如何准确理解《网络安全法》第37条对数据跨境流动的管理要求？.docxVIP

如何准确理解《网络平安法》第37条对据跨境流动的管理要求? 本文试图展现《网络平安法》第37条在实践中适用的不同情况，然后在对 特定情况的问题进行分析的基础之上提出对我国数据跨境流动管理要求的完善 建议。 在我国数据跨境流动管理制度的构建过程中，《网络平安法》第37条起 到了基石的作用，后来制定出台的《数据平安法》《个人信息保护法》中对于 数据跨境流动管理制度的完善，均是以《网络平安法》第37条为基础，不断 厘清、确定与自身立法目标相适应的数据跨境流动管理制度。但是，由于出台 背景存在较大不同，《网络平安法》与《数据平安法》《个人信息保护法》在 相关用语的使用方面也有一定的出入，导致实践中可能存在不完全一致的情 况。本文试图展现《网络平安法》第37条在实践中适用的不同情况，然后在 对特定情况的问题进行分析的基础之上，提出对我国数据跨境流动管理要求的 完善建议。 一,第37条讲了什么？ 《网络平安法》第37条明确了我国数据跨境流动管理的基本要求。相对于最早公布的《网络平安法（第一次审议稿）》，最终出台的第37条主要在三个 方面进行了改变，第一是扩大了数据保护的范围，增加了对“重要数据的要 求，同时将〃公民个人信息〃修改为〃个人信息〃；第二是明确了接受管理的 数据的来源范围，为〃在中华人民共和国境内运营中收集和产生〃；第三是限 缩了数据可以出境的条件，将〃确需在境外存储或者向境外的组织或者个人提 供调整为确需向境外提供。经过修改之后，第37条的规定已经非常明 确，内容主要包括：监管对象为关键信息基础设施的运营者；数据类型为在中 华人民共和国境内运营中收集和产生的个人信息和重要数据；管理原那么为应当 在境内存储；出境条件包括因业务需要、确需向境外提供、经过平安评估三方 面内容。之后，我国对数据治理的认知不断提升，2021年相继生效的《数据安 全法》和《个人信息保护法》中均对我国的数据跨境流动管理制度进行了补充 和完善，但《网络平安法》第37条的规定仍然是整个数据跨境流动管理体系 的基石，对37条的认识有助于理解我国的整体数据跨境流动制度。 二、第37条在实践中适用会发生什么样的情况？ 立法在实践中进行适用时，会面对各种不同的复杂情况，法律条文的原那么 性规定可能无法直接去解决所有问题，而是需要从立法的本意出发进行解释适 用。但是，在解释适用的过程中，由于每个人的理解、领域、目的等方面具有 较大不同，对每一个立法条文的认识也会产生天差地别的情况。《网络平安 法》第37条即面临这样的困境，带来不同的理解思路，对条文如何适用产生 非常不一致的情况，同时也对国家、社会、企业造成不同程度的影响。整体来 看，当前对《网络平安法》第37条存在以下两种不同的认识： 第一种情况是，认为37条规制的重点是数据应当在境内存储，即关键信息 基础设施运营者在我国境内收集和产生的个人信息和重要数据不用立即存储在 境内即可，而只要经过了平安评估，数据可以在境外先进行存储、使用、加 工、传输、公开、删除等行为（参照《个人信息保护法》第4条），后续再将 数据传回我国即可。这种理解在实践中可能导致的适用情况是，关键信息基础 设施运营者可以在国外设立处理数据的计算设施，先进行平安评估，通过平安 评估之后，将在我国境内产生的个人信息和重要数据完全放在境外的计算设施 上进行处理，然后再择期将这些数据利用存储介质存储在国内即可。这种情况 暂且可以被称之为“先跨境后存储”。 第二种情况是，认为37条规制的重点是数据应当在境内处理，即关键信息 基础设施运营者在我国境内收集和产生的个人信息和重要数据应当在我国境内 进行即时存储，也就是处理过程中产生的各种数据，只要还没有进行平安评 估，都要立即存储在我国境内。这种理解在实践中可能导致的适用情况可能 是，由于在处理过程中，数据是随时都在进行各种更新、产生的，如果要求数 据应当即时存储，那么企业就必须将处理数据的计算设施设置在我国境内，即 不仅应当在我国境内进行单纯的存储数据，而其他的处理行为，只要不经过安 全评估，也是必须要在我国境内进行的，以防止关键信息基础设施运营者的所 有已有、将产生的个人信息和重要数据未经平安评估传输到境外。这种情况暂 且可以被称之为“先处理后跨境”。 两种情况对存储和出境理解的先后顺序不一样，严苛程度也存在非常大的 差异。在先处理后跨境的理解之下，要求企业将计算设施放在境内，防止 数据未经评估即出境，在兼顾企业经营利益的同时，更侧重将关键信息基础设 施运营者对国家平安、社会公共利益、个人和组织合法权益的重大影响放在了 首位。在先跨境后存储”的理解之下，非常明显地倾向于企业的运营，作为 关键信息基础设施运营者的企业可以将相关数据传输到已有的国外数据中心，在我国境内定期存储受规制的数据即可，只需在我国设置或租用存