數據出境安全評估制度的功能定位及優化路徑

禹竹蕊 奉卓

提要：數據出境難免挾裹泄露個人信息與威脅社會公共利益和國家安全的潛在風險。數據出境安全評估這一重要制度安排是行政機關將數據出境風險有效化解在事前的關鍵一招?；谥贫仍O計的功能定位，數據出境安全評估既是履行個人信息保護義務的現實要求，又是嚴守社會公共利益和國家安全重要防線的實踐需要，還是促進數據跨境安全、自由流動的必備措施。目前，由于多重因素的掣肘，嚴重影響了評估工作的順利開展，導致這一制度遭遇功能受限的尷尬局面。建議在現有評估制度基礎上，著眼于數據出境安全評估制度的功能定位，有針對性地予以相應優化，以期不斷打破拘囿，健全與其功能特性相適配的系統性制度，確保制度效能得到充分釋放。

云計算和大數據相待而成，極大地影響和“改造”了現實世界，①Marcelo Corrales,Mark Fenwick,Nikolaus Forg(eds.),New Technology,Big Data and the Law,Springer Verlag,2017,pp.154-155.數字經濟應運而生。數據作為數字經濟的重要基礎元素，在國家間戰略博弈中的地位堪稱當今的“新石油”。歐盟歷來把數據保護視為基本權利，將域內數據打上鮮明的歐盟數據標簽或國籍烙印，實行持續且無地域限制的保護，表現出強烈的數據本地化特征。而美國一方面通過與歐盟合作，確保數據自由流通，保障本國企業在歐盟數據市場的地位；另一方面，美國國會于2018 年通過頒布《澄清合法利用海外數據法》（CLOUD Act），修改《儲存通訊法》（SCA），直接規定美國網絡服務提供商有義務依法保存和披露其全球范圍內的數據。美國積極對抗歐盟數據本地化的立法，釋放出強烈信號，彰顯其對數據未來掌控的決心，①參見王志安：《云計算和大數據時代的國家立法管轄權——數據本地化與數據全球化的大對抗？》，《交大法學》，2019 年第1 期。企圖利用“馬太效應”在數據跨境活動中實現“全球數據霸權”，應該引起我們的高度警惕。中國要贏得未來國際競爭主動權，必須抓住數字經濟發展機遇，更要重視數據安全問題。黨的二十大報告明確指出，要“健全國家安全體系?！瓘娀洕?、重大基礎設施、金融、網絡、數據、生物、資源、核、太空、海洋等安全保障體系建設”②習近平：《高舉中國特色社會主義偉大旗幟，為全面建設社會主義現代化國家而團結奮斗——在中國共產黨第二十次全國代表大會上的報告》，《人民日報》2022 年10 月26 日。。數據出境安全評估，既緊緊關聯國家安全體系的建設，又深深關切公民個人信息的保護，是國家和社會治理中備受關注的焦點。2022 年9 月1 日起正式施行的《數據出境安全評估辦法》（以下簡稱《評估辦法》），不僅指出數據出境安全評估就是對數據處理者向境外提供在我國境內運營中收集和產生的重要數據和個人信息的安全評估，還專門針對出境數據的安全評估問題作出相關制度安排，為實踐中更加準確、有效開展數據出境安全評估提供了重要制度依循。一年多的實踐證明，數據出境安全評估制度在充分保護個人信息權益、有效防范化解數據出境領域國家安全風險考驗等方面發揮了重大作用。但囿于種種原因，數據出境安全評估制度在理論和實踐上都存在某些困境，在現有制度框架下，可進一步完善相關制度內容，從而確保這一制度的功能與優勢得到充分發揮。

一、價值論釋：數據出境安全評估的功能定位

作為信息的載體，數據承載了大量的個人信息甚至隱私，也關聯著社會公共利益和國家發展戰略與安全。作為數據安全領域的一種新生制度，數據出境安全評估自揭開面紗那一刻起就受到理論界與實務界的廣泛關注。這一制度設計旨在賦予行政機關相應職責，將數據出境可能衍生的各種風險在數據出境前實現有效消除，這不僅是履行個人信息保護義務的現實要求，亦是嚴守國家安全和社會公共利益重要防線的實踐需要，還是規范數據出境活動，促進數據跨境安全、自由流動的必備措施。③參見《數據出境安全評估辦法》第一條規定，中國網信網，2022 年7 月8 日。

