張墨洋

一、問題的提出

近年來，隨著我國資本市場高水平雙向開放程度不斷加深，我國證券公司(1)本文所討論的“我國證券公司”僅指內(nèi)資證券公司，不包括境外證券公司在華設(shè)立的子公司等外資證券公司?！白叱鋈ァ辈椒ゲ粩嗉涌?，海外業(yè)務(wù)布局逐步推進，境外融資財務(wù)顧問服務(wù)、境外資產(chǎn)管理、境外經(jīng)紀、境外做市、境外自營、跨境場外衍生品等各項跨境業(yè)務(wù)發(fā)展迅猛。我國證券公司跨境展業(yè)，不可避免會涉及數(shù)據(jù)出境活動(2)根據(jù)《數(shù)據(jù)出境安全評估申報指南(第一版)》的定義，本文所討論的證券公司數(shù)據(jù)出境活動主要指以下兩種情形：(1)數(shù)據(jù)處理者將在境內(nèi)運營中收集和產(chǎn)生的數(shù)據(jù)傳輸、存儲至境外；(2)數(shù)據(jù)處理者收集和產(chǎn)生的數(shù)據(jù)存儲在境內(nèi)，境外的機構(gòu)、組織或者個人可以查詢、調(diào)取、下載、導(dǎo)出。。數(shù)據(jù)出境伴隨著國家安全、個人信息保護等方面的風(fēng)險，需要遵守國家數(shù)據(jù)跨境流動相關(guān)法律法規(guī)規(guī)定。在此方面，我國已圍繞“重要數(shù)據(jù)”(3)根據(jù)《數(shù)據(jù)出境安全評估辦法》第19條規(guī)定，重要數(shù)據(jù)是指一旦遭到篡改、破壞、泄露或者非法獲取、非法利用等，可能危害國家安全、經(jīng)濟運行、社會穩(wěn)定、公共健康和安全等的數(shù)據(jù)。及“個人信息”兩方面建立了“多層規(guī)制”的數(shù)據(jù)出境監(jiān)管制度(4)劉金瑞：《邁向數(shù)據(jù)跨境流動的全球規(guī)制：基本關(guān)切與中國方案》，《行政法學(xué)研究》2022年第4期。，初步形成了以《中華人民共和國網(wǎng)絡(luò)安全法》《中華人民共和國數(shù)據(jù)安全法》《中華人民共和國個人信息保護法》等法律為基礎(chǔ)，以《數(shù)據(jù)出境安全評估辦法》《網(wǎng)絡(luò)安全審查辦法》《個人信息出境標(biāo)準(zhǔn)合同辦法》《個人信息保護認證實施規(guī)則》等配套規(guī)章規(guī)范性文件為主體，以《個人信息跨境處理活動安全認證規(guī)范》等行業(yè)標(biāo)準(zhǔn)為補充的制度體系。根據(jù)這些規(guī)定，我國數(shù)據(jù)出境的合規(guī)路徑主要有三條：一是經(jīng)數(shù)據(jù)出境風(fēng)險自評估并申報通過數(shù)據(jù)出境安全評估后出境，二是經(jīng)個人信息保護認證后出境，三是與境外主體訂立個人信息出境標(biāo)準(zhǔn)合同并經(jīng)個人信息保護影響評估后出境。具體見表1。實踐中，已有個別證券公司宣布其數(shù)據(jù)出境活動通過了國家網(wǎng)信部門的數(shù)據(jù)出境安全評估(5)2023年8月，國泰君安證券宣布，其按照《數(shù)據(jù)出境安全評估辦法》相關(guān)規(guī)定將某涉及數(shù)據(jù)出境事項的系統(tǒng)進行了申報，在行業(yè)內(nèi)率先通過了國家網(wǎng)信辦審核。參見國泰君安證券官方網(wǎng)站，2023-08-01，https://ftz.gtja.com/content/events/news/data-export-230810.html，訪問日期：2023-09-27。，但我國證券公司數(shù)據(jù)合規(guī)出境的其他公開案例仍然較少(6)從公開渠道檢索的信息來看，目前僅有國泰君安證券對外公開宣布其已通過了國家網(wǎng)信部門的數(shù)據(jù)出境安全評估。其他證券公司數(shù)據(jù)出境的案例情況，目前可獲取的公開信息較少。。這反映出我國證券公司數(shù)據(jù)出境監(jiān)管尚在起步階段，有關(guān)制度需要在實踐中進一步探索和檢驗。因此，有必要對我國證券公司數(shù)據(jù)出境的合規(guī)與監(jiān)管問題進行深入研究。

