城市数字治理安全与发展的平衡：上海跨境数据流动治理 2023

目录

前言.....................................................1

扩大数据跨境试点鼓励更高水平对外开放..................3

一、我国数据跨境面临的主要问题........................3

二、数据跨境遭遇堵点的原因分析及其影响...............5

三、对试点区数据流动发展的政策建议....................6

跨境数据流动的安全与发展的平衡可行性：企业政府双视角..8

一、“企业-政府”跨境数据流动现存的问题................9

二、跨境数据流动遇困的原因分析.......................10

三、促进跨境数据流动的安全发展平衡...................13

加速推动上海“国际数据港”建设.........................18

一、跨境数科建设“国际数据港”历程...................18

二、功能平台建设.....................................2()

三、数据跨境流动制度创新.............................22

补充研究：国内各地跨境数据流动治理政策梳理............24

一、上海涉及跨境数据流动相关政策.....................29

二、北京涉及踏境数据流动政策梳理.....................34

三、深圳涉及跨境数据流动政策梳理.....................45

四、海南涉及跨境数据流动政策梳理.....................54

刖百

自2021年开始，复旦发展研究院的智库咨政课程《政策调研

与写作》已历三年，以通识教育选修课的形式向复旦全校本科生

开设课程，落实智库育人。其中，数字科技治理的相关研究作为

其中三大模块之一，与生态环境与经济产业发展一道，力图带领

学生将学术研究与政策研究相结合、将理论研究与调研实践相结

合，以学术研究方法论为基础夯实实践调研成果，为上海与国家

发展贡献智慧。数字科技治理当中包括前沿数字技术突破、数字

科技产业发展、城市数字韧性与跨境数据流动治理等多个议题，

围绕上述议题，在理论与课堂教学之外，我们与来自全校不同专

业的学生一起走访调研，最终形成相应成果报告。

本报告的最终成型基于课程研究小组赴上海临港新片区跨境

数据科技有限公司的学习调研经历和此前的基础性研究。跨境数

科的各位领导老师为课程研究小组进行了详细的介绍，并针对跨

境数科、自贸区临港新片区和上海的跨境数据流动治理政策与课

程研究小组进行了充分的探讨。跨境数据流动对我国不断深化对

外开放、提升数字经济效能具有重要意义，如何探索一条兼顾高

效与安全的跨境数据流动通路是上海和临港面临的重要课题。在

这一过程中，需要详细了解当前跨境数据流动治理中的堵点痛点，

通过政策、技术、组织和产业落地，共同推动跨境数据流动机制

创新。跨境数科的领导老师们为调研小组带来诸多重要的思考角

度，并以跨境数科的跨境数据流动应用场景给予课程研究小组很

大启发。小组围绕上述议题撰写了成果报告，得到了跨境数科李

晶、张启心与贺维维等各位领导老师的指导与修改，在此我们表

达诚挚的感谢。

复旦大学发展研究院受临港新片区管委会、上海临港新片区

跨境数据科技有限公司等邀请，参与见证了国际数据港智库联盟

的启动仪式，与临港跨境数科国际数据港研究院和多家全国相关

研究机构一道成为成员单位，共同聚焦国际数据港建设面临的重

大理论与技术问题，加强全局性、战略性、前瞻性、针对性研究。

我们希望本次课程调研成果不仅能够使小组成员更加深入了解跨

境数据流动治理政策与实践，也为复旦和临港的合作做出贡献。

2

扩大数据跨境试点鼓励更高水平对外开放

李之端

数字化时代，数据己经成为一种经济资源。如同商品有国际

间进出口规则，目前各主要国家和地区也逐渐形成了不同的数据

跨境流动合规规制圈。近年来，我国正尝试与多种国际规则对接，

积极探索适应我国社会经济发展目标的数据合规办法。上海作为

我国对外开放的高地，也在试点建设高水平国际数据港，并在实

践过程中形成经验。但现有办法及经验仍然无法较好满足企业数

据跨境需求，数据跨境流动领域需要更高水平的对外开放。对此，

一方面政府应丰富监管手段，提升监管效率，以安全促发展；另

一方面，政府也应扩大数据跨境试点范围，促进更广泛的国际交

流与合作发展。

一、我国数据跨境面临的主要问题

L数据跨境评估流程长、灵活度低，不利于企业跨国经营。按

照《数据跨境安全评估办法》的流程，企业申报数据跨境审批后，

每次审核需要近两个月，每隔两年要审核一次，如果有较为紧急

的数据跨境需求，例如法务公司需跨国调取证据，将极为不便。

在企业数字化转型的趋势下，相对严格的数据跨境审批流程会削

弱上海对跨国企业的吸引力，影响营商环境，阻碍新一轮高水平

对外开放。

3

2.重要数据认定困难，企业进退两难。目前重要数据认定标准

仍然模糊。在《数据跨境安全评估申报指南》中，唯一确切的判

定指标为“100万人”“10万人”这一类定量指标，而其他影响数

据风险的因素并未纳入考虑。面对此种情况，企业相当忐忑，虽

有大胆发掘数据经济价值的进取之心，却又担忧不能充分把握政

策意图，如若数据跨境后出现问题，则有被监管部门追责之虞。

除此之外，现存的管理和各类执行办法并未给企业提供可靠参考，

以致企业在面对相关问题时踌躇不前。

3,正面清单较少，争议数据多。现存办法对于数据跨境的限制

均以负面清单形式公布，但碍于重要数据认定困难、负面清单边

