每日头条!干货 | 数据跨境传输合规体系的构建思路

程序员客栈   2023-01-13 04:42:28


(资料图)

以下内容整理自清华大学《数智安全与标准化》课程大作业期末报告同学的汇报内容。第一部分:研究背景随着经济活动数字化转型加快,“数据”对生产、流通、分配和消费活动产生重要影响,成为新的生产要素。地区之间数据流通愈发频繁,数据传输的规模和频率不断扩张,人民也能愈发感受到数字经济发展带来的红利。另外一方面,数据本身存在非常多的利益,如数据中版权信息涉及到公司组织利益,地图数据中包含了国家利益。因此,我们发展数字经济前提是维护国家数据安全,保护个人信息和商业秘密。“数据二十条”提出,建立保障权益、合规使用的数据产权制度。本文研究是在此概念界定和政策梳理的基础上,抽象出已有数据跨境的共性规范。针对现阶段企业数据合规传输的要求,提出明确可操作的合规路径,并且对我国现有数据安全合规现状和相关规范进行总结和反思。第二部分:概念定义首先,概念的界定从国家安全角度来看,数据安全有关于任何形式存储的数据,无论是网络数据,还是非网络数据。数据出境的定义和方式是多样的,跨境数据整体可以分为个人数据和非个人数据,个人数据根据重要程度划分出敏感数据,而非个人数据涉及到国家安全的重要数据。第三部分:演进历史欧盟,确保了第三国能够提供于欧盟同等的保护水平。美国,长期致力于树立反数据本地化,一个维护数据自由贸易的形象。通过扩大美国企业在全球市场的份额,来推行所谓的数据霸权。2015年施行的《国家安全法》第25条明确提出,“实现网络和信息核心技术、关键基础设施和重要领域信息系统及数据的安全可控”,并且提出了一个比较泛的“审查监管”要求。2017年施行的《网络安全法》提出,关键基础设施重要数据确需出境,应通过国家网信部门安全评估,从此安全评估踏上历史舞台。2021年施行的《个人信息保护法》,将个人信息出境的保护跨出非常大的一步,提出了三个接口条款:安全评估、保护认证和标准合同。同时,也规定数据处理方与个人信息要有同等保护能力,并且表明了个人信息出境必须要单独同意前置要求。2022年施行的各类标准、法规出现了喷井式的发展。各行各业自身数据管理办法也在逐步更新,工业和信息化部发布《工业和信息化领域数据安全管理法办法》,以及“数据二十条”的推出。第四部分:基本原则我们梳理了国内外法规,抽象出一些根本原则。同时,还有相关分类分级标准,譬如区分有关国家和社会安全的重要数据和非重要数据。数据出境的监管评估机制,其监管评估的主体也有非常多的不同。第五部分:合规路线当企业面对现在如此多打补丁式的法律体系,该如何做到合规?首先,我们要抽象出数据出境的业务场景。我们抽象出三种模式,前两种在评估指南中梳理出来,一个叫直接转移模式,一个叫间接转移模式。第三种模式叫境外数据收集模式,由《个人信息保护法》规定,能适用于安全认证,该模式算不算数据出镜,很多细节还有待考究。举个例子,用户使用境外互联网产品的数据不是批量收集,而是通过用户单人方式收集。还有特殊出境模式,比如司法执法跨境调取、上市数据需要国外公司的监管场景等。通过数据出境模式和业务场景,就能梳理数据出境合规路线。整体路线先是一道选判断题,判断是不是关键基础信息处理者,然后是一道选择题,由于安全认证选择的范围比较狭小,最终落脚点在标准合同比较多。整体规范比较多,以最严格的安全评估认证为例,以上是具体流程。第六部分:总结反思同时,我们也做出了相应的一些反思,包括各国数据法案存在冲突,然后我们现在打补丁式的立法还没有很严格的统领,很多细节问题仍需考量。这是我们今天的的报告,谢谢各位专家同学,老师的聆听!编辑整理:陈龙