2023-12-20-中国联通-企业数据跨境合规与技术应用白皮书_52页_1mb

企业数据跨境合规与技术应用白皮书（2023）总结

核心内容

本白皮书由中国联通研究院联合多家机构共同编写，旨在系统梳理我国数据跨境流动相关法律法规及实施举措，为企业提供数据跨境合规治理的指导和建议，推动数据安全、合规、有序流动，助力数字经济高质量发展。

主要观点

1. 数据跨境流动的重要性：数据已成为数字经济发展的重要驱动力，跨境流动对全球经济增长贡献显著，是推动数字创新、提高效率、促进社会福祉的关键环节。
2. 各国数据跨境规则差异：各国基于国家安全、隐私保护、技术能力等因素，制定不同的数据跨境规则，目前已有70多个国家对数据跨境进行限制。
3. 我国数据跨境监管制度：我国已建立以“数据出境安全评估”、“个人信息保护认证”和“标准合同条款”为核心的三大合规路径，以确保数据跨境流动安全、有序。
4. 合规路径适用情形：企业应根据数据类型、主体性质和数量等因素判断适用何种合规路径，避免违规风险。
5. 技术手段与创新：通过隐私计算、区块链、IPv6等新兴技术手段，实现“数据可用不可见”，提升数据跨境安全防护能力。
6. 企业合规治理体系建设：包括组织机构建设、制度体系建设、合规路径操作实践、保障体系建设及安全意识培养，是企业实现数据跨境合规的必要条件。

关键信息

数据跨境监管法律框架

• 法律：

  • 《中华人民共和国网络安全法》（2017年6月1日生效）
  • 《中华人民共和国数据安全法》（2021年9月1日生效）
  • 《中华人民共和国个人信息保护法》（2021年11月1日生效）

• 法规：

  • 《关键信息基础设施安全保护条例》（2021年9月1日生效）

• 部门规章：

  • 《网络安全审查办法》（2022年2月15日生效）
  • 《数据出境安全评估办法》（2022年9月1日生效）
  • 《个人信息出境标准合同办法》（2023年6月1日生效）

• 国家标准：

  • 《信息安全技术 数据安全能力成熟度模型》（GB/T 37988-2019）
  • 《信息安全技术 个人信息安全规范》（GB/T 35273-2020）
  • 《信息安全技术 个人信息安全影响评估指南》（GB/T 39335-2020）
  • 《网络安全标准实践指南—个人信息跨境处理活动安全认证规范 V2.0》（2022年12月16日发布）
  • 《信息安全技术 个人信息安全工程指南》（GB/T 41817-2022）
  • 《信息安全技术 个人信息跨境传输认证要求》（2023年征求意见稿）

数据出境合规路径判断方法

数据出境典型场景

• 行为模式一：境内运营中收集和产生的数据传输或存储至境外
  • 示例：境内服务器数据上传至境外母公司服务器、App直接存储至境外服务器等
• 行为模式二：境内存储数据被境外访问或调用
  • 示例：境外母公司访问境内员工数据、境外人员访问境内系统等

技术防护措施

1. 数据资产梳理：识别数据源、类型、归属等信息，形成数据资产地图。
2. 数据存储加密：对敏感数据进行加密处理，防止数据泄露。
3. 数据脱敏：通过静态或动态脱敏技术，保护敏感信息。
4. 数据防泄漏：在传输边界节点部署防泄漏技术，监控非授权数据传输。
5. 数字签名与水印：保障数据完整性与可追溯性。
6. 数据库审计：记录并审计数据操作日志，便于事后追溯与分析。
7. 隐私计算技术：如多方安全计算、安全联邦学习、可信执行环境（TEE）等，实现“数据可用不可见”。
8. 区块链技术：提升跨境数据流动的透明性、不可篡改性与可追溯性。
9. IPv6技术：通过地址栈控制、应用感知网络（APN6）、流量监控等手段提升数据跨境传输效率与安全性。

数据跨境安全管理发展建议

1. 健全制度体系：

   • 细化数据跨境安全管理制度，涵盖全流程；
   • 健全数据分类分级保护制度，制定国家标准与行业标准；
   • 强化事中事后监管机制，制定数据安全事件定级与响应处置标准。

2. 强化技术创新：

   • 推进隐私计算、区块链、IPv6等新技术在数据跨境场景中的应用；
   • 提升数据访问、流向控制、溯源等关键环节的管控能力。

3. 推动协同治理与国际合作：

   • 探索建立政企协同的数据跨境治理体系；
   • 推动“白名单”制度，加快建立互信互认的双多边协定；
   • 探索建立国际数据自由港，提升我国在国际规则制定中的影响力。

企业合规治理体系建设

• 组织机构建设：设立决策层、管理层、执行层、监督层，明确数据跨境安全职责。
• 制度体系建设：制定数据跨境管理办法、操作指南、清单与报告等制度文件。
• 合规路径操作实践：根据企业数据出境情况，选择合规路径并按照流程执行。
• 保障体系建设：包括风险监测、应急保障、合规监控、安全意识培养与监督检查。
• 技术防护措施：通过数据加密、脱敏、防泄漏、审计等技术手段，保障数据跨境过程安全。

结论

本白皮书系统梳理了我国数据跨境流动的法律政策、合规路径及技术手段，为企业提供了全面的合规治理框架与实施建议，强调在保障数据安全的前提下，推动数据跨境流动合规化、高效化，助力数字经济高质量发展。