界不清晰，种种办法并未帮助企业提升数据跨境的审批效率。因

此，部分数据跨境管理企业和数字贸易三台开始尝试探索“白名

单”，通过正面清单和负面清单的双向结合，缩小风险数据混沌区

域。然而，就上海市的实践来看，现阶段正面清单的效用有限：

无风险数据占据白名单内容的绝大部分，而那些真正存在争议的

用户个人数据和先进制造'也数据尚未被合理列入，因此白名单建

设也难以解决企业和平台面临的实际问题。

4,现有试点缺乏国际竞争力。上海是国际海光缆在中国大陆的

最主要登陆点，拥有产业生态、数字空间的优势，具备“国际数

据港”建设的卓越条件和强大的数据跨境服务发展潜力。然而，

在国际层面，其他国家和地区具有更深厚的探索历史与更高的开

4

放水平。例如，新加坡己经融通不同国际规则，建成亚太地区最

具吸引力的数据中心枢纽，吸引多家头部数字企业入驻。与之相

比，上海难以抢占龙头，缺乏足够的后续竞争力。

二、数据跨境遭遇堵点的原因分析及其影响

1.我国对于数据跨境态度谨慎，监管手段单一，数据跨境后，

监管难度增加，数据泄露风险增加。我国虽重视数据的经济价值，

但也强调在保障安全的前提下促进发展，态度非常谨慎，因此需

要重重审批。另一方面，除去企业自主申报后的审批，我国目前

对于数据跨境的监管方法仍依赖“事后”追责，缺乏长期的、动

态的“事前”和“事中”监管手段与风险预警机制。单一的监管

手段无法有效降低数据跨境的风险，进一步致使我国谨慎对待数

据跨境需求。

2.数据分级仍需细化。影响数据风险的因素很多，除却数量，

还包括发出者、接收者身份、拷贝次数、数据保留时间、预期访

问量等等。我国缺乏数据分级经验，现有办法也缺少实践支撑。

重要数据识别及数据评估难以凭借理论设想一蹴而就，需要结合

更多实例和具体场景不断完善。

3.数据类型多、体量大、开口小。现有数据跨境管理的机构与

企业体量小，人员少，服务对象影响力小，涉及领域少，因此经

验积累有限。试点区整体探索还需加速，以满足完善数据管理办

法的效率需求。

5

三、对试点区数据流动发展的政策建议

上海作为数据要素改革排头兵，为避免数据跨境传输壁垒阻

碍更高水平的对外开放，需要鼓起闯关的勇气，在确保数据安全

的前提下使数据充分流动，服务更高水平的对外开放。

1.丰富监管手段，提升监管效率，以安全促发展。一是指导企

业建立覆盖全数据生命周期的安全管理制度。让企业自主探索含

争议数据的分管办法，减轻政府审核负担。同时，企业应建立数

据安全保护能力评估认证、数据流通备份审查、跨境数据流通和

交易风险评估等数据安全管理机制，还应明确授权可操作系统的

特定人员，对于数据进行保密存储并严格规定过期数据的销毁流

程。二是建立“数据交易合规守信评级”制度。在现有的“事前

评估备案、事中备份存证、事后核查抽查”的静态机制之外，还

可以将企业数据跨境合规评估情况与企业信用评级关联，结合行

政处罚、负面报道、交易投诉等手段构建跨境数据交易的动态预

警机制，实现长效灵活监管。

2.扩大试点范围，提升数字服务企业集聚度。一是深化制度创

新。上海在国际数据港建设方面已有长远的政策规划，也在初期

实践中提供了探索数据合规办法的“临港模式”，接下来应继续完

善数字评估办法，探索更多国际互认方式，争取后续数字贸易规

则的制定权和发言权。二是建立更多数字贸易交易平台、数据跨

境管理公司。数据要素登记存证、数据分类评估等工作需要大量

6

人财物力的支持，也需要更多掌握数据追踪、整合能力的企业形

成技术支撑，因此需要扩大开口，让更多企业加入国际数据港的

创建工作中。三是引进更多有国际影响力的跨国企业，尤其是先

进制造业中的龙头企业。形成跨国企业生态圈，丰富数据跨境场

景、积累多元化数据跨境处理经验，让数据分级分类落到实处、

发挥更大实效。

3.鼓励跨区域、跨国交流合作。联系北京数据特区、深圳数据

交易所、海南数据港等同样尝试建设数据跨境流通高地的区域，

通过举办数据跨境流通合规论坛等方式互通有无，互学互鉴，引

领我国“国际数据港”建设。同时也要加强国际合作，与新加坡、

美国等走在数据规则融通前列的国家和地区建立长期的交流机

制，打造“数字丝路”。

4.推进人才队伍建设。试点区需要吸纳更多政策分析和法规研

究人才，准确领会政府意图，紧跟改革步伐，强化政企协同。同

时，可以与高校联合培养融通国际政治、数字贸易和数据跨境流

动等领域的复合型人才，为数据跨境试点提供坚强人才保障和智

力支撑，为数字化时代更高水平的对外开放储备力量。

7

跨境数据流动的安全与发展的平衡可行性：

企业政府双视角

徐沁苴

习近平总书记在首届中国国际进口博览会开幕式上表明，要

支持长江三角洲区域一体化发展并上升为国家战略，着力落实新

发展理念，构建现代化经济体系，推进更高起点的深化改革和更

高层次的对外开放，同“一带一路”建设、京津冀协同发展、长

江经济带发展、粤港澳大湾区建设相互配合，完善中国改革开放

空间布局。1当下，以数字经济为代表的数字数据市场是长三角地

区经济发展的突出一环，作为中国社会主义市场经济的重要组成

部分，是中国经济社会发展的重要驱动。

在数字数据市场中，跨境数据流动是极为重要的组成部分。

要做好数字经济发展建设，跨境数据流动是不可忽视的一环。所

谓跨境数据流动，我们采用《欧盟跨境数据流动治理：平衡自由

流动与规制保护》中的观点，将其定义为tansborderdataflows”

2,在法律意义上，它是从本司法管辖区转移数据到其他司法管辖

区，或是转移到其他司法管辖区之后意图再转移的行为。

习近平：《在第五届中国国际进口博览会开幕式上的致辞》，来自网页

/aiticle/xwfb/xwkirhd/202211/20221103365131.shtm.

