《网络安全法教程》 8+第八章 数据本地化与数据跨境流动

第一节 数据本地化与跨境流动概述
▪ 数据本地化并不意味着绝对禁止数据跨境流动，它有绝对与相对之分，绝对数据本 地化指某些数据的存储、处理和访问必须在本地进行，相对本地化是指通过设置极 其严格的条件，有效禁止数据从辖区跨境流动。
▪ 数据跨境流动，是指一国（或地区）政府的数据通过信息网络跨越边境的传输与处 理。
▪ 一、国际国外数据跨境流动规则
▪ 【延伸阅读】 ▪ GDPR深度解读：数据跨境转移：变得更加严格？ ▪ 被称为“史上最严格”数据立法， GDPR是否让数据跨境转移变得更为严格？
▪ 二、中国数据跨境流动规则 ▪ 2017年04月11日，国家互联网信息办公室有针对性地发布了《个人
信息和重要数据出境安全评估办法（征求意见稿）》
▪ 【延伸阅读】
▪ 积极参与制定跨境数据流动规则
▪ 我国应坚持多边主导、多方参与，发挥政府、国际组织、互联网企业、技术社群、民间 机构、公民个人等各种主体作用，进一步加强同发展中国家的合作，推动制定符合发展 中国家利益和发展需要的跨境数据流动规则。
▪
▪
▪
课程结束
▪
谢谢！
Biblioteka Baidu
▪ 评估流程之安全 自评估流程
安全自评估启动
安全 自评估 工作组
提出出境计划 修改建议
不通过
不同意 不通过
征得 主管部 门同意
需要 同意
报送 主管部 门
符合报送要求
步骤1：出境目的评估
通过
步骤2：安全风险评估 通过
是否需获得 主管部门同意
不需要 数据按计划出境
发生较大变化 数据接收方变更 发生重大安全事件
▪ 第一，个人信息出境未经个人信息主体同意，或可能侵害个人利益；
▪ 第二，数据出境给国家政治、经济、科技、国防等安全带来风险，可 能影响国家安全、损害社会公共利益；
▪ 第三，其他经国家网信部门、公安部门、安全部门等有关部门认定不 能出境的。
▪ 《信息安全技术 数据出境安全评估指南（草案）》
▪ 1、评估流程 ▪ 2、评估要点 ▪ 3、重要数据识别 ▪ 4、出境安全风险评估方法
国境内运营收集和产生的个人信息和重要数据以境内储存为原则，安全评估后向境 外流动为例外的制度。
▪ 苹果公司在中国贵州建立数据中心 ▪ 2018年2月28日，苹果公司（以下简称“Apple”）在中国内地的iCloud服务将
正式由云上贵州大数据产业发展有限公司（以下简称“云上贵州”）运营。
▪ 第三节 数据跨境流动
网络安全法教程
第八章 数据本地化与数据跨境流动
第八章 数据本地化与数据跨境流动
▪ 【内容提要】本章主要介绍我国《网络安全 法》第三十七条的内容，聚焦数据本地化与 数据跨境流动安全评估，展现当前我国个人 信息和重要数据出境安全评估的最新立法前 沿内容，力图使读者清晰地了解我国网络数 据本地化与数据跨境流动制度。
▪ 2017年5月27日，全国信息安全标准化技术委员会发布国家标准《信 息安全技术 数据出境安全评估指南（草案）》
▪ （一）《个人信息和重要数据出境安全评估办法》（征求意见稿） ▪ 1、评估对象 ▪ 2、评估方式 ▪ 3、评估的重点内容
▪ 【延伸阅读】
▪ 数据不得出境的情形有哪些？
▪ 根据《个人信息和重要数据出境安全评估办法》（征求意见稿）的规 定，以下情形数据不得出境：
▪ 第二节 数据本地化
▪ 一、数据本地化的意义 ▪ 第一，数据本地化立法（政策）捍卫国家政治安全 ▪ 第二，数据本地化立法（政策）保障国民财产与人身安全
▪ 二、数据本地化的模式
▪ 第一，要求数据中心建在境内 ▪ 第二，禁止数据离境 ▪ 第三，对数据出口征税
▪ 三、我国数据本地化的相关规定 ▪ 我国《网络安全法》第三十七条确立了关键信息基础设施运营者在中华人民共和
▪ 【延伸阅读】
▪ 美国科技巨头反对印度数据本地化
▪ 2018年7月，印度政府数据隐私委员会提出建议限制数据流动的草案，提出所有 “重要的个人数据”必须在该国境内存储和处理，印度政府有权决定这些数据包 含哪些内容。对此，Facebook、万事达、Visa、美国运通、PayPal、亚马逊、微 软和其他公司都联合起来抗议。
▪ 【延伸阅读】马来西亚数据本地化
▪ 2010年，马来西亚通过了个人数据保护法（Personal Data Protection Act,PDPA） ，该法令要求马来西亚公明的个人数据应当存储在境内的服务器上。其第129（1）条 规定：数据使用者不能将马来西亚的个人数据转移至其它国家或地区，除非该国家和 地区经过部门的批准，列为了可以转移的目的地，并在官方公报上公布。