干货 :数据跨境传输合规体系的构建思路

百家 作者:数据分析 2023-01-09 16:53:30
以下内容整理自清华大学《数智安全与标准化》课程大作业期末报告同学的汇报内容。


第一部分:研究背景



随着经济活动数字化转型加快,“数据”对生产、流通、分配和消费活动产生重要影响,成为新的生产要素。地区之间数据流通愈发频繁,数据传输的规模和频率不断扩张,人民也能愈发感受到数字经济发展带来的红利。

另外一方面,数据本身存在非常多的利益,如数据中版权信息涉及到公司组织利益,地图数据中包含了国家利益。因此,我们发展数字经济前提是维护国家数据安全,保护个人信息和商业秘密。

“数据二十条”提出,建立保障权益、合规使用的数据产权制度。本文研究是在此概念界定和政策梳理的基础上,抽象出已有数据跨境的共性规范。

针对现阶段企业数据合规传输的要求,提出明确可操作的合规路径,并且对我国现有数据安全合规现状和相关规范进行总结和反思。

第二部分:概念定义


首先,概念的界定从国家安全角度来看,数据安全有关于任何形式存储的数据,无论是网络数据,还是非网络数据。

数据出境的定义和方式是多样的,跨境数据整体可以分为个人数据和非个人数据,个人数据根据重要程度划分出敏感数据,而非个人数据涉及到国家安全的重要数据。

第三部分:演进历史


欧盟,确保了第三国能够提供于欧盟同等的保护水平。美国,长期致力于树立反数据本地化,一个维护数据自由贸易的形象。通过扩大美国企业在全球市场的份额,来推行所谓的数据霸权。


2015年施行的《国家安全法》第25条明确提出,“实现网络和信息核心技术、关键基础设施和重要领域信息系统及数据的安全可控”,并且提出了一个比较泛的“审查监管”要求。

2017年施行的《网络安全法》提出,关键基础设施重要数据确需出境,应通过国家网信部门安全评估,从此安全评估踏上历史舞台。

2021年施行的《个人信息保护法》,将个人信息出境的保护跨出非常大的一步,提出了三个接口条款:安全评估、保护认证和标准合同。同时,也规定数据处理方与个人信息要有同等保护能力,并且表明了个人信息出境必须要单独同意前置要求。

2022年施行的各类标准、法规出现了喷井式的发展。各行各业自身数据管理办法也在逐步更新,工业和信息化部发布《工业和信息化领域数据安全管理法办法》,以及“数据二十条”的推出。

第四部分:基本原则


我们梳理了国内外法规,抽象出一些根本原则。同时,还有相关分类分级标准,譬如区分有关国家和社会安全的重要数据和非重要数据。


数据出境的监管评估机制,其监管评估的主体也有非常多的不同。

第五部分:合规路线


当企业面对现在如此多打补丁式的法律体系,该如何做到合规?首先,我们要抽象出数据出境的业务场景。我们抽象出三种模式,前两种在评估指南中梳理出来,一个叫直接转移模式,一个叫间接转移模式

第三种模式叫境外数据收集模式,由《个人信息保护法》规定,能适用于安全认证,该模式算不算数据出镜,很多细节还有待考究。举个例子,用户使用境外互联网产品的数据不是批量收集,而是通过用户单人方式收集。

还有特殊出境模式,比如司法执法跨境调取、上市数据需要国外公司的监管场景等。


通过数据出境模式和业务场景,就能梳理数据出境合规路线。整体路线先是一道选判断题,判断是不是关键基础信息处理者,然后是一道选择题,由于安全认证选择的范围比较狭小,最终落脚点在标准合同比较多。


整体规范比较多,以最严格的安全评估认证为例,以上是具体流程。

第六部分:总结反思


同时,我们也做出了相应的一些反思,包括各国数据法案存在冲突,然后我们现在打补丁式的立法还没有很严格的统领,很多细节问题仍需考量。

这是我们今天的的报告,谢谢各位专家同学,老师的聆听!

转自:数据派THU 公众号; 

END

版权声明:本号内容部分来自互联网,转载请注明原文链接和作者,如有侵权或出处有误请和我们联系。

合作请加QQ:365242293  
数据分析(ID : ecshujufenxi )互联网科技与数据圈自己的微信,也是WeMedia自媒体联盟成员之一,WeMedia联盟覆盖5000万人群。

关注公众号:拾黑(shiheibook)了解更多

[广告]赞助链接:

四季很好,只要有你,文娱排行榜:https://www.yaopaiming.com/
让资讯触达的更精准有趣:https://www.0xu.cn/

公众号 关注网络尖刀微信公众号
随时掌握互联网精彩
赞助链接