最后访问日期：6月2日。

2姚旭：《欧盟跨境数据流动治理：平衡自由流动与规制保护》，上海人民出版社，2019

年版。

8

作为数据创造和消费大国，中国在企业生产、政务服务、社

会民生等领域都有着庞大的数据使用和流通需求。例如，随着国

际国内双循环发展的稳步推进，在企业跨国合作、协同生产等领

域，数据正发挥着愈来愈重要的作用。如何平衡数据自由流动和

数据安全存储是中国这一发展大国当前需要面临的一大难题。

一、“企业-政府”跨境数据流动现存的问题

数据作为一种流动性财产(fugitiveproperty),只有在人、社

会的有序组织流动下，才能最大限度收集发挥其价值。可是，作

为一个不确定概念，若“数据安全”失之宽泛，可能戕害了数据

自由，而若过于狭窄，又可能引发不可控的风险。3因此，如何把

握数据流通和安全的平衡成为当前跨境数据流动治理的重中之

重。经过调研，当前我国跨境数据流动领域面临着诸多困境，数

据流动的发展侧和安全侧均受到了不同类别的挑战，出现了一定

程度的失衡。

1.企业面临的数据出境困境。在调研中，部分企业曾表示，面

对全球化市场的需求，企业对于数据出境和跨国协同生产的需要

进一步扩大。但目前来看，我国的数据出境政策处于一个更为稳

健、谨慎的规则角度，对数据的出境审批流程有着较为严格的限

制。这使得部分企业处于规则僵局中。部分企业表示，我国法律

法规中紧缩和模糊的数据出境审批政策给企业的审批和合规流程

3许可：《自由与安全数据跨境流动的中国方案》，《环球法律评论》，2021年第一期。

9

带来了诸多不确定因素，一定程度上压缩了企业对外发展的空间。

部分无良企业因此铤而走险进行违规传输，对我国公民的个人隐

私和国家信息安全造成了一定的风险。某企业负责人表示，在此

局面下，未来可能会有越来越多的企业铤而走险进行违规传输，

这在一定意义上挤压了遵守我国法律法规进行合规出境的企.业的

发展空间。

2.政府端面临的监管难题。当前，我国政府面临着不可避免的

数据监管难题。从大方向上，我国对于数据出境一直秉承着谨慎

稳健的态度。但由于数据市场经济飞速发展，相应的上层建筑和

顶层设计却存在一定程度的落后，目前政府端对于数据市场的监

管稍显颓势，有力不从心之感。在面对企业复杂的申报数据时，

有关政府部门不仅缺少足够的法规支持，相应的处理经验也稍显

不足。此外，不同政府部门之间存在权力拉扯，对于数据出境审

查监管流程造成了一定的经济影响。

二、跨境数据流动遇困的原因分析

1.在政策层面，我国对于数据出境的监管条例仍不够完善。整

合各类法律条文、管理条例等可以发现，虽然我国在数据安全方

面已经完善了顶层法律、主要条例以及部分具体实施细则等，但

阅读部分细则可以发现，在监管办法中仍存在诸多具有不确定性

的规则。

首先,针对“数据”这一概念，我国在2022年7月17日出

10

台的《数据出境安全评估办法》中点明了几类需要向国家网信部

门申报数据出境安全评估的数据类型，分别为：重要数据；关键

信息基础设施运营者和处理100万人以上个人信息的数据处理者

向境外提供个人信息；自上年I月I日起累计向境外提供10万人

个人信息或者1万人敏感个人信息的数据处理者向境外提供个人

信息；国家网信部门规定的其他需要申很数据出境安全评估的情

形。4在上述四类需要进行申报评估的数据类型中，网信办暂未对

“重要数据”“其他需要申报数据安全评估的情形”作出详细规定。

何谓重要数据？重要数据内部有无分类？虽然其他条例对这些问

题略有涉及，但在此《办法》中暂无详细阐释。因而，企业在进

行内部数据出境材料整合时面临诸多困境，例如，是否申报、所

申报数据是否合规，都是困扰企业的常见问题。

同时，在涉及数据出境的诸多法律法规中，频繁出现“其他

情况”“其他条件”等指意模糊的字句。例如，《个人信息保护法》

中指出，个人信息出境需要符合以下条件之一：（1）进行个人信

息保护认证；（2）与境外接收方订立标准合同；（3）其他条件。

再例如，2023年2月正式出台的《个人信息出境标准合同规定》

第八条指出，在标准合同有效期内出现下列情形之一的，个人信

息处理者应当重新开展个人信息保护影响评估，补充或者重新订

4转引自：马光：《论我国数据出境安全评估制度构建》，《上海政法学院学报（法治

论丛）》，2023年4月。

11

立标准合同，并履行相应备案手续：（1）向境外提供个人信息的

目的、范围、种类、敏感程度、方式、保存地点或者境外接收方

处理个人信息的用途、方式发生变化，或者延长个人信息境外保

存期限的；（2）境外接收方所在国家或者地区的个人信息保护政

策和法规发生变化等可能影响个人信息权益的；（3）可能影响个

人信息权益的其他情形。5可以看出，对于数据出境的具体评判要

求，部分法律法规、实施办法或细则等有较为模糊的规定，会引

起企业方的不安与疑惑。

2.数据出境的法律法规存在不确定性。这不仅给监管部门带来

了执行困境，企业方也呼吁相关部门出台更为清晰、监管边界明

确的实施细则。由于数据及数据出境问题的复杂性，不同的政府

部门经常会合作办公。在目前已公开的数据条例已明确规定的范

围内，各部门各司其职，共同服务监管我国各企业各单位的数据

出境安全申报。但仍会出现在条例、办法中尚未明确规定的情况，

比如一些涉及一般个人信息或一般企业发展信息的数据是否也包

括在重要数据的范围内。在此情况下，政府被赋予了相当大的裁

量权，这使得企业端数据的出境审批流程具有相当大的不确定性，

不仅减缓了双方提交、审批的速度，也产生了一些存在于企业和

政府间的灰色空间。此外，由于法律制定端和政府执行端处于两

5《个人信息保护法》，中华人民共和国中央人民政府网站，网址为：

https:〃www.gov.cn/gongbao/content/2023/content5752224.htm,最后浏览口期：

2023年6月13Ho

12

个截然不同的政策点位中，政府部门在很多情况下对相应的数据

出境持模糊看法，一些处于敏感与非敏感的边界数据的执行规则

难以确定。倘若监管部门采取宽松态度，可能会存在出境数据产

生相应的法律或隐私责任的风险。因此，在大多数情况下，相应

监管部门会偏好稳健而谨慎的审批策略，从最大程度上保障我国

的数据安全。最后，由于条例中存在许多概念规定不确定、各类

数据审批范围定义过宽等问题，在面临具有歧义或争议性的数据

类型时，不同的部门经常会出现一定程度的拉扯。例如，在监管