（一）履行個人信息的保護義務

信息社會，個人信息的功能挖掘與使用賦予了其強大的商業價值能量，且隨著挖掘程度的深化與使用范圍的泛化，日漸表現出公共管理價值，④參見禹竹蕊：《我國個人信息保護的立法回應與展望》，《黑龍江社會科學》，2021 年第4 期。使得對個人信息權利的保護變得愈發迫切。從公民權利保護與國家保護義務的角度看，公民的一般權利抑或基本權利，都應依法受到尊重和保護，但基于權利屬性的殊異，對二者保護的程度與方式等略有差別?；緳嗬哂小爸饔^權利”與“客觀法”雙重性質，其最原始的功能機理是“主觀權利”性質下的防御權，即公民對抗國家不當干預其自由和侵害其財產的權利。⑤參見王錫鋅：《個人信息國家保護義務及展開》，《中國法學》，2021 年第1 期。隨著時間的推移，基本權利開始向“客觀法”性質導向下的“客觀價值秩序”迭代革新，要求國家必須遵守這一價值秩序，借助制度建構等方式盡可能地排除影響基本權利實現的干擾和提供基本權利實現的實質性條件，⑥參見張翔：《基本權利的雙重性質》，《法學研究》，2005 年第3 期。并承擔排除第三人侵害的保護義務。正因如此，國家與公民這一權利主體形成了公法上的給付關系。①參見王進文：《基本權國家保護義務的疏釋與展開——理論溯源、規范實踐與本土化建構》，《中國法律評論》，2019 年第4 期。隨著《民法典》以及《個人信息保護法》的問世，個人信息權從“民法上的具象權利”，逐漸呈現向“憲法中的基本權利”的認識變遷，學界普遍認為，個人信息權已然落入基本權利保護的“射程”范圍。據此，就個人信息這一特定領域的保護而言，國家具有通過制定法律制度等方式，避免個人遭受信息數據處理者等第三方，在個人信息處理中施加侵害行為的保護義務。②參見張翔：《個人信息權的憲法（學）證成——基于對區分保護論和支配權論的反思》，《環球法律評論》，2022 年第1 期。

數字經濟的萌發與國際貿易的繁榮，促使數據跨境交流現象愈演愈烈，個人信息的使用逐漸超越國界限制，隨之衍生出公民個人信息的泄露等諸多現實隱憂。一方面，由于數據出境事前監管規則的不完善，相關部門難以對向境外提供數據的數據處理者開展有效的事前監控，數據處理者在利益驅使下向境外販賣個人信息牟利的現象時有發生；另一方面，囿于司法主權等現實因素，相關部門更是難以對離境數據進行事后監管，數據出境后其中挾裹的個人信息被挖掘、被泄露的現象層出不窮?？傊?，事前監管缺失與事后監管乏力的“兩頭軟”現狀，勢必會增加數據跨境交流中的個人信息保護風險。從這個意義上講，國家機關理應更加積極作為，創造和維護有利于個人信息保護的制度環境，排除他人妨害，履行保護義務。數據出境安全評估的制度設計，天然帶有國家積極履行個人信息保護義務的重要功能。通過事前環節的評估積極應對數據出境風險的復雜性與不確定性，增強數據出境活動的安全性與穩定性，在事前階段降低數據出境風險事件的發生概率，從源頭上對個人信息權實現“充分性保護”，可以有效破解數據出境活動中個人信息泄露等現實難題。

（二）嚴守社會公共利益和國家安全的重要防線

數據是信息社會全新的生產要素，是數字經濟乃至國民經濟的“細胞”。③參見何玉長、王偉：《數據要素市場化的理論闡釋》，《當代經濟研究》，2021 年第4 期。數據的廣泛開發與應用，在推動傳統行業和政府發生數字化轉型的同時，也激發了社會創新，通過釋放公共數據所蘊藏的經濟價值改善公共產品的供給質量，保障經濟運行、社會穩定、公共健康和安全?！稊祿踩ā访鞔_了我國建立數據分類分級保護制度，并強調要加強對重要數據的保護。④參見《中華人民共和國數據安全法》第二十一條規定：“國家建立數據分類分級保護制度，根據數據在經濟社會發展中的重要程度，以及一旦遭到篡改、破壞、泄露或者非法獲取、非法利用，對國家安全、公共利益或者個人、組織合法權益造成的危害程度，對數據實行分類分級保護。國家數據安全工作協調機制統籌協調有關部門制定重要數據目錄，加強對重要數據的保護。關系國家安全、國民經濟命脈、重要民生、重大公共利益等數據屬于國家核心數據，實行更加嚴格的管理制度。各地區、各部門應當按照數據分類分級保護制度，確定本地區、本部門以及相關行業、領域的重要數據具體目錄，對列入目錄的數據進行重點保護?！敝匾獢祿▊€人數據、金融數據、商業數據、健康數據等，這些數據既關乎社會公共利益，也關系國家安全?！对u估辦法》將重要數據的出境評估納入評估范圍，除了要有效維護社會公共利益，更關鍵的是要守住國家安全的防線。國家安全是一個多領域交叉的綜合性安全問題。隨著世界進入新的動蕩變革期，全球數字治理出現新的轉折點，與國土安全、軍事安全等傳統意義上的國家安全領域范疇相比，數據領域的國家安全問題也越來越受到各國重視?；诔鼍硵祿念愋蛣澐?，重要數據抑或普通個人數據信息出境都具有威脅國家安全的潛在風險。數據出境活動具有重要數據內容敏感與普通個人數據體量聚合的“質”與“量”兩大風險來源。⑤參見包檸榛：《中概股赴美上市的數據安全審視：風險來源、中美監管與應對》，《東北師大學報》（哲學社會科學版），2023 年第4 期。一方面，從重要數據出境的角度看，重要數據本身具有敏感性，承載著重要敏感內容，在潛在風險方面表征出“重要數據信息→泄露出境→風險產生”的衍生理路。例如：民用核設施信息、核礦產原料產量等重要數據，無需展開進一步處理，其原始數據本身就與國家安全利益休戚相關，具有相當高的保密價值，若被境外敵對勢力獲取，不必經過挖掘分析，僅通過重要數據的信息表達功能就足以影響一國的國家安全利益，一旦出境即可能存在威脅國家安全的現實風險。①參見李曉楠、宋陽：《國家安全視域下數據出境審查規則研究》，《情報雜志》，2021 年第10 期。另一方面，從普通個人數據信息出境的維度看，基于普通個人出境數據信息的體量性堆積演變，在潛在風險方面呈現出“普通個人數據→體量堆積→聚合分析→風險產生”的發展進路。例如：個人消費偏好、文化娛樂興趣等普通個人數據信息，表面看與國家安全不具有直接性關聯，但如果出現集中批量的數據泄露，境外敵對勢力在海量的數據存量基礎上，再利用大數據技術對底層數據進行推演分析、聚合衍生，就可以對我國公民的心理傾向等進行“精準畫像”，從而有針對性地展開意識形態攻擊策略，威脅我國國家安全。②參見馬其家、李曉楠：《論我國數據跨境流動監管規則的構建》，《法治研究》，2021 年第1 期。