表1 我國數(shù)據(jù)出境的合規(guī)路徑

縱觀現(xiàn)有研究，數(shù)據(jù)出境的監(jiān)管問題作為數(shù)據(jù)跨境流動的重要議題，已被眾多學(xué)者關(guān)注。相關(guān)論著持續(xù)涌現(xiàn)，研究成果主要集中在三個方面：一是關(guān)注數(shù)據(jù)出境的基本概念，對數(shù)據(jù)出境監(jiān)管的基本原則等進行分析(7)魏遠山：《論跨境數(shù)據(jù)流動的內(nèi)涵與原理》，《政法學(xué)刊》2021年第1期；張凌寒：《論數(shù)據(jù)出境安全評估的法律性質(zhì)與救濟路徑》，《行政法學(xué)研究》2023年第1期；丁曉東：《數(shù)據(jù)跨境流動的法理反思與制度重構(gòu)——兼評〈數(shù)據(jù)出境安全評估辦法〉》，《行政法學(xué)研究》2023年第1期；蔡宇姬：《數(shù)據(jù)出境的界定及監(jiān)管制度》，《中國政法大學(xué)學(xué)報》2023年第3期。；二是介紹境外數(shù)據(jù)出境監(jiān)管模式，分析相關(guān)制度對我國的借鑒意義(8)馬其家、李曉楠：《論我國數(shù)據(jù)跨境流動監(jiān)管規(guī)則的構(gòu)建》，《法治研究》2021年第1期；魏寧：《美國數(shù)據(jù)出境管理體制及中國因應(yīng)》，《國際經(jīng)濟法學(xué)刊》2022年第4期；馬光、毛啟揚：《數(shù)字經(jīng)濟協(xié)定視角下中國數(shù)據(jù)跨境規(guī)則銜接研究》，《國際經(jīng)濟法學(xué)刊》2022年第4期。；三是聚焦我國數(shù)據(jù)出境監(jiān)管規(guī)則建設(shè)現(xiàn)狀，對相關(guān)制度進行評析，提出完善建議。(9)馬光：《論我國數(shù)據(jù)出境安全評估制度構(gòu)建》，《上海政法學(xué)院學(xué)報(法治論叢)》2023年第3期；梅傲、李淮俊：《論〈數(shù)據(jù)出境安全評估辦法〉與DEPA中數(shù)據(jù)跨境流動規(guī)則的銜接》，《上海對外經(jīng)貿(mào)大學(xué)學(xué)報》2023年第2期；熊光清、張素敏：《總體國家安全觀視角下我國數(shù)據(jù)出境安全管理制度的完善》，《哈爾濱工業(yè)大學(xué)學(xué)報(社會科學(xué)版)》2023年第5期?，F(xiàn)有研究成果主要在金融數(shù)據(jù)跨境流動的主題下，關(guān)注金融數(shù)據(jù)出境監(jiān)管的相關(guān)問題，提出了一些建議。例如，有學(xué)者建議，在網(wǎng)信部門的組織指導(dǎo)下，由金融監(jiān)管部門負責(zé)行業(yè)數(shù)據(jù)出境具體措施的制定實施、評估檢查等相關(guān)工作。(10)李偉：《我國金融數(shù)據(jù)跨境流動規(guī)則建設(shè)的思考與建議》，《中國銀行業(yè)》2020年第1期。有學(xué)者主張，金融數(shù)據(jù)跨境流動模式的選擇需要基于本國金融發(fā)展現(xiàn)狀和金融監(jiān)管實踐，要體現(xiàn)國家利益訴求、平衡多元價值取向。(11)田翔宇：《金融數(shù)據(jù)跨境流動的特殊規(guī)制》，《海南金融》2021年第4期。有學(xué)者指出，我國有必要進一步完善金融數(shù)據(jù)跨境流動的規(guī)制措施，形成金融數(shù)據(jù)跨境流動分級監(jiān)管的規(guī)制思路，同時加強對個人金融信息的保護和金融機構(gòu)自身數(shù)據(jù)合規(guī)體系的建設(shè)。(12)彭德雷、張子琳：《數(shù)字時代金融數(shù)據(jù)跨境流動的風(fēng)險與規(guī)制研究》，《國際商務(wù)研究》2022年第1期?，F(xiàn)有成果中，沒有專門對證券公司數(shù)據(jù)出境進行針對性研究的。筆者認為，證券業(yè)相對于銀行、保險等其他金融業(yè)具有一定特殊性，有必要對證券公司數(shù)據(jù)出境監(jiān)管問題進行專門研究。為此，本文擬對我國證券公司跨境展業(yè)具體場景下的數(shù)據(jù)出境合規(guī)問題進行分析，并對現(xiàn)行制度是否能滿足證券公司合理的數(shù)據(jù)出境需求、是否能有效防范數(shù)據(jù)出境的安全風(fēng)險、是否會使證券公司面臨不必要的合規(guī)難題等問題進行考察，進而提出有關(guān)監(jiān)管對策建議。

二、我國證券公司數(shù)據(jù)出境合規(guī)路徑的適用情況

實踐中，我國證券公司跨境展業(yè)主要涉及投行、資產(chǎn)管理、經(jīng)紀以及自營四類業(yè)務(wù)。(13)國泰君安證券股份有限公司課題組：《證券公司跨境業(yè)務(wù)制度完善研究》，《創(chuàng)新與發(fā)展：中國證券業(yè)2020年論文集》，第556—564頁。開展這些業(yè)務(wù)均可能涉及數(shù)據(jù)出境活動，以下識別了其中幾個主要場景，具體分析相關(guān)合規(guī)路徑的適用情況。

(一)集團化電子辦公

出于集團一體化管理等方面的考慮，我國證券公司的境外子公司通常會直接使用境內(nèi)集團化電子辦公系統(tǒng)。從而，境外子公司人員可以跨境訪問境內(nèi)電子辦公系統(tǒng)中的數(shù)據(jù)，可訪問的數(shù)據(jù)類型通常包括通訊錄模塊，而通訊錄中包含了個人信息，如姓名、聯(lián)系方式、通訊地址、崗位信息等，由此構(gòu)成了證券公司員工個人信息出境。

根據(jù)《數(shù)據(jù)出境安全評估辦法》第4條第2項規(guī)定，若相關(guān)證券公司年處理個人信息達到100萬人以上，或者該證券公司被認定為關(guān)鍵信息基礎(chǔ)設(shè)施運營者，應(yīng)按規(guī)定申報數(shù)據(jù)出境安全評估。實踐中，大多數(shù)證券公司的個人客戶數(shù)量超過100萬，較易達到處理100萬人個人信息的標(biāo)準(zhǔn)，須履行數(shù)據(jù)出境安全評估義務(wù)。而在關(guān)鍵信息基礎(chǔ)設(shè)施運營者認定方面，根據(jù)《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護條例》第2條規(guī)定，“關(guān)鍵信息基礎(chǔ)設(shè)施”是指“公共通信和信息服務(wù)、能源、交通、水利、金融、公共服務(wù)、電子政務(wù)、國防科技工業(yè)等重要行業(yè)和領(lǐng)域的，以及其他一旦遭到破壞、喪失功能或者數(shù)據(jù)泄露，可能嚴重危害國家安全、國計民生、公共利益的重要網(wǎng)絡(luò)設(shè)施、信息系統(tǒng)等”?？紤]到證券公司所運營的交易系統(tǒng)如果遭到破壞，將對我國證券市場的穩(wěn)定造成重大影響，并嚴重影響投資者權(quán)益，因此證券公司被認定為關(guān)鍵信息基礎(chǔ)設(shè)施運營者存有一定可能。不過，前述條例第9條同時規(guī)定，關(guān)鍵信息基礎(chǔ)設(shè)施認定具體規(guī)則由保護工作部門結(jié)合本行業(yè)、本領(lǐng)域?qū)嶋H制定。而中國證監(jiān)會目前暫未制定具體適用于證券行業(yè)的關(guān)鍵信息基礎(chǔ)設(shè)施認定規(guī)則。因此，證券公司能否被認定為關(guān)鍵信息基礎(chǔ)設(shè)施運營者尚需在實踐中驗證。