部门和其他相关部门之间会产生审批要求的掣肘，这不仅对数据

出境的审批造成严重影响，也极大程度地影响了政府部门的分工

协作。

3.存在部分企业不顾监管规则，违规进行数据出海传输，甚至

泄露个人隐私信息等重要数据。近年来，某外资在华汽车企业被

爆出泄露车主隐私信息、数据存储无加密传输等新闻。无独有偶，

在部分制造业行业，有些企业为加快生产中转，多次向境外违规

传输重要制造信息。对此，企业应懂得数据出境的安全监管与发

展是一体两面之关系。倘若仅为满足企业发展耍求，绕过监管程

序进行数据违法出境，不仅损害了我国公民的个人隐私安全、国

家的经济发展安全等，也为企业的后续发展埋下了隐患。

三、促进跨境数据流动的安全发展平衡

正如前文提及，在跨境数据流动中，安全与发展实则是一体

13

两面之关系。只有保障了数据的安全出海，完善全流程的监管，

经济发展才能更有底气，更有保障。同样地，数据出海的监管流

程的最终目的之一也是为了促进我国经济社会的发展和民生服务

的完善，从发展角度出发，方能更直接地触及跨进数据流动的堵

点和痛点，有的放矢、对症下药进行监管。只有在数据安全的基

础上谋求发展，我国数字经济乃至整个经济社会的发展方能行稳

致远。

1.相关部门应进一步完善政策及政府监管。首先，从政策制定

层面，应尽快理清“重要数据”“其他情形”等条款的具体内容，

对数据监管的目录进行完善，从而明确界定关键信息基础设施和

重要数据的范围，减少商业性个人信息数据流通的阻碍，减轻企

业的运营成本。其次，针对数据出境相关议题，政府和企业之间

可以构建若干个长期有效的沟通座谈机制。通过沟通座谈，企业

端将能更直接地表达自身需求，深度参与后续的规则协作；政府

端则将能更直观地了解企业诉求，完善监管服务条例和实施细则,

打通审批-监管的堵点。在座谈会基础上，政府和企业代表可以共

同构建专班协调机制，实时跟进数据出境合规服务建设。最后，

政府应进一步完善数据出境白名单建设。部分企业表示，根据当

下国家发布的数据出境审批实施细则，一般数据和部分本不需要

安全评估的个人信息出境也须通过网信部门申报安全评估，这既

增加了企业方面的送审压力，也加重了政府部门的业务负担。因

14

此，完善白名单建设是一个较为切实、高效的解决办法。经由白

名单，一般个人信息、企业基础生产数据以及公开经营数据、文

宣数据等数据可以通过绿色出境通道等途径快速出境，优化审批

流程，提高审批效率。值得注意的是，白名单的建设应经过企业、

发展部门、监管部门等多方磋商，对于确实需要进入白名单的一

般数据，政府应给予服务支持；对于仍需要申报审批的重要数据，

政府应严格依据条例进行监管，防止“白名单”变为“灰名单”。

2.政府各部门之间应理清权责关系。监管部门、发展部门和组

织部门等部门之间应做好协商规划，在相关条例等规范下合作开

展工作。部门职能不越界，部门权责不推卸，共同做好数据出境

的服务以及审批监管工作。在国家统一规制下，各省各部门也应

做好相应的标准协调工作，促进新政策新规定在全国统一落地实

施。

3.各企业应落实数据分类管理。鼓励相应行业、数据出口重点

企业建立统一的行业数据分级标准。同时，发挥行会党支部、各

企业党支部等先锋引领作用，推进行业数据分级标准落细、落实

和优化完善。例如，饿了么就形成了较为完善的本地数据隐私分

类分级管理，对不同程度的数据进行分级保护。在一次次分级优

化中，企业能够不断提升自身基础设施水位，完善信息数据的管

理，对于后续数据出境也有较大助益，可以减少内部数据定位的

负担。

15

4,优化政府企业间合作模式。政府与企业可携手共建数据出境

企业服务专班试点工作。《商务部关于印发全面深化服务贸易创新

发展试点总体方案的通知》指出，要在中央网信办指导下在北京、

上海、海南及雄安新区等试点地区推进跨境数据流动分类监管模

式，开展数据跨境传输安全管理试点。并在具备条件的试点地区

开通国际互联网数据专用通道，推动第三方数据辅助流通机制更

好更快发挥作用。经过调研发现，在上海、海南、北京等地区均

落地了第三方跨境数据服务机构，比如上海临港的跨境数科公司。

应进一步强化此类国际数据综合服务公司建设，协同促进我国综

合国际数据港建设。

同时，省级部门也可积极配合网信部门探索建立地方性数据

安全综合评估办法，联系当地企业开展综合性数据安全评估审批

工作，形成“网信部门一一地方一一数据出境试点服务企业”三

者的服务监管链条，更好服务各企业数据出境申报与审批。

图1服务监管链条示意图

5.积极接轨国际，扩大战略发展空间。目前我国已正式申请加

入CPTPP和DEPA等开放内容更多的自由贸易或数字经济协定。

随着我国数字经济对外开放的不断扩大，我国各数据出境法律法

规也受到了国际相关规则的影响。在CPTPP中存在一般例外和国

家安全例外条款，适当借鉴和运用此类条款等规则方向，有助于

我国数据跨境流动自由和国家安全利益达到最佳协调。6然而，我

国也应注意，部分国际条款限制了缔约国对于本国数据出境的监

管，变相约束了我国对数据出境的审查权，这势必会对我国以后

的数据安全造成一定影响，有关部门应该谨慎考虑。

目前，我国的跨境数据流动及数据出境安全评估、监管审查

制度仍处于制定初期，规章制度等上层建筑不够完善，政府相应

的监管流程也不够清晰明确。尽管我国已提出了多地开展的试点

工作，但仍缺乏较为完整的实践支撑。在下一阶段，我国应持续

推进跨境数据流动安全评估及监管立法，创新政府-企业合作实践,

从双视角出发推进数据出境评估与审查。同时，我国有关部门也

应关注国际上其他国家或地区的相关立法与实践，以进一步完善

我国的跨境数据流动安全监管制度。在保障数据安全的前提下谋

求经济发展，在发展的过程中促进数据出境安全监管创新，政府、

企业与社会协力促进我国数据经济安全健康发展。

6马光：《FTA数据跨境流动规制的三种例外选择适用》，《政法论坛》2021年第5期。

17

加速推动上海“国际数据港”建设

上海临港新片区跨境数据科技有限公司

上海临港新片区跨境数据科技有限公司（以下简称“跨境数

科”）前身为201g年成立的“国际数据港”建设工作组。在临港

新片区管委会的指导下，于2020年8月由三家上海市核心国企正

式联合组建。从成立之日起，跨境数科就在“上海市推进国际数

据港建设工作专班”的领导下，作为上海建设国际数据港的主要