數據出境活動雖然潛藏著威脅社會公共利益和國家安全的現實風險，但為了追求絕對安全就“因噎廢食”，因害怕風險就進行“數據封閉”進而致使并不具備安全風險的海量數據無法出境，這顯然與世界發展主流趨勢相悖，其結果勢必反噬國家安全本身，③參見丁曉東：《數據跨境流動的法理反思與制度重構——兼評〈數據出境安全評估辦法〉》，《行政法學研究》，2023 年第1 期。也無法實現社會公共利益最大化。因此，我國應既著眼于社會公共利益和國家安全考量，又致力于促進數據依法自由流動，不斷在安全與發展中尋求數據出境新的平衡點。數據出境安全評估制度設計的另一大功能，就在于嚴守社會公共利益和國家安全的重要防線，即通過科學合理的評估制度建立事前風險預警機制，對數據出境的目的、方式以及境外接收方的數據安全環境等進行評估，在事前階段篩選駁回部分可能影響社會公共利益和國家安全的數據出境申請，實現風險防范的“源頭治理”，有效彌合數據出境風險與社會公共利益、國家安全維護的內在張力，進而有效防范國家安全風險，真正實現國家長治久安。

（三）促進數據跨境安全、自由流動的必備措施

數據產業的興起，全球數字經濟的繁榮，國際貿易的推動，都使得數據自由化尤其是數據的跨境流動成了各國走向世界、擁抱世界的必然選擇和價值追求。網絡運營者將其在一國境內收集和生成的重要數據和個人信息，通過網絡和其他方式（如：物理攜帶等）提供給境外機構、組織或個人的數據出境活動日益增多。然而，云計算和大數據的進一步崛起，數字經濟的縱深發展，又令各國對數據有了更為深刻的認識。出于對發展、安全的擔憂，各國開始在網絡空間架設邊界，為數據的跨國界自由流動設置“障礙”，加大數據保護的力度。網絡空間主權思想的興起，導致數據本土化成了一種新的趨勢，各國基于數據安全、隱私保護、國家安全等重大問題的考量，相繼出臺數據本地化的政策與立法，卻并未絕對禁止市場導向下數據的跨境流動。簡言之，數據本土化與數據自由化并未形成非此即彼的對立狀態，如何在二者之間尋求平衡點，恰好是數據出境安全評估制度設計的出發點。為突出以美國為首的西方國家對我國的“數據封鎖”之圍并構建跨境數據流動的中國模式，《評估辦法》不僅明確了我國對數據出境采取“自評估”+“國家安全評估”的階梯式評估機制，還明確了數據出境安全評估的范圍①參見《數據出境安全評估辦法》第四條規定，中國網信網，2022 年7 月8 日。、數據處理者自評估的合規要點②參見《數據出境安全評估辦法》第五條規定，中國網信網，2022 年7 月8 日。以及國家安全評估的審查要點③參見《數據出境安全評估辦法》第八條規定，中國網信網，2022 年7 月8 日。，要求圍繞數據出境的目的、范圍、方式，以及出境的合法性、正當性、必要性等因素進行全方位評估，以數據處理者的自評估為前提，以國家安全審查為保障，真正有效規范數據出境活動，保障數據的合法流動、安全流動。

二、問題審視：數據出境安全評估的功能受限

作為一種風險預防性制度安排，數據出境安全評估應在事前階段承擔起發現風險、分析風險和消除風險的重要作用。但囿于多重原因，數據出境安全評估制度設計的功能發揮仍然不夠理想。

