根据蚂蚁科技集团股份有限公司（简称蚂蚁集团）在香港上市所公布的招股说明书显示，蚂蚁集团在淘宝和支付宝上积累了众多高黏度的客户，并同时发掘了他们的数据信息。这些信息为其小额贷款平台横向捆绑客户购买力提供了大量数据。平台享受到了客户数据所带来的多重红利，这种集群效应有助于最大限度地将数据转化为经济效益。由此可见，企业在数据市场可以挖掘的商业机会十分巨大，同时我国数据市场将迎来数据交易的战略机遇期。同时，在国际范围内，各国处于各自的战略目的，对互联网治理也设置了符合各自预期的法律标准。同样，中国利用监管、创新以及外交政策在多方面试图获取国际话语权，这其中当然也包括了互联网治理领域，其中也包括数据跨境的相关法律规定。
2013年《信息安全技术公共及商用服务信息系统个人信息保护指南》是中国第一个个人信息保护国家标准，该指南首次明确了数据管理者在进行数据转移时所应遵循的原则，针对数据跨境转移流程等予以明确，用以规范个人数据跨境流动。但相关规定是以指南的形式予以确认的，而并非法律规定。
随后， 2016年11月颁布的网络安全法正式在法律文本中对数据跨境流动进行了规定。其中第37条规定：“关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估。”该条款从网络运行安全的角度对关键信息基础设施运营者的数据存储做出了具体要求，并对数据向境外转移加以限制，从而确立了我国跨境数据传输的基本制度，即以境内存储为原则，安全评估后允许跨境传输为例外。
国家互联网信息办公室于2017年4月发布的个人信息和重要数据出境安全评估办法（征求意见稿）（简称安全评估办法草案）对个人信息和重要数据出境时所需进行的安全评估的适用范围、重点内容等进行了规定。在安全评估的适用范围上，安全评估办法草案规定所有的网络运营者向境外转移个人数据前均应进行安全评估，而并非网络安全法所规定的关键信息基础设施运营者，也就是说安全评估办法草案扩大了安全评估的适用范围。在安全评估的具体规则中，与GDPR的“受适当保障措施约束”中涉及标准合同运用的内容具有一定程度的一致性，安全评估办法草案同样列明了数据转移合同中所必要的条款。草案同时规定了评估过程的具体内容，并向公众公示了后续监管流程。同样值得注意的是，安全评估办法草案通过第20条的约定，明确了其域外适用效力，这点也与GDPR具有一致性。