需要說明的是，只要證券公司處理100萬人以上個人信息或者被認定為關(guān)鍵信息基礎(chǔ)設(shè)施運營者，其個人信息出境活動就會觸發(fā)數(shù)據(jù)出境安全評估義務(wù)。這在本文下述的運營外包服務(wù)、場外衍生品跨境交易、境內(nèi)企業(yè)境外發(fā)行和上市、“跨境理財通”等業(yè)務(wù)場景中均適用。

(二)運營外包服務(wù)

我國證券公司可為外資資產(chǎn)機構(gòu)提供基金份額登記、估值核算等運營外包服務(wù)。在此類業(yè)務(wù)中，部分外資資產(chǎn)管理人可能會直接將其在證券公司運營外包平臺中的賬戶等數(shù)據(jù)提供給境外機構(gòu)的工作人員。營運外包服務(wù)平臺中的基金持倉信息、投資人信息等可被境外機構(gòu)直接訪問，事實上構(gòu)成了數(shù)據(jù)出境。

在此情形下，就基金持倉信息而言，其對國家安全、經(jīng)濟運行、社會穩(wěn)定、公共健康和安全的影響相對較小，被認定為“重要數(shù)據(jù)”的可能性不大。就投資人信息而言，其包含個人信息，在證券公司被認定為關(guān)鍵基礎(chǔ)設(shè)施或者個人客戶數(shù)量達100萬人以上的情況下，將觸及數(shù)據(jù)出境安全評估申報義務(wù)。

(三)場外衍生品等跨境交易

我國證券公司開展場外衍生品等跨境交易業(yè)務(wù)，需要向境外機構(gòu)發(fā)送委托指令、成交回報等信息，屬于數(shù)據(jù)出境的情形。

其中，委托指令、成交回報等數(shù)據(jù)是否被認定為“重要數(shù)據(jù)”，是判斷是否需要履行數(shù)據(jù)出境安全評估申報義務(wù)的關(guān)鍵。但我國目前關(guān)于“重要數(shù)據(jù)”的認定標(biāo)準(zhǔn)僅有《數(shù)據(jù)出境安全評估辦法》第19條所作的原則性規(guī)定，委托指令、成交回報數(shù)據(jù)達到何種頻次、包含何種具體內(nèi)容才被認定為“重要數(shù)據(jù)”則有待在實踐中明晰。

(四)境內(nèi)企業(yè)境外發(fā)行和上市服務(wù)

我國證券公司作為財務(wù)顧問服務(wù)境內(nèi)企業(yè)的境外發(fā)行和上市業(yè)務(wù)時，會進行大量的盡職調(diào)查，形成有關(guān)底稿數(shù)據(jù)。這些底稿數(shù)據(jù)可能作為發(fā)行上市申請文件被提交給境外證券交易所或證券監(jiān)管機構(gòu)，構(gòu)成數(shù)據(jù)出境。此外，基于投行業(yè)務(wù)一體化的考慮，證券公司的境內(nèi)團隊也會參與盡職調(diào)查或者提供協(xié)助，境內(nèi)團隊將有關(guān)盡職調(diào)查結(jié)果發(fā)送給境外團隊，也屬于數(shù)據(jù)出境。

根據(jù)中國證監(jiān)會《關(guān)于加強境內(nèi)企業(yè)境外發(fā)行證券和上市相關(guān)保密和檔案管理工作的規(guī)定》，證券公司應(yīng)將有關(guān)底稿材料存儲在境內(nèi)，經(jīng)有關(guān)部門事先批準(zhǔn)后才可向境外傳輸信息。且在向境外有關(guān)主管部門提供文件資料前，應(yīng)當(dāng)事先報告有關(guān)主管部門同意。(14)《關(guān)于加強境內(nèi)企業(yè)境外發(fā)行證券和上市相關(guān)保密和檔案管理工作的規(guī)定》第九條、第十一條。

(五)“跨境理財通”等創(chuàng)新業(yè)務(wù)

“跨境理財通”是近年來我國金融對外開放的重大創(chuàng)新業(yè)務(wù)，該業(yè)務(wù)允許粵港澳大灣區(qū)居民個人跨境投資粵港澳大灣區(qū)銀行銷售的合資格投資產(chǎn)品，按投資者主體身份分為“南向通”和“北向通”，目前僅限銀行機構(gòu)參與。(15)參見《粵港澳大灣區(qū)“跨境理財通”業(yè)務(wù)試點正式啟動》，2021-09-10，https://www.gov.cn/xinwen/2021-09/10/content_5636676.htm，訪問日期：2023-10-01。2023年9月28日，有關(guān)部門宣布決定進一步優(yōu)化“跨境理財通”業(yè)務(wù)試點，未來將新增符合要求的證券公司作為參與主體，為“南向通”和“北向通”個人客戶提供投資產(chǎn)品及相關(guān)服務(wù)。(16)參見《優(yōu)化粵港澳大灣區(qū)“跨境理財通”業(yè)務(wù)試點 進一步推進大灣區(qū)金融市場互聯(lián)互通》，2023-09-28，http://www.pbc.gov.cn/goutongjiaoliu/113456/113469/5082402/index.html，訪問日期：2023-10-01。我國證券公司若有機會參與到相關(guān)業(yè)務(wù)中，在提供“南向通”服務(wù)時，可能將境內(nèi)投資者的個人信息、認購信息等提供給港澳相關(guān)機構(gòu)；在提供“北向通”服務(wù)時，可能將境內(nèi)有關(guān)投資產(chǎn)品的信息發(fā)送給港澳投資者，這些信息都屬于數(shù)據(jù)出境范疇。