（一）性質迷思：行為屬性茫然若迷

行政法上，明晰行政行為的基本性質是展開后續研究與實踐活動的基礎前提，相應地，數據出境安全評估行為屬性的明確，是能否有效開展數據出境安全評估活動不能回避的核心難題，同時亦是數據出境安全評估相關法律制度構建與完善的理論基石，更是充分發揮其應有制度功能的根本保障。數據出境安全評估制度功能發揮的現實不足，很大程度上也正是由于行為屬性不明確所導致的現實結果。因此，明確數據出境安全評估的行為屬性不僅僅是法解釋學維度上的理論研究問題，也是實踐中進一步確定評估范圍、充分發揮應有制度功能的制度實踐難題。遺憾的是，數據出境安全評估的行為屬性至今尚不明確。一方面，從現有制度實踐運行的角度看，業已存在的制度安排尚未對數據出境安全評估的行為屬性予以明確，相應的官方釋明更是闕漏；另一方面，從已有的理論探討研究維度看，當下有關數據出境安全評估這一議題的理論研究甚少，更遑論專門對數據出境安全評估行為屬性的深議。雖有部分學者詳實證成了數據出境安全評估是一種具體行政行為的理論構想，④參見張凌寒：《論數據出境安全評估的法律性質與救濟路徑》，《行政法學研究》，2023 年第1 期。但并未繼續刺破具體行政行為這層“面紗”，將數據出境安全評估行為納入具體行政行為種屬類型進行邏輯圈畫。停滯于具體行政行為行為屬性的宏觀范疇確認，欠缺數據出境安全評估行為屬性的精確認定，就難以依法運用類型化的規范手段去整肅數據出境行為亂象，嚴重掣肘了數據出境安全評估制度功能的充分發揮。

（二）主體局限：職責劃分與協作規定欠妥

評估主體是數據出境安全評估的首要構成因素，直接影響著安全評估的實際效能。目前而言，數據出境安全評估的主體存在職責劃分失衡偏落與協作問題規定不明兩大現實問題，嚴重阻滯著其制度功能的延展與發揮。

1.職責劃分略顯失衡

根據《評估辦法》第七條⑤參見《數據出境安全評估辦法》第七條規定，中國網信網，2022 年7 月8 日。和第十條⑥參見《數據出境安全評估辦法》第十條規定，中國網信網，2022 年7 月8 日。相關規定，數據出境評估由國家網信部門組織并決定，省級網信部門并未被賦予作出評估決定的職權，其僅就負責申報材料的“完備性查驗”工作，即對申報材料進行形式審查，對申報材料不齊全的依照法律程序退回并告知補正。隨著數字經濟的日益發展與國際交流的逐漸深入，加之“中國開放的大門只會越來越大”的政策理念指引，數據出境活動勢必會出現海量式增長，將數據出境安全評估實質審查工作全部交由國家網信部門，而省級網信部門僅僅負責形式審查工作，無疑會給國家網信部門造成巨大壓力，導致國家網信部門出現“能力赤字”，進而嚴重掣肘數據出境安全評估工作實際效能，與國家希冀有效提升數據出境風險消除的制度設計初衷相背離。

2.協作問題規定不明

由于數據出境安全評估的復雜性，靠單一的行政機關部門往往很難解決相關問題，若想充分實現安全評估功能價值，必須重點依托“整體政府”理念下行政協調理論的基本要求，即在不改變相關行政機關部門自身功能、結構性因素的基礎之上，通過多元協作，打破傳統的部門界分與功能界分的局限，①參見李大勇、杜宏偉：《行政協調中的裁量規制》，《行政法學研究》，2016 年第4 期。讓各個部門形成向心力，把內耗和摩擦降到最低，實現治理效果的最優化。但《評估辦法》僅用第十條對國家網信部門與相關部門的協作評估問題一筆帶過，條文內容過于籠統，對部門協作如何組織、如何開展等具體問題并未言明。同時，第十條還在由國家網信部門組織相關部門進行評估前加上了“根據申報情況”的前提要件。從文義解釋的角度看，組織協作并非是一貫范式，而應由國家網信部門視申報情況而“一事一議”，這勢必會存在國家網信部門基于權力的統一性與評估工作的效率考量而不組織相關部門協作的潛在可能，導致評估協作制度虛置，進而影響安全評估工作的整體效率與精準程度。

（三）適用牽制：范圍與情境寬泛不清

《評估辦法》對數據出境需評估的現實情境展開釋明，旨在為評估的實踐工作開展指明前進方向，但其圍繞評估適用維度的制度設計存在適用范圍寬泛與適用情境模糊的不足，致使安全評估制度功能的發揮遭受一定梗阻。

