数据自由跨境流动是全球数据治理的焦点问题之一。2月6日上海市印发有关方案，允许在国家数据跨境传输安全管理制度框架下，金融机构可以向境外传输日常经营所需的数据。

　　方案指出，金融机构开展数据出境工作，应按照数据分类分级管理及数据安全工作要求，开展数据出境安全评估、个人信息保护认证和个人信息出境标准合同备案，保证重要数据和个人信息的安全。

　　中国人民银行国际司副司长周宇此前撰文表示，作为数据大国，根据比较优势理论，在保障隐私和安全的前提下，数据这一重要生产要素的自由流动符合我国经济利益。因此可考虑完善治理框架，原则上允许必要的金融部门数据跨境流动，使根据日常经营所需进行的金融数据跨境流动有法可依。同时，应尽快明确“因业务需要”等相关情景及概念的范围，避免实践中因为“法不责众”导致法律无法落地。

　　原则上允许必要的金融部门数据跨境流动

　　随着金融部门数据跨境流动的需求不断增加，同时相关风险有所显现，我国立法部门和金融监管机构也出台了一系列与数据跨境传输以及金融信息相关的法律、法规和规范性文件。

　　全国层面主要有《网络安全法》《数据安全法》和《个人信息保护法》。金融领域主要包括《反洗钱法》以及中国人民银行牵头出台的《金融机构反洗钱规定》《人民银行关于银行业金融机构做好个人金融信息保护工作的通知》《征信业管理条例》《非银行支付机构网络支付业务管理办法》《信用评级管理暂行办法》以及《个人金融信息保护技术规范》等。

　　上述法律法规有以下特点：一是原则上要求重要数据和一定规模以上的个人信息本地存储，确需出境需经过安全评估。二是需经安全评估方可出境的数据范围规定较为原则性，亟待明确细化。三是亟须加强全国层面的数据安全分级制度与金融数据跨境流动规定的对接。

　　就金融部门而言，目前的做法是按安全级别将金融数据划分为1至5共五级。从便利金融部门数据跨境流动的角度，该五分法需要与国家层面的三分法（一般、重要、核心数据）更好衔接，以便进一步明确可出境的金融数据范围。

　　方案指出，上海将率先实施高标准数字贸易规则，规范和促进数据跨境流动。在国家数据安全管理制度框架下，企业和个人因业务需要可以向境外提供数据。上海将按照数据分类分级保护制度，根据实际需求率先制定重要数据目录。

　　此外，将探索建立合法安全便利的数据跨境流动机制，提升数据跨境流动便利性。通过加强相关行业出境数据分类指导、发布示范场景、建立数据跨境服务中心等，便利数据处理者开展数据出境自评等数据出境安全合规工作。

　　对外经济贸易大学数字经济与法律创新研究中心主任许可对新京报贝壳财经表示，目前金融机构开展数据出境主要和日常经营业务有关。基本上，金融数据出境可分为三个场景，其一是在个人和企业在境内外办理业务的过程中，向境外传输数据。最典型、最常见的境外支付中数据传输；第二种是为了履行反洗钱、反恐融资等法定义务向境外提供相应数据。第三种是由外资金融机构将中国分支机构的数据向境外母公司传输的数据。

　　许可指出，当前除个人和企业办理业务的过程中，向境外传输数据比较通畅以外，其他两种场景都存在着一定程度的阻碍。未来希望国家有关层面能够进一步地顺畅和优化数据出境的工作。

　　国家监管部门如何保证重要金融数据个人信息安全

　　在实现有效平衡数据自由流动与保障隐私和安全的政策目标方面，周宇认为，近年来许多经济体在允许数据跨境自由流动的同时，也强调数据和隐私保护以及国家安全问题。在金融数据跨境流动方面，应加强我国《数据安全法》提出的数据分级分类制度与金融数据跨境流动需求的衔接，以便更好分类施策。

　　对于争议较少的一般数据，原则上允许自由流动；对于重要数据，允许在满足特定条件后自由流动；对于核心数据，可限制流动。应坚持底线思维，积极探索在自贸区先行先试有关规定，确保金融数据安全有序流动。

　　对于国家监管部门如何保证重要金融数据个人信息安全的问题，许可认为，首先重要金融数据可能存在不同的界定方式，其范围存在一定的不确定性，亟待主管部门加以明确。其次，在《数据安全法》下，作为关键信息基础设施运营者的金融机构以及主管部门制定的重要数据目录下的“重要数据”，应当在境内存储，只有通过网信部门组织的数据安全评估后才能出境。最后，个人金融信息的出境制度目前已经非常完备，通过个人信息安全保护的认证、个人信息出境标准合同、出境安全评估等方式均可以实现出境，地方上可能不需要处于安全考量再做出个人信息出境的特别限制。

　　许可建议，未来个人信息保护法、数据安全法和网信办相关规章的基础上，针对金融机构的特点，适时出台符合金融机构行业惯例和国际标准的数据出境管理制度，包括但不限便利征信信息的跨境流动，推动反洗钱数据的国际共享，等等。金融数据出境制度应服务于中国高水平对外开放和中国企业出海的大目标，同时让境内外的中国公民以及在华的外国人都能享受到高质量的金融服务，不能因为数据出境的限制影响企业正常经营活动的开展和个人正当金融需求的满足。