支撑单位与平台公司，支持建设“国际数据港"，促进安全可控、

便捷高效的国际数据流通与合作。

一、跨境数科建设“国际数据港”历程

1.紧密依托临港，从跨境数据流动的痛点难点入手。在

2020-2021年间，跨境数科调研了各重点行业数百家企业的跨境数

据流通需求，深入研究整理了跨境数据流通相关的痛点与难点问

题，通过少量试点案例支持相关政府部门初步探索验证了安全合

规治理模式创新的可行性与必要性，并牵头编制了上海建设国际

数据港的总体规划。2021年，上海市委市政府在听取市级工作专

班汇报的基础上，确定上海建设国际数据港战略目标与总体规划。

同时，通过《上海市数据条例》等地方法规，明确临港新片区为

上海建设国际数据港的先行区。之后，跨境数科紧密围绕上海市

委市政府明确的战略目标，以及临港新片区管委会制定的推进计

18

划，开始在临港新片区以功能型数据设施为承载、新型互联网交

换中心为枢纽、数据流通公共服务平台为窗口，提供全球化的数

据流通、存储、治理、加工、应用和安全服务，推动建立国内大

循环和国际国内双循环的“数据”核心节点，并从“数字空间”

支持上海五个中心建设。

2.创新跨境数据流动”事前事中事后”全链条模式，推动场景

化落地实践。2021-2022年间，跨境数科在上海市和临港新片区两

级工作专班的领导下，支持政府推动建立跨境数据流通的“事前

评估备案、事中备份存证、事后核查验证”创新模式，通过创新

模式贯彻落实“自评估与安全评估相结合，事前评估与事后监管

相结合”的基本要求；牵头推动创建国际数据港“1+5”总体架构，

即一套对接国际规则与先进水平的新型数据基础设施，以及贯穿

国际数据流通合作全过程、全方位的“五大功能平台”；依托制度

创新、功能建设与科技创新“三合一”成果，在若干重点行业推

进“场景化”创新实践，涉及数据出入境、应用系统跨境交互、

数据可用不跨境等各种技术场景。

3,加速创新项目启动落地，紧密围绕国家战略部署。2023年

起，跨境数科所做创新实践，得到各级领导的关注与支持，创新

力度与探索进度逐步加快，所涉及的具体创新实践场景从年初的

3、4个，迅速增加到目前的近30个（半数已形成落地方案）。新

型国际海光缆登陆站等数据基础设施创新项目正逐步启动，并开

19

始参与研究对接CPTPP、DEPA等国际数字经贸规则，推动开展

国际数据标准与规则互认合作等工作，跨境数科与新加坡、东盟、

欧盟等相关政府部门或行业组织已经建立工作对接协作机制。从

成立至今，跨境数科紧密围绕国家战略，不忘初心、久久为功，

在支持制度创新、推动创新试点、强化功能平台和对标国际探索

等方面均取得一定进展，已经成为上海市政府和临港新片区两级

“国际数据港”建设工作专班的主要支撑单位。

二、功能平台建设

为支持国际数据港建设，跨境数科建成支撑数据跨境流动全

过程的数据跨境安全评估服务、数据流动公共服务管理、数据存

证监管一体化、技术与数据要素支撑、技术标准化与国际互认合

作等五大核心功能平台。

1.数据跨境安全评估服务平台。根据国家《数据出境安全评估

办法》与临港《国际数据港数据流动操作指引（试行）》等相关要

求，组织专家团队，以场景为牵引，为企业提供国际数据流通的

安全合规评估服务。通过评估的场景，可申请纳入临港新片区国

际数据流通合作的创新实践。若在评估中发现涉及重要数据或敏

感场景，按国家法律规定，提请网信等相关部门进一步评估审批。

自2023年5月成立起，该平台已经向数百家企业宣传介绍相关政

策，解答企业疑问并提供技术支持，梳理形成二十余个流动场景，

编制评估报告与实施方案，并已支持便捷访问“跨境查”数字藏

20

品”等五个场景提报创新试点备案。

2.数据流动公共服务管理平台。平台在统一平台上集中提供项

目中报、受理、备案、公示、统计分析与工作协同等政府服务工

作职能。该平台参照本市“一网通办”成功经验，建立提供国际

数据港单一窗口，作为企业获取政府服务的统一入口。该平台作

为政府与企业间的桥梁，还担负着政策宣传、咨询解读、沟通交

流、技术支持和其他服务职能。

3,数据存证监管一体化平台。平台以严守国家安全、网络安全，

以及数据安全合规底线为目标，是贯彻落实“事前评估备案、事

中备份存证、事后监管核查”，实现全流程安全合规监管的核心功

能平台，包含数据备份、哈希存证、数据托管、安全防卫、合规

检测，以及监管核查等一体化功能。

4,技术与数据要素支撑平台。平台主要向相关企业提供数据、

技术和产品支撑，推动创建联合创新研究机构，协助企业解决技

术瓶颈，同时将科技创新成果转化为产业生态。该平台已经与北

大、社科院、中汽研等科研院校，翼方健数、亨通等重要企业，

以及中国银行、绿色技术银行、渔技所等典型用户，合作创建约

30家联合实验室，研究发布“国际数据流通一体化安全治理平台”

“跨境贸易真实性核验系统”“数字文创产品全球发行平台”“国

际数据港发展指数”等30多项国际数据流通与合作产品，向数十

家企业提供数据•、技术和产品服务，并已经申报3项专利和20项

21

软件产品著作权。

5.技术标准化与国际互认合作平台。平台主要开展国际数据流

通与合作相关的技术与产品标准化、行业数据分级分类管理标准

化、对标高水平数字贸易规则的国际合作研究，以及与国外行业

组织、重要企业或政府相关部门的标准规则互认合作等工作。该

平台已经研究主导和参与编制4项国家标准、12项上海市地方标

准和团体标准，并正在研究推进沪新”数据领域规则标准互认实

践。

6.对标国际探索。跨境数科主动研究对标DEPA、CPTPP等新

型国际数字经贸规则，围绕电子票据互认、数字身份互认、电子

提单互操作、数字支付互操作、沪港医疗保险信息互认等多个领

域，与新加坡、香港等地推进试点合作。跨境数科支持发展互信

互利的国际数据流通与合作，积极联系对接“一带一路”国家、

金砖国家、东盟、欧盟等使领馆，推动设立国际数据合作工作委

员会，促进国际数据领域多边合作和标准互认合作。

三、数据跨境流动制度创新

在数据跨境流动方面，跨境数科在临港新片区管委会的领导

下参与编制《临港新片区国际数据港数据流动操作指引》，探索形

成“事前备案登记、事中传输存证、事后监管抽查”的数据跨境

流动管理模式，承建数据流通公共服务平台，创新建立“数据传

输记录存证系统”，并紧密围绕金融支付、数字贸易、供应链管理、

22

数字服务贸易和国际数据服务等重点领域，积极推进“场景化”