1.適用范圍寬泛

根據《評估辦法》第四條，同時結合《網絡安全法》和《個人信息保護法》等相關法律規范，②參見《網絡安全法》第三十七條，《個人信息保護法》第四十條。關于數據出境安全評估的適用范圍主要從數據處理主體與出境信息類型兩方面作出規定，旨在對數據出境形成全方位、多角度、立體式的風險防范范式框架。一方面，從數據處理主體角度看，只要出境數據的數據處理者是特殊主體，即關鍵信息基礎設施運營者（CIIO），就要接受數據出境安全評估。另一方面，從出境信息類型的角度看，需要接受數據出境安全評估的數據類型主要包含定性與定量兩個維度：（1）定性維度：出境數據是重要數據的。（2）定量維度：出境數據達到一定數量的。關于“數量”的判斷標準，一是靜態標準，即出境數據的個人信息數量達到100 萬以上的；二是動態條件，即在一定期間出境數據的個人信息數量動態累計達到10 萬人，或敏感個人信息數量達到1 萬人?；贑IIO 主體掌握數據的特殊性與重要數據的敏感性，數據一旦遭到破壞、泄露或非法利用，都可能嚴重危害國家安全與公共利益，因此，對其出境活動進行安全評估的必要性不言自明。但是從定量維度的出境數據標準來看，按照我國的人口基數與數字經濟的用戶規模，一個企業只要存有跨境業務活動，輕而易舉就能達到上述靜態標準與動態條件的基準線。即數量要求偏低會直接導致現有數據出境安全評估適用范圍過于寬泛，企業很多日常的數字經濟活動也會被納入其中，數據出境安全評估數量一旦膨脹，在有限的人力資源與硬性的行政效率雙重壓力導向下，勢必造成評估主體對評估工作的“疲于奔命”與“敷衍了事”，形成追求效率與保證質量之間的“二律背反”，難以有效保證評估質量，這無疑與有效提升評估工作質量、規范評估行為的制度設計初衷相抵牾。

2.適用情境模糊不清

現有數據出境安全評估適用情境模糊，深深鉗制著其“左手”保護個人信息、“右手”維護國家數據安全的功能效用，可從內外不同視角去檢視。一方面，從內部性視角看，安全評估制度內部的相關概念模糊不清，例如：《評估辦法》第十九條①參見《數據出境安全評估辦法》第十九條規定，中國網信網，2022 年7 月8 日。對“重要數據”一詞給出了規范釋義，但僅僅是基于性質特征的描述性闡釋，在具體實踐中數據處理者與評估主體仍然可能存在主觀性理解偏差。數據處理者與評估主體對“重要數據”理解不一勢必會導致評估適用范圍的不確定，造成適用情境的沖突，進而牽制該制度的實現效果。另一方面，從外部性視角看，安全評估制度也與其他相關制度存在規范性沖突，例如：安全評估制度與安全審查制度就存在關系不清、對象交叉的現實藩籬。②參見曹泮天、袁瑞璟：《企業境外上市數據安全風險的預防性治理》，《河北學刊》，2023 年第3 期?！毒W絡安全審查辦法》第七條③參見《網絡安全審查辦法》第七條規定，中華人民共和國中央人民政府網站，2021 年12 月28 日。規定，掌握超過100 萬用戶個人信息的網絡平臺運營者赴境外上市需進行網絡安全審查，那么當數據處理者以赴境外上市的形式進行數據出境活動，究竟是采用安全評估還是安全審查？抑或二者皆需？現有規定不夠清晰明朗，難以指導實踐，還會導致適用的沖突模糊，勢必會對制度功能發揮產生雙向拘囿。

（四）內容困頓：“三性”遭受巨大質疑

《評估辦法》第八條對數據出境國家安全評估的審查要點進行專門規范，七個方面的內容列舉昭示出其蘊含的價值導向。但遺憾的是，審查要點設計的闕漏卻使得其功能價值的展現形格勢禁。首先，從準確性角度看，七個方面的內容大多是指引性、原則性規范，內容較為模糊，實踐可操作性不強，比如：第八條第一款第一項的“正當性”與“必要性”如何理解？達到什么樣的條件可謂是“正當”與“必要”？同時，第八條第一款第二項要求對境外接受方的數據安全保護政策與網絡安全環境等作出評估，其實際操作又當如何？其次，從科學性角度看，正如前文所述，數據處理主體與出境信息類型的殊異無疑招致評估適用情形的迥異，源于不同的數據處理主體所掌握的數據與不同類型的數據本身的重要性程度差異，與之對應的數據出境國家安全評估內容顯然也需要形成內在體系的層次性架構，④參見趙精武：《論數據出境評估、合同與認證規則的體系化》，《行政法學研究》，2023 年第1 期。但《評估辦法》尚未形成科學地分級分類的評估內容標準，而是采取“一刀切”的做法，要求不同的數據出境國家安全評估都依循第八條規定的審查要點展開，這勢必會使評估結論的科學性與可靠性受到一定質疑。最后，從合理性角度看，根據《評估辦法》第五條，風險自評估是數據出境安全評估的必要前置程序，與國家安全評估的審查要點相對比，二者的重點評估事項存在大量內容重合，嚴重牽制安全評估內部體系的融貫性與合理性。同時，由數據處理者對自身的數據出境風險開展自評估，其結論的真實性與客觀性也有待進一步考量與審視。