在此情形下，境內(nèi)投資者的認購指令、境內(nèi)投資產(chǎn)品的相關(guān)信息等數(shù)據(jù)是否需要履行安全評估義務(wù)，取決于其是否被認定為“重要數(shù)據(jù)”，而有關(guān)個人信息的出境要求也同上述幾類場景類似，取決于獲得業(yè)務(wù)試點資格的證券公司掌握的客戶數(shù)量及其是否被認定為關(guān)鍵信息基礎(chǔ)設(shè)施運營者。

三、我國證券公司數(shù)據(jù)出境的合規(guī)困境與成因分析

如前所述，我國證券公司在幾類數(shù)據(jù)出境的主要場景中，所適用的合規(guī)路徑不同，應(yīng)履行的合規(guī)義務(wù)也不同。從現(xiàn)行規(guī)定來看，我國證券公司履行相關(guān)合規(guī)義務(wù)還存在不同程度的困境與障礙。

(一)我國證券公司數(shù)據(jù)出境面臨的合規(guī)困境

1. “重要數(shù)據(jù)”認定缺乏明確標(biāo)準(zhǔn)

出境數(shù)據(jù)是否屬于“重要數(shù)據(jù)”是觸發(fā)數(shù)據(jù)出境安全評估申報義務(wù)的關(guān)鍵，但我國目前對“重要數(shù)據(jù)”的認定標(biāo)準(zhǔn)僅作了原則性規(guī)定。實踐中，這可能引發(fā)兩方面不利影響。一方面，為了規(guī)避合規(guī)風(fēng)險，我國部分證券公司對“重要數(shù)據(jù)”的認定可能采取較為謹慎的態(tài)度，傾向于擴大“重要數(shù)據(jù)”的范圍，甚至將所有擬向境外傳輸?shù)臄?shù)據(jù)均提交網(wǎng)信部門進行數(shù)據(jù)出境安全評估審查，以避免被監(jiān)管機構(gòu)追責(zé)或者處罰。這無疑將增加我國證券公司跨境展業(yè)的合規(guī)成本，并將對具體業(yè)務(wù)的開展產(chǎn)生負面影響。(17)例如，在前述基金運營外包服務(wù)場景中，委托指令、成交回報等數(shù)據(jù)是否構(gòu)成“重要數(shù)據(jù)”往往需要結(jié)合具體情景判斷，但證券公司可能為了避免合規(guī)風(fēng)險，不考慮具體情況而一概將所有數(shù)據(jù)認定為“重要數(shù)據(jù)”，提交網(wǎng)信部門進行數(shù)據(jù)出境安全評估。另一方面，也不排除部分證券公司為了擴大業(yè)務(wù)規(guī)模或者獲取更多客戶，在數(shù)據(jù)出境問題上采取較為寬松的態(tài)度，未經(jīng)安全評估即向境外傳輸部門關(guān)鍵信息，而在監(jiān)管追責(zé)時，以“重要數(shù)據(jù)”認定并無清晰標(biāo)準(zhǔn)進行抗辯，以此規(guī)避監(jiān)管處罰，造成潛在的數(shù)據(jù)安全風(fēng)險。

2. 數(shù)據(jù)出境安全評估耗時較長

根據(jù)《數(shù)據(jù)出境安全評估辦法》規(guī)定，我國證券公司履行數(shù)據(jù)出境安全評估義務(wù)涉及兩個重點環(huán)節(jié)：一是在申報前進行數(shù)據(jù)出境風(fēng)險自評估，二是向網(wǎng)信部門提交材料，正式申請數(shù)據(jù)出境安全評估。實踐中，這兩個環(huán)節(jié)往往需要耗費較長時間。例如，在自評估環(huán)節(jié)中，證券公司需要組織專門力量開展政策法規(guī)梳理、數(shù)據(jù)跨境場景識別、業(yè)務(wù)及信息系統(tǒng)內(nèi)部調(diào)研、安全風(fēng)險識別、風(fēng)險處置方案研究、編制自評估報告等一系列工作。這些工作專業(yè)性極強，通常涉及證券公司內(nèi)部各部門間的協(xié)調(diào)，需要耗費大量時間。而在國家網(wǎng)信部門安全評估過程中，由于需組織其他行業(yè)主管部門和專門機構(gòu)進行專家評審，也要耗費一定時間。

3. 個人信息出境缺乏安全評估豁免機制

根據(jù)《數(shù)據(jù)出境安全評估辦法》要求，處理100萬人以上個人信息的數(shù)據(jù)處理者向境外傳輸個人信息應(yīng)履行數(shù)據(jù)出境安全評估申報義務(wù)。如前所述，我國證券公司客戶數(shù)量龐大，較易就達到處理100萬人個人信息的標(biāo)準(zhǔn)。因此，我國證券公司向境外傳輸個人信息將受到嚴格限制。然而，從數(shù)據(jù)安全風(fēng)險角度考慮，證券公司開展跨境衍生品、跨境投資顧問等具體業(yè)務(wù)，有的只是將部分經(jīng)個人同意的數(shù)據(jù)向境外傳輸，有關(guān)合同也會對個人信息保護進行具體約定，這種情況下還需要履行數(shù)據(jù)出境安全評估申報義務(wù)，則顯得要求較高。