的跨境数据流通创新试点。

此外，以“场景化”为重点驱动，推动数据跨境流动场景建

设试点。针对企业的数据跨境需求，跨境数科以场景为驱动推动

数据跨境流动试点，并根据《中共中央国务院关于构建数据基础

制度更好发挥数据要素作用的意见》中提出的跨境电商、跨境支

付、供应链管理、服务外包等重点领域，在不涉及重要数据和大

量个人信息的前提下，助力企业探索“场景化”的数据跨境便捷

流通，提供数据跨境合规服务。

23

补充研究：国内各地跨境数据流动治理政策梳理

吴思杰高健

从整体规制架构的角度看，《网络安全法》《数据安全法》《个

人信息保护法》确立了我国数据跨境流动规则的基本框架：

对数据实行分级分类保护，根据数据的重要程度和被非法获

取的危害程度将数据分为核心数据、重要数据和一般数据。重要

数据处理者、关键信息基础设施运营者和达到一定规模的个人信

息处理者原则上应当将数据储存在境内；确需向境外提供的，应

当通过国家网信部门组织的安全评估。此外，个人信息跨境传输

在征得个人单独同意的基础上，须具备下列条件之一：a.通过出境

安全评估；b.获得专业机构的个人信息保护认证；c.与境外接收方

订立标准合同；d.法律、行政法规或者国家网信部门规定的其他条

件。其中，处理个人信息达到国家网信部门规定数量的个人信息

处理者必须通过出境安全评估。此外个人信息处理者还应采取必

要措施，保障境外接收方处理个人信息的活动达到我国个人信息

保护标准。对关键信息基础设施运营者实行更严格的监管要求；

符合要求的数据处理者赴国外或香港上市，须通过网络安全审查：

对特定行业的数据提出额外的监管要求。其余数据（非核心数据

或重要数据、非个人信息、非特定行业数据）出境不设限制条件。

从具体细节的落实情况看，关于数据出境安全评估、个人信

24

息保护认证、网络安全审查等制度的具体实施办法，从《数据出

境安全评估办法》到《规范和促进数据跨境流动规定（征求意见

稿）》，我国关于数据跨境流动的规制体系正在不断完善并细化，

其中关注安全有序高效数据流动的制度建设正在持续深化过程

中。

这一过程在此前是经历了充分讨论的。此前的《个人信息出

境安全评估办法（征求意见稿）》主要规定了个人信息出境安全评

估的申报材料和流程、重点评估内容等，列举了申报材料中网络

运营者与接收者签订的合同、个人信息出境安全风险及安全保障

措施分析报告的必要内容，要求网络运营者应当建立个人信息出

境记录并且至少保存5年。此前《数据出境安全评估办法（征求

意见稿）》主要规定了需要进行数据出境安全评估的具体情形，要

求数据处埋者在向境外提供数据前事先开展数据出境风险自评

估，并列举了风险自评估和数据出境安全评估的重点内容，以及

数据跨界传输合同中的必要内容。此前《网络数据安全管理条例

（征求意见稿）》第五章参考《数据安全法》《个人信息保护法》

的相关规定，明确了数据处理者向境外提供数据的条件、需要通

过出境安全评估的情形以及需耍履行的义务，并要求向境外提供

个人信息和重要数据的数据处理者每年编制数据出境安全报告，

向网信部门报告上一年度数据出境情况。有关部门正在现有法律

的基础上，尝试搭建一个切实有效、具体可行的数据出境管理框

25

架。

2023年9月国家互联网信息办公室最新发布的《规范和促进

数据跨境流动规定（征求意见稿）》整合了此前各政策框架中各方

关心的问题：

规范和促进数据跨境流动规定

（征求意见稿）

为保障国家数据安全,保护个人信息权益,进一步规范和促

进数据依法有序自由流动,依据有关法律,对《数据出境安全评

做脸九《个人信息出境标准合同办法》等数据出境规定的施行,

作出以下规定。

一、国际贸易、学术合作、跨国生产制造和市场营销等活动

中产生的数据出境,不包含个人信息或者重要数据的,不需要申

报数据出境安全评估、订立个人信息出境标准合同、通过个人信

息保护认证。

二、未被相关部门、地区告知或者公开发布为重要数据的,

数据处理者不需要作为重要数据申报数据出境安全评估。

三、不是在境内收集产生的个人信息向境外提供,不需要申

报数据出境安全评估、订立个人信息出境标准合同、通过个人信

息保护认证。

四、符合以下情形之一的,不需要申报数据出境安全评估、

订立个人信息出境标准合同、通过个人信息保护认证:

26

（一）为订立、履行个人作为一方当事人的合同所必需，如

跨境购物、跨境汇款、机票酒店预订、签证办理等,必须向境外

提供个人信息的;

（二）按照依法制定的劳动规章制度和依法签订的集体合同

实施人力资源管理，必须向境外提供内部员工个人信息的;