（五）時限制約：延長時限規定不明

作為一種量度工具，時間在法律上具有重要意義。法律上的準確時間期限，一方面深刻體現著減少對法律規范恣意執行現象的“工具理性”；另一方面亦展示著使法律規范中模糊內容具體明確，提升法的可預測性的“內容價值”?！对u估辦法》第十二條第一款①參見《數據出境安全評估辦法》第十二條第一款規定，中國網信網，2022 年7 月8 日。雖然對數據出境安全評估時間的延長作出具體規定，在情況復雜或者需要補充、更正材料的特定情形下可適當延長評估時間，但是關于延長的時間并未明示，只用“適當”二字予以概括規定。從理論上講，延長5 天、30 天抑或更長期限都可認定在“適當”的含義解釋限度之內，這無疑賦予了安全評估主體過于寬泛的延長時限的裁量權，給評估主體留下在形式“合法”外衣下恣意行權的脫逸空間，與將數據出境行為納入法治框架，進而依法保護個人信息、有效維護國家安全的制度功能定位背反。

三、優化路徑：數據出境安全評估的功能發揮

（一）性質釋明：明確安全評估行為屬性

行為屬性的準確界定是開展數據出境安全評估實踐工作的必要前提，也是數據出境安全評估充分實現其作為一種規制工具功能的基本保障。目前，學界傾向于將數據出境安全評估行為視為一種具體行政行為。從具體行政行為的通說概念來看，具體行政行為是指行政機關就特定的事項對特定人的權利義務作出法律上的處分，②參見余凌云：《行政法講義》，北京：清華大學出版社，2019 年版，第275 頁。具有針對特定人與特定事項、單方行為、外部性處理等基本特征。將數據出境安全評估行為納入其概念視域展開嵌入比對，可以看出，數據出境安全評估系由國家網信部門這一公權力主體運用行政權力、行使行政職權，就相關數據能否出境這一特定事項，對申請數據出境的數據處理者這一特定主體作出的具體行為，針對事項與對象具有特定性，且其行為無需經過相對人的同意，由國家網信部門單方作出即可發生法律效力，深刻影響著數據處理者的權利義務，與具體行政行為的概念內涵與特征勾勒相耦合。在此基礎上進一步思考，數據出境安全評估行為屬性可進一步落入行政許可的種屬范疇，這也與其制度功能相耦合?！缎姓S可法》第二條③參見《中華人民共和國行政許可法》第二條規定，中國人大網，2019 年5 月7 日。對行政許可作出規范定義，將其轉換為理論概念，就是指特定行政主體根據行政相對人的申請，經依法審查，作出準予或者不準予其從事特定活動之決定的行政行為。同時結合《行政許可法》與一般理論，可將這一概念解構出行政許可內容、性質、程序與形式四大內涵要求。

1.符合內容要求

行政許可是依法準予相對人從事特定活動的一種授益行政行為，其以一般禁止為前提，個別解禁為條件。只要經過許可，相對人即可獲得從事某種特定活動的資格或權利?！秱€人信息保護法》第四十條①參見《中華人民共和國個人信息保護法》第四十條規定：“關鍵信息基礎設施運營者和處理個人信息達到國家網信部門規定數量的個人信息處理者，應當將在中華人民共和國境內收集和產生的個人信息存儲在境內。確需向境外提供的，應當通過國家網信部門組織的安全評估；法律、行政法規和國家網信部門規定可以不進行安全評估的，從其規定?！泵鞔_提出，達到特定條件的數據必須通過國家網信部門安全評估，方能出境，也即是對數據出境行為的“解禁”，因此，只有經過國家網信部門許可，相對人才能獲得向境外提供數據的權利或資格，進而開展數據出境活動，符合行政許可的內容表達。

2.符合性質要求

行政許可應是一種依申請而為的行政行為，行政機關一般不能主動授予，俗稱“無申請則無許可”?！对u估辦法》第四條對需進行安全評估的情形劃定了一定范圍，明確指出，數據處理者向境外提供數據，在符合特定情形時需主動通過省級網信部門向國家網信部門進行申報。換言之，國家網信部門作出安全評估結論以相對人的申請為前提，沒有相對人的申請，則不能主動給予安全評估，這與行政許可依申請而為的性質相吻合。

3.符合程序要求

行政許可整體呈現出“申請→審查→決定”的程序脈絡，盡管行政許可以相對人申請為前提要件，但并不意味著只要相對人申請皆可獲得行政機關許可，還必須經過依法審查。與備案的形式審查不同，行政許可的審查是一種實質審查，《評估辦法》在明確了省級網信部門對申報材料完備性查驗的形式審查職責的同時，也賦予了國家網信部門實質性審查職責，并對重點審查的事項作出了詳盡規定，與行政許可的實質性審查程序要求相契合。

4.符合形式要求

根據《行政許可法》第三十四條②參見《中華人民共和國行政許可法》第三十四條規定，中國人大網，2019 年5 月7日。，行政許可必須采用書面形式。這說明行政許可應是一種要式行政行為。數據安全評估也是如此，一方面，《評估辦法》第六條③參見《數據出境安全評估辦法》第六條規定，中國網信網，2022 年7 月8 日。規定申報數據出境安全評估必須提交一定的書面材料，需采用特定的書面形式；另一方面，《評估辦法》第七條第二款和第十二條第二款④參見《數據出境安全評估辦法》第十二條第二款規定，中國網信網，2022 年7 月8 日。對申報數據出境安全評估是否受理以及評估結果，均要求采用書面形式通知數據處理者。因而，二者在形式要求這一方面具有一致性。