(二)合規(guī)困境產(chǎn)生的成因分析

1. 全球數(shù)據(jù)跨境流動規(guī)則博弈激烈，我國制度建設(shè)尚在起步階段

數(shù)據(jù)出境監(jiān)管規(guī)則作為數(shù)據(jù)跨境流動規(guī)則的重要方面，體現(xiàn)了主權(quán)國家對數(shù)據(jù)跨境流動的基本態(tài)度。總體來看，目前全球各國家和地區(qū)在數(shù)據(jù)跨境流動監(jiān)管方面博弈激烈，有關(guān)規(guī)則具有碎片化特征。(18)黃琳琳：《FTA跨境金融服務(wù)貿(mào)易規(guī)制研究》，北京大學(xué)出版社，2023年，第177—182頁。各國家和地區(qū)在國家主權(quán)、數(shù)據(jù)主權(quán)、人權(quán)保護、地緣政治、貿(mào)易模式等因素影響下，制定了側(cè)重點不同的金融數(shù)據(jù)本地化政策和出境審查標(biāo)準(zhǔn)。(19)劉妍、冉從敬：《金融數(shù)據(jù)跨境監(jiān)管的國際策略與中國進路》，《金融評論》2023年第4期。在此背景下，我國數(shù)據(jù)出境監(jiān)管規(guī)則建設(shè)仍處于探索起步階段，規(guī)則的體系性、完備性需要不斷提升(20)有觀點認為，我國現(xiàn)有規(guī)定雖然對數(shù)據(jù)出境有一定程度的規(guī)范，但對于具體的數(shù)據(jù)出境安全管理和審查機制、跨境數(shù)據(jù)傳輸要求等方面還存在許多不明確之處，完備的數(shù)據(jù)出境管理法律法規(guī)體系尚未形成。參見熊光清、張素敏：《總體國家安全觀視角下我國數(shù)據(jù)出境安全管理制度的完善》，《哈爾濱工業(yè)大學(xué)學(xué)報(社會科學(xué)版)》2023年第5期。，部分規(guī)則也還存在一定的不確定性。例如，2023年9月28日，國家網(wǎng)信辦發(fā)布了《規(guī)范和促進數(shù)據(jù)跨境流動規(guī)定(征求意見稿)》并向社會公開征求意見(21)《國家互聯(lián)網(wǎng)信息辦公室關(guān)于〈規(guī)范和促進數(shù)據(jù)跨境流動規(guī)定(征求意見稿)〉公開征求意見的通知》，2023-09-28，http://www.cac.gov.cn/2023-09/28/c_1697558914242877.htm，訪問日期：2023-10-02。，該規(guī)定通過創(chuàng)設(shè)白名單制度、將數(shù)據(jù)預(yù)期出境量作為合規(guī)路徑適用的唯一考量因素、明確合規(guī)義務(wù)數(shù)量層次、進一步放寬自貿(mào)區(qū)數(shù)據(jù)跨境傳輸規(guī)則等減免了部分情形下的合規(guī)要求，反映出監(jiān)管思路的重大變化。(22)參見漢坤律師事務(wù)所：《守得云開見月明：〈規(guī)范和促進數(shù)據(jù)跨境流動規(guī)定 (征求意見稿)〉速覽》，2023-09-29，https://www.secrss.com/articles/59335，訪問日期：2023-10-08。由此可見，我國數(shù)據(jù)出境監(jiān)管規(guī)則仍在不斷優(yōu)化和調(diào)整之中。規(guī)則的變化和不確定性使得規(guī)則細化存有一定難度，導(dǎo)致了規(guī)則適用不明確等一系列問題。

2.事前監(jiān)督壓力過大，事中事后監(jiān)管不足

在現(xiàn)行制度框架下，數(shù)據(jù)出境監(jiān)管的基本思路是嚴格控制重要數(shù)據(jù)及個人敏感信息出境，并強調(diào)境外接收方應(yīng)達到我國規(guī)定的數(shù)據(jù)安全保護水平。在這種數(shù)據(jù)出境監(jiān)管的思路下，數(shù)據(jù)出境監(jiān)管的重心是事前控制。(23)有觀點將我國現(xiàn)行的監(jiān)管模式稱之為“家長式監(jiān)管”。參見洪延青：《準(zhǔn)確認識〈規(guī)范和促進數(shù)據(jù)跨境流動規(guī)定(征求意見稿)〉的重大轉(zhuǎn)變》，2023-10-08，https://law.bit.edu.cn/ztjj/26112e5fece84cbcbb3b710c1d3cc1be.htm，訪問日期：2023-10-10。然而，數(shù)據(jù)出境的實際風(fēng)險往往暴露在出境之后，事前判斷可能無法規(guī)制所有風(fēng)險。因此，即使數(shù)據(jù)處理者通過本文前述三種合規(guī)路徑完成數(shù)據(jù)出境活動，并不意味著數(shù)據(jù)出境后就再無風(fēng)險。正因如此，我國數(shù)據(jù)出境監(jiān)管主體在對三種合規(guī)路徑進行判斷時也尤為謹慎，從而進一步加重了事前監(jiān)管的壓力。與之相對，我國現(xiàn)行監(jiān)管規(guī)則對數(shù)據(jù)出境事中事后的監(jiān)管較為不足，數(shù)據(jù)處理者在數(shù)據(jù)出境后受到的約束較少，發(fā)生風(fēng)險事件的應(yīng)急處理機制也不清晰。事實上，若能增強對數(shù)據(jù)出境的事中事后監(jiān)管，既能更加充分保障數(shù)據(jù)安全，也能在一定程度上減輕事前監(jiān)管壓力，從而促進數(shù)據(jù)安全有序跨境流動。