（三）紧急情况下为保护自然人的生命健康和财产安全等,

必须向境外提供个人信息的。

五、预计一年内向境外提供不满1万人个人信息的,不需要

申报数据出境安全评估、订立个人信息出境标准合同、通过个人

信息保护认证。但是,基于个人同意向境外提供个人信息的,应

当取得个人信息主体同意。

六、预计一年内向境外提供1万人以上、不满100万人个人

信息,与境外接收方订立个人信息出境标准合同并向省级网信部

门备案或者通过个人信息保护认证的，可以不申报数据出境安全

评估;向境外提供100万人以上个人信息的,应当申报数据出境

安全评估。但是,基于个人同意向境外提供个人信息的,应当取

得个人信息主体同意。

七、自由贸易试验区可自行制定本自贸区需要纳入数据山境

安全评估、个人信息出境标准合同、个人信息保护认证管理范围

的数据清单（以下简称负面清单）,报经省级网络安全和信息化委

员会批准后,报国家网信部门备案。

27

负面清单外数据出境,可以不申报数据出境安全评估、订立

个人信息出境标准合同、通过个人信息伙护认证。

入国家机关和关键信息基础设施运营者向境外提供个人信

息和重要数据的,依照有关法律、行政法规、部门规章规定执行。

向境外提供涉及党政军和涉密单位敏感信息、敏感个人信息

的,依照有关法律、行政法规、部门规章规定执行。

九、数据处理者向境外提供重要数据和个人信息,应当遵守

法律、行政法规的规定,履行数据安全保护义务,保障数据出境

安全;发生数据出境安全事件或者发现数据出境安全风险增大的,

应当采取补救措施,及时向网信部门报告。

十、各地方网信部门应当加强对数据处理者数据出境活动的

指导监督,强化事前事中事后监管,发现数据出境活动存在较大

风险或者发生安全事件的,要求数据处理者进行整改消除隐患;

对拒不改正或者导致严重后果的,依法责令其停止数据出境活动,

保障数据安全。

—、《数据出境安全评估办法》、《个人信息出境标准合同办

等相关规定与本规定不一致的,按照本规定执行。

德勤解读认为，相较于之前已正式颁布的数据跨境规范（《数

据出境安全评估办法》、《个人信息出境标准合同办法》）,《规定》

对数据跨境给出了更为明确的定义与界定，以及对于何时、在哪

些情境下需要进行数据出境安全评估，以及何时可以豁免等，都

28

提供了更加明确的指引。

在整体跨境数据流动政策框架不断完善的过程中，各主要地

方也有很多有益探索。

一、上海涉及跨境数据流动相关政策

从中央到地方，各层级针对数据流通、跨境数据流动和数据

保护出台了多种政策。共有超过20项涉及上海跨境数据流动的政

策文件在近年来发布：

表1涉及上海跨境数据流动的政策文件

文件名称发布时间出台部门

《中国（上海）自由贸易试验2019年8月12日上海市人民政府

区临港新片区管理办法》（2019年8月20

日起施行）

《虹桥国际开放枢纽建设总体2021年2月22日国家发展和改革委

方案》员会

《南汇新城“十四五”规划建2021年4月14日上海市委、上海市

设行动方案》人民政府

《“十四五”时期提升上海国际2021年4月17日上海市人民政府

贸易中心能级规划》

《上海市服务业扩大开放综合2021年4月月日商务部

试点总体方案》

《中共中央国务院关于支持2021年4月23口中共中央国务院

浦东新区高水平改革开放打造

社会主义现代化建设引领区的

意见》

《关于加快推进上海全球资产2021年5月14日上海巾政府办公厅

管理中心建设的若干意见》

29

《上海市服务业发展“十四五”2021年6月16日上海市政府办公厅

规划》

《上海市张江科学城发展“十2021年7月8日上海市人民政府

四五”规划》

《中国（上海）自由贸易试验2021年7月22日上海市人民政府

又临港新片区发展“十四五”

规划》

《上海国际金融中心建设“十2021年7月28日上海市人民政府

四五”规划》

《上海市促进城市数字化转型2021年7月29日上海市发展和改芭

的若干政策措施》委员会

《虹桥国际开放枢纽中央商务2021年7月31日上海巾人民政府

X“十四五”规划》

《关于支持中国（上海）自由2021年8月18日上海市委、上海市

贸易试验区临港新片区自主发人民政府

展自主改革自主创新的若干意

见》

《上海市数据条例》2021年11月25地方性法规；上海

日（2022年1月1市第十五届人民代

日实施）

表大会常务委员会

第三十七次会议通

过

《上海市营商环境创新试点实2021年12月27上海市人民政府

施方案》日

《上海市智能网联汽车测试与2021年12月29上海市人民政府

应用管理办法》日（2022年2月

15日起实行）

《上海市知识产权保护和运用2021年12月31上海市人民政府

“十四五”规划》H

30

《推进治理数字化转型实现高2022年1月13日上海市委、上海市

效能治理行动方案》人民政府

《中国（上海）自由贸易试验2022年2月18日上海市第十五届人

又临港新片区条例民代表大会常务委

员会第三十九次会

议通过

《中国（上海）自由贸易试验2023年1月18日中国（上海）自由

X临港新片区管理委员会2023贸易试验区临港新

年工作要点》片区管理委员会

从现有政策文本中可被提取的信息不仅包括一个整体的政策

框架，政策框架内所含的不同政策文本亦有其在整个跨境数据流

动管制过程中所突出的环节、方面上的差异，因而针对跨境数据

流动政策中的各类具体方针和创新试点方案，现有的政策文本可

被区分为如下11类：

强调数据的安全评估：《上海市智能网联汽车测试与应用管理

办法》；《上海市数据条例》；《中国（上海）自由贸易试验区临港

新片区发展“十四五”规划》；《关于支持中国（上海）自由贸易

试验区临港新片区自主发展自主改革自主创新的若干意见》；《上

海市服务业扩大开放综合试点总体方案》；《南汇新城“十四五”

规划建设行动方案》；《中国（上海）自由贸易试验区临港新片区

管理办法》；《中国（上海）自由贸易试验区临港新片区条例》

在数据安全和自由流动间维持平衡：《上海市知识产权保护和

运用“十四五”规划》；《上海国际金融中心建设“十四五”规划》；

31

《中国（上海）自由贸易试验区临港新片区发展“十四五”规划》

加强与数据安全有关的技术建设：《上海市营商环境创新试点

实施方案》；《推进治理数字化转型实现高效能治理行动方案》；《虹

桥国际开放枢纽中央商务区“十四五”规划》；《“十四五”时期提

升上海国际贸易中心能级规划》；《虹桥国际开放枢纽建设总体方

案》

突出建立数据分类审核制度的重要性：《上海市数据条例》；

《关于支持中国（上海）自由贸易试验区临港新片区自主发展自

主改革自主创新的若干意见》；《上海市促进城市数字化转型的若

干政策措施》；《上海市服务业扩大开放综合试点总体方案》；《关

于加快推进上海全球资产管理中心建设的若干意见》；《“十四五”