（二）主體調適：完善主體維度相關規定

在數據出境安全評估中，要充分把牢評估主體與參與主體兩大主體類型，一方面，聚焦評估主體，科學合理地重構評估主體職責要素；另一方面，著眼參與主體，優化細化多方參與主體協作規定，持續增強評估結果的客觀性與公正性，有效確保安全評估功能彰顯。

1.科學合理重構評估主體職責要素

科學合理的職責劃分，是保障評估主體充分履職的必要前提。然而，現有數據出境安全評估主體難以有效應對海量的評估工作，對此，應進一步重新科學劃分數據出境安全評估流程中各評估主體的職責要素，尤其是要強化省級網信部門評估職責，充分發揮其前置審核的功能，減輕國家網信部門評估工作負擔。具體而言，建議在省級網信部門對申報材料進行形式上的“完備性查驗”的職責基礎上增加實質上的“內容性查驗”職責，既對數據處理者提交的申報材料作出完備性評價，又要對申報材料的內容展開實質性評估，并形成書面形式的初步評估結論供國家網信部門參考，真正實現數據出境安全評估關口前移，做到“減負”“加壓”兩不誤，在有效緩解國家網信部門評估壓力的同時給出境數據安全上好“雙保險”，不斷提升數據出境安全評估實際效能，充分把準規范評估行為的功能定位。

2.優化、細化多方參與主體協作規定

協作與互補是數據出境安全評估的“主旋律”，在“主動治理”視域下實現有關部門多元參與，首先需要通過制度明確規范多元協作間的相關性問題，切實保障各參與主體之間能夠更好地協作治理，進而確保制度功能的完美實現?，F有的數據出境安全評估的制度設計，除對國家網信部門的職責有著詳盡規定外，鮮有涉及其他參與主體在數據出境安全評估中的職權責任劃分。建議在《評估辦法》中細化多方主體協作具體規范，以明確的制度規范強化國家網信部門在數據出境安全評估中與公安機關、國家安全機關、金融監管機構等多部門協作，形成安全評估合力。尤其是要加大公安機關和國家安全機關在安全評估中的實踐參與，充分發揮這兩個機關的數據信息資源優勢，建立公安機關、國家安全機關與國家網信部門數據共享交換機制；更要以公安機關警務信息綜合應用平臺中有關企業數據安全行政處罰信息為依托，打造數據出境安全評估黑白名單制度。具體而言：一方面，將企業數據安全管理良好、沒有受過處罰記錄的企業列入白名單，并將其作為安全評估重要參考指標，在安全評估工作中合理、合法地實現程序簡化；另一方面，針對企業數據安全工作失范，將多次受到公安機關處罰的企業列入黑名單，在數據出境安全評估中著重評估審查。同時，可進一步探索數據出境公安備案等制度構建，做到出境準備公安知曉、評估過程公安參與和違規出境公安介入的全鏈條、全流程管理，強化公安機關與國家網信部門在規制數據出境領域的強大合力。另外，針對可能致使組織協作制度虛置的現實問題，建議修改《評估辦法》第十條，刪除“根據申報情況”這一條件要求，為確保組織協作制度效能的切實發揮掃清“障礙”。

（三）適用審度：破解安全評估適用難題

數據出境安全評估功能受限與其適用維度的現實難題休戚相關，合理限縮評估適用范圍與明晰適用模糊的應對方案，是有效破解數據出境安全評估適用難題、推動數據出境安全評估功能的因應之策。

1.合理限縮評估適用范圍

數據出境安全評估適用范圍，是影響其規范數據流通這一制度功能充分發揮的決定性因素之一，評估適用范圍大小直接關系到數據能否自由跨境流通，范圍過窄易導致數據泄露影響國家安全，范圍過寬則限制出境活力牽制經濟發展。從現有的制度規范與國情現狀結合來看，數據出境安全評估適用范圍過寬，應進一步提升安全評估門檻，在合理限度內限縮安全評估適用范圍，做到精準適用、精準評估。具體而言，建議在出境信息類型的定量維度上下功夫，結合我國經濟發展現狀，合理增加靜態標準和動態條件的數量要求，適當提升安全評估適用門檻，進而有效避免因適用范圍過寬而阻滯我國數字經濟發展的背反現象，充分實現數據出境安全評估推動數據充分流動、盤活數字經濟的制度效用。