3.行業(yè)數(shù)據(jù)分級分類制度建設(shè)尚需加強

對不同類型數(shù)據(jù)采取不同的管理措施是國際數(shù)據(jù)監(jiān)管的普遍經(jīng)驗。(24)梁正、張棟、于洋：《數(shù)據(jù)出境安全治理國際經(jīng)驗比較與啟示》，《中國信息安全》2022年第3期。我國《數(shù)據(jù)安全法》第21條已提出，國家要建立數(shù)據(jù)分級分類保護制度，并要求各地區(qū)、各部門應(yīng)當(dāng)按照數(shù)據(jù)分類分級保護制度，確定本地區(qū)、本部門以及相關(guān)行業(yè)、領(lǐng)域的重要數(shù)據(jù)具體目錄，對列入目錄的數(shù)據(jù)進行重點保護。就證券行業(yè)數(shù)據(jù)分級分類而言，現(xiàn)行國家標(biāo)準(zhǔn)《證券期貨業(yè)數(shù)據(jù)安全風(fēng)險防控 數(shù)據(jù)分級分類指引(GB/T 42775-2023)》為證券公司開展數(shù)據(jù)分級分類工作提供了指引性參考。具體而言，數(shù)據(jù)分類上，根據(jù)該指引，證券數(shù)據(jù)可依據(jù)不同業(yè)務(wù)條線及其細分業(yè)務(wù)環(huán)節(jié)進行具體歸類。例如，證券交易業(yè)務(wù)條線包括交易管理和投資者管理兩大細分業(yè)務(wù)環(huán)節(jié)，交易管理環(huán)節(jié)包括成交信息、委托信息、交易日志信息等數(shù)據(jù)，投資者管理環(huán)節(jié)包括投資者基本信息、開戶信息等數(shù)據(jù)。數(shù)據(jù)分級上，該指引綜合影響范圍、影響對象、影響程度等因素，將數(shù)據(jù)分為極高、高、中、低這四個等級。但是，該指引主要側(cè)重在數(shù)據(jù)分級分類的方法論上。針對具體數(shù)據(jù)而言，證券公司依據(jù)該指引判斷相關(guān)數(shù)據(jù)是否屬于重要數(shù)據(jù)，仍然存在一定困難。

4.規(guī)則理解適用缺乏具體指引和案例

在適用數(shù)據(jù)出境安全評估路徑時，國家網(wǎng)信辦《數(shù)據(jù)出境安全評估申報指南(第一版)》對數(shù)據(jù)出境安全評估的適用范圍、申報方式和流程、申報材料格式等作出了說明，并提供了部分申報材料的模板文件。但該指引所規(guī)定內(nèi)容仍然較為原則，所提供模板也只涉及文件格式要求，難以解決數(shù)據(jù)處理者在申報數(shù)據(jù)出境時遇到的具體困惑。實踐中，對于有關(guān)申報材料的具體內(nèi)容如何把握，數(shù)據(jù)處理者仍然需要與網(wǎng)信辦等監(jiān)管部門單獨進行溝通。例如，關(guān)于數(shù)據(jù)出境評估中的“數(shù)據(jù)出境的目的、范圍、方式等的合法性、正當(dāng)性、必要性”要求，數(shù)據(jù)處理者要具體論證數(shù)據(jù)出境具有必要性存在一定難度，也沒有相關(guān)的案例對此類問題進行說明。

5.監(jiān)管職責(zé)劃分與監(jiān)管資源能力配置有待優(yōu)化

在現(xiàn)行監(jiān)管制度安排中，網(wǎng)信部門是數(shù)據(jù)出境的主要監(jiān)管部門，但規(guī)則同時要求網(wǎng)信部門視情況組織其他行業(yè)監(jiān)管部門和專業(yè)機構(gòu)進行評審。就證券公司數(shù)據(jù)出境而言，網(wǎng)信部門對證券公司的數(shù)據(jù)出境申請一般會征求行業(yè)主管部門證監(jiān)會的意見。證監(jiān)會是證券公司的主要監(jiān)管機構(gòu)，掌握著證券公司分級分類評價、現(xiàn)場監(jiān)管檢查等監(jiān)管權(quán)限，對證券公司業(yè)務(wù)中的數(shù)據(jù)安全風(fēng)險認識較深，其意見對網(wǎng)信部門作出決定的意義重大。目前，證券公司數(shù)據(jù)出境的監(jiān)管職責(zé)主要歸于網(wǎng)信部門，但證監(jiān)會在監(jiān)管證券公司數(shù)據(jù)方面，資源和能力優(yōu)勢更為突出。由此來看，就證券公司數(shù)據(jù)出境監(jiān)管而言，現(xiàn)有監(jiān)管職責(zé)劃分尚有優(yōu)化空間。

四、完善我國證券公司數(shù)據(jù)出境監(jiān)管的對策與建議

現(xiàn)階段，我國證券公司數(shù)據(jù)出境監(jiān)管尚在探索起步階段，但我國證券公司的數(shù)據(jù)出境需求卻會與日俱增。從現(xiàn)實需求出發(fā)，有必要不斷完善監(jiān)管安排、優(yōu)化監(jiān)管措施、創(chuàng)新監(jiān)管手段，以解決我國證券公司數(shù)據(jù)出境活動面臨的合規(guī)壓力和難題。同時，從數(shù)字強國建設(shè)的宏觀背景出發(fā)，我國數(shù)據(jù)出境跨境流動規(guī)則的建設(shè)也在起步階段，對證券公司數(shù)據(jù)出境活動進行規(guī)范，試點開展有關(guān)創(chuàng)新性監(jiān)管安排，也能夠進一步豐富和完善我國數(shù)據(jù)跨境流動的治理體系，探索我國數(shù)據(jù)跨境流動的優(yōu)化方案，有利于我國在國際數(shù)據(jù)跨境流動規(guī)則制定的博弈中占據(jù)有利地位。基于這些考慮，本文擬從前述分析的困境成因出發(fā)，結(jié)合證券行業(yè)和證券業(yè)務(wù)的具體特征，提出解決困境的一些建議。

(一)進一步加強證券行業(yè)數(shù)據(jù)分級分類制度建設(shè)，明確證券重要數(shù)據(jù)認定標(biāo)準(zhǔn)

