域外效力
对于在中国境外的数据处理活动，如果损害中国的国家安全或公共利益或中国公民或组织合法权益的，那么数安法也会适用，并对其进行规范。因此，如果您处理在中国产生或收集的数据，即使不发生在中国境内，您也应当特别注意数安法的域外效力。
境外开展的调查和诉讼
数安法规定，基于任何外国司法机构或执法部门提出的要求而提供中国实体或个人在中国储存的数据的，须经主管部门的事先批准。违反规定的公司可能被处以最高500万元人民币的罚款，负责人可能被处以50万元人民币的罚款。
中国公司，包括在中国设立的外商投资企业，为参加境外调查或诉讼之目的，依赖于其他司法辖区法律下所允许的“隐私盾”，而将数据从中国传输至境外时应当谨慎。
数据的分类和分级保护制度
数安法基于特定类型的数据对中国的国民经济、国家安全和公共利益以及社会的重要性，以及安全事件所带来的危害程度，规定了数据分类分级管理和保护制度。
越是重要和核心的数据，越是受到更严格的管理和保护要求。尤其应当注意的是：
(i) 重要数据的处理者必须进行定期风险评估，并向主管部门提交评估报告。该等报告须包含所处理数据的类型和数量、对数据处理活动的描述，面临的数据安全风险及其应对措施等。
(ii) 国家对影响或可能影响国家安全的数据处理活动进行国家安全审查，依法做出的安全审查决定为最终决定。预计中国政府将适时制定并发布关于实施程序的更多详细规定。
(iii) 与中国国家安全、国家利益或履行国际义务相关的特定数据可能被视为管制物项，并受到出口管制。
此外，数据安全法要求各地区和各部门针对具体地区或行业制定自己的重要数据保护目录。近期，国家互联网信息办公室发布了《汽车数据安全管理若干规定（征求意见稿）》，规定了汽车行业重要数据的范围。
数据本地化的要求
数安法重申了《中国网络安全法》对关键信息基础设施经营者在中国收集和产生的重要数据的本地化要求。如果关键信息基础设施经营者（如很可能被纳入关键信息基础设施经营者的金融科技、数据电信、基础设施和公共医疗行业等）未能遵守本地化要求，并向国外提供重要数据，主管部门可令其暂停或停止业务，甚至撤销其经营许可或营业执照。该关键信息基础设施经营者还可能面临最高1000万元人民币的罚款，其负责人则可能面临最高100万元人民币的罚款。
对于非关键信息基础设施经营者，数安法规定，国家互联网信息办公室将制定和发布单独的跨境传输规则，该等规则将适用于该等非关键信息基础设施经营者所收集和产生的重要数据。
对等的制裁措施
对于其他司法辖区在与数据和数据开发利用技术等有关的领域，针对中国相关的投资、贸易方面所采取的歧视性禁止、限制或者其他类似措施，数安法为中国政府采取对等的措施奠定了法律基础。
数据交易市场
根据数安法，国家将建立开发数据交易市场，改进并规范中国的数据交易管理。数安法规定，从事数据交易中介服务的机构应要求数据提供方说明数据来源，审核交易活动所涉及各方的身��，并妥善留存所有交易记录。
简要概括
总之，新数安法的颁布将给在全球范围内经营业务并受制于多司法辖区的数据安全要求的公司带来更多挑战。
如果您希望讨论数安法对贵司业务的影响，请联系本客户简讯的作者。
Client Alert 2021-168