2.明晰適用模糊的應對方案

正確理解法律條文概念是正確適用法律的必要前提，相應地，精準描繪數據出境安全評估制度中的相關概念也是保障制度適用方向正確，確保制度功能效用充分發揮的一定之規?！爸匾獢祿币辉~在《數據安全法》等國家數據安全領域法律規范中被多次提及，但其概念內涵仍然撲朔迷離，鑒于此，建議在后續立法或是司法解釋中以現有概念釋義為基礎，進一步明晰“重要數據”的準確理解?，F有關于“重要數據”的理解主要從特征的描述性角度進行范式展開，后續闡釋中可采取《個人信息保護法》第二十八條①參見《中華人民共和國個人信息保護法》第二十八條規定，中國人大網，2021 年8 月20 日。對“敏感個人信息”的含義界定方式，以“特征描述+類型列舉”明確“重要數據”概念內涵，為數據出境安全評估適用提供規范指引。②參見梅傲、陳子文：《總體國家安全觀視域下我國數據安全監管的制度構建》，《電子政務》，2023 年第11 期。與此同時，在對“重要數據”進一步解釋中還要在安全與發展中尋求價值平衡點，既應實現對國家安全因素的充分考量，又要達至對經濟發展的深思熟慮，實現安全與發展并重的價值導向。另外，針對特定情形下安全評估與安全審查的適用沖突問題，基于二者制度內容存在部分一致性，且與安全評估相比，安全審查的內容更具嚴苛性，加之對于國家資源的節約與處理效率等多維考量，建議在二者適用沖突的情形下選擇安全審查路徑即可。

（四）內容考量：調適安全評估審查要點

準確、科學、合理規劃國家安全評估審查要點，是實現對數據出境風險精準把控、確保數據出境安全評估功能發揮的關鍵一招?！对u估辦法》雖對國家安全評估的審查要點作出了一定制度安排，但在審查要點的準確性、科學性與合理性方面仍然存有現實困境牽制其效能發揮，建議對相關制度規范作出一定修改完善。首先，繼續提升審查要點的準確性。雖然2022 年國家網信辦出臺了《數據出境安全評估申報指南》（以下簡稱《申報指南》）對相關內容進行規范，但大多是對數據處理者開展自評估的基本要求，且僅僅是從程序與形式角度給出一定指導與幫助，鮮有涉及對國家網信辦安全評估審查要點的規范指引，導致現有審查要點過于原則與籠統。建議盡快制定出臺《數據出境安全評估指導手冊》，明確規范安全評估相關操作標準，對現有審查要點的部分原則性規范給出量化標準，準確界分“正當與非正當”“必要與非必要”等評估判斷內容要求。其次，繼續提升評估內容的科學性。建議可在數據分級分類的基礎上，按照不同數據出境情形分別設計不同審查標準，其基本邏輯在于根據不同數據出境情形的數據重要程度和泄露、損害后果等進行層次性保護，對于CIIO 申報的數據出境與“重要數據”出境，應采取更為嚴格的出境流動評估規則，而對定量維度的個人信息出境實行普通數據出境流動評估標準，形成具有差異性、層次性架構的內部評估內容體系。最后，繼續提升評估內容的合理性?，F有國家安全評估審查要點存在與自評估內容重合的不合理現象，基于此，建議將二者內容進行實質性區分，并考量納入單獨的第三方評估機制③此處所指的第三方評估機制并非《申報指南》中規定的自評估制度內的第三方機構參與，而是獨立于自評估制度并與之平行的制度設想。，規范化建設一批具有專業資格認證的第三方評估機構，將自主性評估和第三方評估結合理念深入貫徹，有效避免因自利因素而產生的自評估違規現象。同時，針對自評估與第三方評估過程中出現的違法行為的懲處規定還較為籠統，應進一步明晰公安機關在安全評估過程中對違法行為的打擊職責，有效降低評估流程中的違法風險，為安全評估工作依法有序開展，助力安全評估制度功能實現提供有力支撐。

（五）時間規范：明晰安全評估延長時限

時間與空間一樣同為客觀范疇，也是法律規范中屢見不鮮而又至關重要的組成要素，其準確與否深刻影響著安全評估功能效用的規范表達?！对u估辦法》第十二條第一款規定，安全評估期限一般為45 天，但情況復雜或者需要補充、更正材料的，可以適當延長并告知數據處理者預計延長的時間。但該條并未對“適當延長”期限作出明確規定，間接地將其置于寬泛裁量空間。法治并不排斥裁量，但反對不受限制的裁量。一般來講，賦予某一事項裁量權力主要有兩方面原因：一是立法機關在立法時對相關問題沒有能力把握，因而將此問題交由行政機關根據具體情況斟酌而定；二是立法機關因無法預見未來的現實客觀因素而不經意形成具有裁量空間的制度安排。①參見何海波：《行政訴訟法》，北京：法律出版社，2022 年版，第103 頁。反思安全評估制度的現有規定，對于立法者而言，完全具有明確延長時限規定與預見時限不清對數據處理者造成權利損害可能的能力，由是觀之，延長時限的規定并不具有上述兩類賦予其裁量權的現實原因，應對其進行進一步明確規定，以期待它應有的功效能在恰當的時機發揮。具體而言，數據出境安全評估既為一種行政許可，那么即可參考《行政許可法》關于許可決定的期限規定對此予以明確。同時，基于數據出境安全評估與國家安全、個人信息保護等重大國家、公共利益密切相關，其評估工作應更為謹慎，應給予合理限度內的較長時間，故而，可借鑒參考《行政許可法》第四十二條②參見《中華人民共和國行政許可法》第四十二條規定，中國人大網，2019 年5 月7 日。中“可以延長十五日”的期限規定，對數據出境安全評估延長時限作出明確規定。