如前所述，數(shù)據(jù)分級分類制度是對數(shù)據(jù)出境活動實施類別化、差異化監(jiān)管的基礎(chǔ)。目前，現(xiàn)行國家標(biāo)準(zhǔn)《證券期貨業(yè)數(shù)據(jù)安全風(fēng)險防控 數(shù)據(jù)分級分類指引(GB/T 42775-2023)》可為證券公司進行數(shù)據(jù)安全管理提供指引參考。但考慮到該指引并非強制實施，僅是推薦性標(biāo)準(zhǔn)，且主要規(guī)定的是分級分類的方法和原則，實踐中具體數(shù)據(jù)屬于何種類別、是否屬于重要數(shù)據(jù)仍然存在標(biāo)準(zhǔn)不夠明晰等問題。值得注意的是，《規(guī)范和促進數(shù)據(jù)跨境流動規(guī)定(征求意見稿)》在重要數(shù)據(jù)認定上，明確未被公開為重要數(shù)據(jù)的，數(shù)據(jù)處理者不需要按照重要數(shù)據(jù)申報數(shù)據(jù)出境安全評估。(25)《規(guī)范和促進數(shù)據(jù)跨境流動規(guī)定(征求意見稿)》第2條規(guī)定，未被相關(guān)部門、地區(qū)告知或者公開發(fā)布為重要數(shù)據(jù)的，數(shù)據(jù)處理者不需要作為重要數(shù)據(jù)申報數(shù)據(jù)出境安全評估。若該規(guī)定正式出臺，而證券行業(yè)重要數(shù)據(jù)目錄未向社會公開公布，則證券公司部分數(shù)據(jù)可能處于監(jiān)管真空。為此，有必要進一步加強證券行業(yè)數(shù)據(jù)分級分類制度建設(shè)，盡快明確證券行業(yè)重要數(shù)據(jù)的識別標(biāo)準(zhǔn)。當(dāng)務(wù)之急是優(yōu)先保障證券行業(yè)重要數(shù)據(jù)目錄出臺，與正式出臺的《規(guī)范和促進數(shù)據(jù)跨境流動規(guī)定》做好銜接。

(二)細化數(shù)據(jù)出境監(jiān)管的具體指引，加強案例宣導(dǎo)和行業(yè)培訓(xùn)

我國證券公司數(shù)據(jù)出境面臨的合規(guī)難題與規(guī)則制定中只規(guī)定了原則而無細化措施有較大關(guān)系，有必要細化數(shù)據(jù)出境各項監(jiān)管的配套指引。具體而言：一是完善《數(shù)據(jù)出境安全評估申報指南(第一版)》等規(guī)則配套指引。應(yīng)細化指引內(nèi)容，增強指引的可操作性。指引內(nèi)容應(yīng)在文件申報模板外，關(guān)注更加實質(zhì)的內(nèi)容。例如，對于數(shù)據(jù)出境安全評估的各項考慮因素，指引應(yīng)對如何論證才能達到監(jiān)管要求給出具體標(biāo)準(zhǔn)。二是借鑒股票發(fā)行審核的有益經(jīng)驗，由證監(jiān)會定期編制證券數(shù)據(jù)出境常見問題解答，發(fā)布相關(guān)典型案例，并定期組織行業(yè)交流和培訓(xùn)會，邀請網(wǎng)信部門、主要中介機構(gòu)專家交流經(jīng)驗，加強對證券公司出境活動的合規(guī)培訓(xùn)。

(三)優(yōu)化證券公司數(shù)據(jù)出境的監(jiān)管職責(zé)安排，明確證監(jiān)會的監(jiān)管主體地位

目前，國家網(wǎng)信部門仍然是證券公司數(shù)據(jù)出境的主要監(jiān)管機構(gòu)。如前所述，證監(jiān)會在監(jiān)管證券公司方面的手段更豐富、經(jīng)驗積累更多，對證券行業(yè)的數(shù)據(jù)安全及風(fēng)險也有更深刻的認識。例如，通過在證券公司分類評價中納入對數(shù)據(jù)出境問題的考量，可以對證券公司數(shù)據(jù)出境進行更加有效的監(jiān)管。因此，有必要針對證券行業(yè)重新劃分數(shù)據(jù)出境的監(jiān)管職責(zé)安排，建立以證監(jiān)會為主體的新的監(jiān)管框架。具體而言：一是建立由證監(jiān)會對數(shù)據(jù)出境進行統(tǒng)籌管理、各派出機構(gòu)負責(zé)轄區(qū)內(nèi)具體落實與管理工作的監(jiān)管機制。在具體的制度設(shè)計上，證券公司申請數(shù)據(jù)出境，應(yīng)向所在地證監(jiān)會派出機構(gòu)提交材料，由派出機構(gòu)進行材料完備性等形式審核后，提交證監(jiān)會進行實質(zhì)審核。證監(jiān)會在具體審核中，應(yīng)征求國家網(wǎng)信部門的意見。為避免征求意見程序效率較低，可考慮在證監(jiān)會與國家網(wǎng)信部門之間建立處室對處室的溝通機制。二是發(fā)揮證券行業(yè)自律組織的優(yōu)勢，建立證券業(yè)協(xié)會、證券交易所、中國證券登記結(jié)算有限公司等自律組織參與安全評估的合作機制，發(fā)揮這些自律組織更加貼近證券公司業(yè)務(wù)的優(yōu)勢，提升證券公司數(shù)據(jù)監(jiān)管的人力資源儲備。