时期提升上海国际贸易中心能级规划》；《中国（上海）自由贸易

试验区临港新片区管理办法》；《中国（上海）自由贸易试验区临

港新片区条例》

建立互联网数据专用通道：《虹桥国际开放枢纽中央商务区

“十四五”规划》；《关于支持中国（上海）自由贸易试验区临港

新片区自主发展自主改革自主创新的若干意见》；《上海市服务业

发展“十四五”规划》

促进数据自由便利流动：《上海市张江科学城发展“十四五”

规划》；《南汇新城“十四五”规划建设行动方案》

数据产权等规则和标准的制定：《上海市服务业发展“十四五”

32

规划》；《上海市促进城市数字化转型的若干政策措施》；《上海市

服务业扩大开放综合试点总体方案》；《中共中央国务院关于支持

浦东新区高水平改革开放打造社会主义现代化建设引领区的意

见》；《“十四五”时期提升上海国际贸易中心能级规划》；《南汇新

城“十四五”规划建设行动方案》；《中国（上海）自由贸易试验

区临港新片区管理办法》

资金支持：《上海市服务业扩大开放综合试点总体方案》

第三方认证：《上海市服务业扩大开放综合试点总体方案》；

《中国（上海）自由贸易试验区临港新片区管理办法》

跨境数据流动的国际合作：《中国（上海）自由贸易试验区临

港新片区管理办法》

为企业提供数据合规咨询：《中国1上海）自由贸易试验区临

港新片区条例》

相应的政策文本数量

图2相应的政策文本数量简析

33

临港的相关探索正在不断加速，在《中国（上海）自由贸易

试验区临港新片区管理委员会2023年工作要点》中，强调要持续

推进国际数据港建设。推进各具备条件的高能级算力平台项目加

快竣工交付。以特定行业企业关键需求为导向，加速无人驾驶等

行业场景5G网络全覆盖，推动新型互联网交换中心正式投运。保

障数据安全有序流动，由点及面推动政策创新，推动场景化”案例

试点突破。

二、北京涉及跨境数据流动政策梳理

中国（北京）自由贸易试验区是我国第六批自由贸易试验区，

自建立之初就将推动数字经济发展作为重要战略目标。

1.政策文件

2020年9月21日，国务院发布《中国（北京）自由贸易试验

区总体方案》，将创新数字经济发展环境作为自贸区建设七大主要

任务之一，提出增强数字贸易国际竞争力、发展数字经济新业态

新模式、建设国际信息产业和数字贸易港的目标。同时，北京是

我国首个也是目前唯一一个提出建立数字贸易试验区的城市。《中

国（北京）自由贸易试验区条例》于2022年3月31日发布，5月

1日起施行。《条洌》明确了自贸试验区的发展定位和管理体制，

在促进数字经济发展方面，规定加强新一代信息基础设施建设，

支持数据资源与产'业发展深度融合，探索制定信息技术安全、数

据隐私保护、跨境数据流动管理等重点领域规则，完善市场主体

34

数据保护能力的第三方认证机制，推进建立相关数据交易标准和

流通服务体系，在风险可控前提下开展数字领域的国际合作等，

通过立法的形式对《方案》作出回应，以确保《方案》能够得到

有效落实。

2020年9月18日，北京市商务局发布《北京市关于打造数字

贸易试验区实施方案》，将“探索试验区内跨境数据安全有序流动

的发展路径”单列为试验区建设重点任务，提出开展跨境数据流

动试点、分阶段推动跨境数据流动的有序开放、扩大跨境数据流

动的国际合作等具体措施。

同日，《北京国际大数据交易所设立工作实施方案》发布，明

确了北数所的五大功能定位，提出将北数所纳入北京市数据跨境

流动安全管理试点，建设“国内领先的大数据交易基础设施及国

际重要的人数据跨境交易枢纽”。

2022年9月22日北京市经济与信息化局发布《北京市促进数

字经济创新发展行动纲要(2020-2022年)》，以数据安全有序流动

为目标，开展数据跨境流动安全管理试点工程和数字贸易试验区

建设工程，提出针对数字服务贸易领域商业存在、跨境交付、境

外消费、自然人移动等贸易形态涉及的跨境数据流动、数据保护

能力认证等内容，最大限度放宽和创新管理政策机制；开展跨境

数据分类分级，建立数据跨境流动规则、安全保护及风险管控机

制。

35

2020年11月26日发布的《北京市全面深化服务贸易创新发

展试点实施方案》在前述文件的基础上，进一步提出“立足企业

数据跨境流动实际需求，聚焦人工智能、生物医药、工业互联网、

跨境电商等关键领域”，制定了具体任务分解表，包括“研究部署

个人信息分类分级、出境安全评估和安全监管等制度规范和方法

流程”，“推进数据安全保护能力认证体系建设”，“建设支撑跨境

数据流动、数据交易等领域的安全防护基础设施，探索建设基于

区块链的可信数字基础设施体系”等，并明确了完成时限和责任

单位。

2021年7月30日发布的《北京市关于加快建设全球数字经济

标杆城市的实施方案》中再次强调建立安全和发展并重的数据跨

境流动机制，在前述文件的基础上完善了方法论：通过数字贸易

港探索从个案规则到合作规范的跨境数据流动路径，开展企业数

据流动试点；完善数据分类分级安全保护制度，以个人信息跨境

流动为突破口，通过数字海关、国际大数据交易所充分验证国际

数据安全交易的技术与监管规则。在保障措施方面，提出加快推

进地方立法，制定配套实施办法；设立数字经济国际合作研究院，

开展非政府间数据跨境合作和交流；通过“监管沙盒”开展监管

措施试点，利用数据交易平台探索数据跨境传输安全监管规范等。

具体到各区政府，《2021年海淀区重点任务清单》《大兴区数

字经济创新发展三年行动计划（2021-2023年）》都将数字贸易试

36

验区建设列为重点任务，其中《大兴区数字经济创新发展三年行

动计划（2021—2023年）》还进一步提出统筹搭建数字贸易交易展

示、数字贸易公共服务、跨境数据监测及安全管理等数字贸易基

础设施，推动数据跨境流动安全管理政策突破，探索建设数字贸

易特殊监管区和离岸数据中心等具