數據跨境流動是支撐數字貿易和數字經濟發展的關鍵，但同時也會給國家數據安全及個人隱私保護等帶來一定挑戰。如何統籌平衡數據跨境流動治理中的“發展目標”和“安全目標”非常重要。早在2020年8月，國家商務部便提出在北京、上海、海南等條件相對較好的自貿區（港）開展數據跨境傳輸安全管理試點。今年十四屆全國人大一次會議又提出要組建國家數據局，高效統籌數據資源的共享及開發利用。國家對于數據治理工作一貫高度重視。今年的政府工作報告已明確指出2023年政府工作重點是穩步擴大制度型開放水平。在數據跨境流動問題上如何穩步推進構建制度型開放體系值得思考。

事實上，由于我國一些自貿區（港）已擁有較完善的產業生態和市場應用基礎，企業有著較迫切和多元的數據出境需求。另一方面，自2022年以來，我國國家層面有關數據跨境流動的法律法規和規范指南已陸續出臺，我國以“安全評估、標準合同、個人信息保護認證和其他”為主要機制的數據出境監管制度體系已初步搭建。在此背景下，在自貿區（港）進行制度型開放體系構建的創新探索也是恰逢其時。

筆者認為，自貿區（港）開展數據跨境流動制度創新工作，要在兼顧“安全目標”的基礎上更偏重“發展目標”。另外，要在明確審批權邊界基礎上更注重推進國家相關監管制度體系的落地實施。因為數據出境審批屬于國家事權，自貿區（港）進行制度創新，其工作重點在于推進國家層級相關監管制度的落地實施，提升現有法律法規的可操作性和可執行性。此外圍繞數據跨境流動治理，大國展開了激烈博弈。自貿區（港）在進行相關制度創新時，應及時關注國際數據治理前沿動態，還有必要結合自身的產業基礎、地緣生態、政經特點等進行創新探索，為總結提煉符合我國國情的所謂“中式”數據跨境流動治理方案做出貢獻。

在秉持這些基本原則的基礎上，自貿區（港）從事數據跨境流動制度創新需循序漸進，抓住各階段的主要矛盾來進行。目前，可圍繞如下四個方面的核心抓手展開：

一是協助數據出境安全評估機制平穩落地。根據國家數據出境監管法律體系，重要數據和規模以上的個人數據需經過安全評估才能出境，但國家目前尚未出臺統一的重要數據目錄。各自貿區（港）應配合國家尤其是在自身具有比較優勢的相關產業和業務領域（如：北京的生物醫療、社交媒介領域，上海自貿區的金融、汽車產業、工業互聯網領域等）幫助出臺重要數據清單。具體而言，可結合針對重點企業實地調研和吸取行業專家建議，以《信息安全技術重要數據識別指南（征求意見稿）》中的14條重要識別因素對每一類數據進行判斷，形成該自貿區（港）特定領域的潛在重要數據“正面清單”，為國家制定統一重要數據目錄提供參考。

二是先行探索自貿區（港）的個人信息保護認證機制。雖然我國的個人信息保護認證規范已經出臺，但其中仍有需澄清之處，目前也尚未有可參考的成功案例，因此自貿區（港）可先從重點領域挑選企業，從以下幾方面著手進行小范圍試點：一是保障認證機構的“專業性”和“獨立性”；二是嘗試探索“技術驗證”和“現場審核”等環節如何適用于境外接收方；三是明確“技術驗證”的內涵以及要點，為國家相關部門制定統一的技術驗證標準提供參考；四是建立認證反饋機制，包括且不限于督促數據出境方自查、定期核查數據出境方資質等。

三是優化服務于貿易情境下個人數據出境的標準格式合同。個人數據出境可基于“標準格式合同”方式。根據“標準合同附件中可加入雙方協商擬定的其他條款”的規定，自貿區（港）可對現有標準格式合同進行適當調整和優化，使其更符合貿易情境下的個人數據的出境監管，尤其是確保數據出境標準合同與商業主合同不沖突。

四是同主體同類數據的高頻出境的便捷化處理。對于已達到數據出境安全評估門檻，且屬于同主體同類數據高頻出境的情形，可嘗試申請國家授權建立“同主體同類數據高頻出境白名單制度”。即數據第一次出境時仍須完整執行安全評估流程，同時對數據處理者、數據接收方、數據條目、數據出境頻次和數據用途等進行備案，后續同主體同類數據再次出境時，可省去繁瑣的評估流程。另外，可采取“事前備案+事后監管”相結合的監管機制以防范風險。（作者周念利系對外經濟貿易大學國家（北京）對外開放研究院、中國WTO研究院研究員；于美月系對外經濟貿易大學中國WTO研究院2021級博士研究生）