(四)強化事中事后監(jiān)管，完善應(yīng)急處置與責(zé)任追究制度

作為數(shù)據(jù)密集型行業(yè)，證券公司只要開展跨境業(yè)務(wù)，就必然涉及數(shù)據(jù)跨境活動。對證券公司數(shù)據(jù)出境進行過多事前限制，無異于限制其跨境展業(yè)。為此，可在短期內(nèi)先維持目前相對嚴格的事前監(jiān)管安排，但應(yīng)盡快加強事中事后監(jiān)管的制度建設(shè)。待事中事后監(jiān)管的相關(guān)制度經(jīng)過實踐檢驗后，再逐步放寬事前監(jiān)管的相關(guān)安排。具體而言：一是完善應(yīng)急處置制度建設(shè)。制定證券公司數(shù)據(jù)出境后發(fā)生風(fēng)險事件的應(yīng)急處置方案。具體來看，應(yīng)加強證券行業(yè)的數(shù)據(jù)安全技術(shù)系統(tǒng)建設(shè)，各證券公司開展跨境業(yè)務(wù)的系統(tǒng)應(yīng)具備數(shù)據(jù)追蹤功能，能夠確保數(shù)據(jù)在有限的范圍內(nèi)被合理使用，同時防止數(shù)據(jù)被不當(dāng)利用后，相關(guān)風(fēng)險進一步擴大。二是完善責(zé)任追究制度建設(shè)。應(yīng)加強對證券公司數(shù)據(jù)合規(guī)管理的要求，進一步明確證券違規(guī)進行數(shù)據(jù)出境活動的法律后果。例如，可考慮要求證券公司在內(nèi)部建立數(shù)據(jù)出境合規(guī)審批機制，對于沒有建立相關(guān)機制的，可通過采取監(jiān)管警示等手段進行約束。責(zé)任追究壓力將迫使證券公司主動加強對數(shù)據(jù)出境的合規(guī)管理，為緩解事前監(jiān)管壓力提供基礎(chǔ)。

(五)創(chuàng)新試點“監(jiān)管沙盒”部分監(jiān)管安排

“監(jiān)管沙盒”是通過在限定條件和范圍對新產(chǎn)品、新技術(shù)、新應(yīng)用及新服務(wù)進行測試，發(fā)現(xiàn)阻礙創(chuàng)新的約束制度條件，從而進行及時調(diào)整，制定應(yīng)對措施的監(jiān)管創(chuàng)新模式。(26)中國銀河證券數(shù)據(jù)跨境課題組：《“監(jiān)管沙箱”在證券期貨業(yè)數(shù)據(jù)跨境領(lǐng)域的實施路徑研究與探索》，2023-08-15，https://mp.weixin.qq.com/s?__biz=MjM5MzA3MzAzOQ==&mid=2655547350&idx=3&sn=c142be2d287d981b3ed78a6141395487&chksm=bd205d368a57d42073693c58f058dee4d70508d3821d6f30c86d1462e1724e39bbc4b88777c5&scene=27，訪問日期：2023-10-12。在數(shù)據(jù)跨境流動的監(jiān)管方面，目前已涌現(xiàn)出了多項新技術(shù)，具備納入“監(jiān)管沙盒”的可能。例如，區(qū)塊鏈技術(shù)可以解決數(shù)據(jù)出境中的傳輸安全可控問題，防止數(shù)據(jù)泄露。又如，隱私計算技術(shù)可以有效解決數(shù)據(jù)出境的合規(guī)問題，實現(xiàn)數(shù)據(jù)流動性與安全性的平衡。再如，AI技術(shù)可以解決數(shù)據(jù)出境過程中的多樣性和復(fù)雜性問題，對數(shù)據(jù)出境活動進行深度分析，為構(gòu)建證券行業(yè)的跨境數(shù)據(jù)安全監(jiān)測模式提供基礎(chǔ)。從國際上看，我國正在申請加入的《數(shù)字經(jīng)濟伙伴關(guān)系協(xié)定》(DEPA)第9.4條已明確提出，企業(yè)在數(shù)據(jù)監(jiān)管沙盒機制下，根據(jù)締約方各自的法律法規(guī)之規(guī)定共享包括個人信息在內(nèi)的數(shù)據(jù)，可以進一步增強創(chuàng)新。由此可見，在國際規(guī)則層面，已允許處于數(shù)據(jù)監(jiān)管沙盒的企業(yè)享有一定的監(jiān)管豁免權(quán)。(27)李愛君、王藝：《數(shù)據(jù)出境法學(xué)：原理與實務(wù)》，法律出版社，2023年，第74—75頁。然而，我國現(xiàn)行制度框架內(nèi)，并無“監(jiān)管沙盒”的制度空間。因此，可考慮在部門規(guī)章或者規(guī)范性文件層面，由證監(jiān)會對“監(jiān)管沙盒”相關(guān)制度出臺試點辦法，允許參與相關(guān)技術(shù)測試的證券公司在試點辦法允許的范圍內(nèi)，探索數(shù)據(jù)出境的合規(guī)新模式。

五、結(jié) 論

支持我國證券期貨經(jīng)營機構(gòu)“走出去”，拓展跨境業(yè)務(wù)范圍、增強參與國際競爭的能力，是我國資本市場高水平雙向開放的重要舉措。(28)方星海：《擴大開放 促進資本市場高質(zhì)量發(fā)展——方星海副主席在第五屆虹橋國際經(jīng)濟論壇“中國資本市場高質(zhì)量對外開放”分論壇上的致辭》，2022-11-05，http://www.csrc.gov.cn/csrc/c100028/c6300949/content.shtml，訪問日期：2023-08-11。作為我國資本市場的中堅力量，證券公司在推動我國證券業(yè)務(wù)與世界接軌、助推資本市場雙向開放方面扮演著重要角色。我國證券公司“走出去”開展跨境業(yè)務(wù)必然伴隨著數(shù)據(jù)跨境活動。然而從實踐需求來看，在現(xiàn)行規(guī)則下，我國證券公司數(shù)據(jù)出境仍面臨著重要數(shù)據(jù)認定標(biāo)準(zhǔn)不明確、數(shù)據(jù)出境安全評估耗時較長、個人信息出境缺乏豁免機制等困境。這反映出我國數(shù)據(jù)出境監(jiān)管存在事前監(jiān)管壓力過大、缺乏監(jiān)管規(guī)則適用細節(jié)指引、行業(yè)數(shù)據(jù)分級分類建設(shè)有待加強、監(jiān)管職責(zé)劃分不盡合理等因素有關(guān)。未來，需要進一步加強行業(yè)數(shù)據(jù)分級分類建設(shè)、完善細化數(shù)據(jù)出境監(jiān)管規(guī)則指引文件、明確證監(jiān)會在證券公司數(shù)據(jù)出境監(jiān)管方面的主體地位、加強對數(shù)據(jù)出境的事中事后監(jiān)管，并探索跨境監(jiān)管合作、“監(jiān)管沙盒”等創(chuàng)新監(jiān)管安排。