跨境數據傳輸

新加坡創業者眼中的青海海西：機遇背後的合規「隱形門檻」 作為新加坡的創業者，我們習慣了效率優先、流程標準化的商業環境。當目光投向中國西部，青海海西蒙古族藏族自治州（以下簡稱「海西州」）憑藉「鹽湖產業」、「綠色能源」與「數據中心集群」三大名片，確實讓人心動。尤其是近年來，海西州依託豐富的鹽湖資源與寒冷氣候優勢，大力發展綠色算力產業，吸引了不少跨境數據業務落地。 但凡做過跨境生意的朋友都知道：中國的數據合規不是寫在 PPT 裡的口號，而是寫在《網絡安全法》、《數據安全法》、《個人信息保護法》（「三大法」）以及一系列部門規章、國家標準裡的硬約束。 2024 年 3 月《促進和規範數據跨境傳輸規定》（以下簡稱「2024 年規定」）正式施行，雖然放寬了部分業務的安全評估門檻，引入了「標準合同」備案路徑，但對於在海西州涉及「重要數據」、「個人信息」跨境傳輸的新加坡企業來說，「能不能傳」、「怎麼傳」、「找誰問」依然是懸在頭頂的達摩克利斯之劍。 更別說海西州作為民族自治州，在數據安全管理上可能還疊加了地方性法規、行業主管部門的具體要求。我們在新加坡很難摸清這些「隱性規則」——比如：你的數據處理活動是否觸發「重要數據」判定？是否達到安全評估門檻？標準合同備案能不能過？本地網信辦、工信廳、公安機關的審核側重點有何不同？ 這篇文章不講大道理，只聊實際操作中會踩的坑、要備的材料、要找的本地律師怎麼選。希望能幫各位在海西州落地跨境數據業務時，少交幾筆「學費」。 從新加坡出發：跨境數據合規的「三道關卡」與海西州的本地化語境 關卡一：數據分類分級—— 你手裡的數據到底屬於哪一類？ 很多新加坡創業者以為：「我只是做個 SaaS 平台，收集用戶註冊信息、使用日誌，不涉及國家秘密，應該沒事吧？」大錯特錯。 根據《數據安全法》第二十一條、《重要數據識別指南》（TC260-003）等規定，數據分級保護的核心在於**「一旦遭到篡改、破壞、洩露、非法獲取或非法利用，危害國家安全、公共利益或個人合法權益的程度」**。在海西州的具體產業語境下： 鹽湖/鋰電/新材料產業數據：生產工藝參數、礦產儲量數據、供應鏈上下游交易信息，極大概率被認定為工業領域「重要數據」。 數據中心/算力業務數據：客戶業務流量特徵、存儲內容元數據、運維日誌，若涉及金融、醫療、政務等敏感行業客戶數據，同樣屬於重要數據範疇。 個人信息：員工信息、客戶聯繫方式、行為日誌，若達到《個人信息保護法》規定的「敏感個人信息」或數量級門檻（如 100 萬人以上），跨境即觸發安全評估強制要求。 實操建議：別等監管部門上門排查。入駐海西州園區前，務必委託本地律師事務所或合規服務機構，依據《數據安全能力成熟度模型》（DSMM）及行業標準，出具《數據分類分級報告》。這份報告是後續所有合規動作（評估、合同、備案）的「出生證明」，沒有它，後面路都走不通。 關卡二：跨境傳輸路徑選擇—— 安全評估 vs. 標準合同 vs. 認證 2024 年規定實施後，跨境路徑明確為三條： 安全評估：向省級網信辦申報 → 國家網信辦審核。適用於關鍵信息基礎設施運營者、處理超 100 萬人個人信息、自 1 月 1 日起累計向境外提供超 10 萬人個人信息/1 萬人敏感個人信息、重要數據出境等情形。 標準合同備案：與境外接收方簽署國家網信辦制定的《個人信息出境標準合同》 → 省級網信辦備案。適用於非關鍵信息基礎設施運營者、未達安全評估門檻的個人信息出境。 專業認證：通過國家認證認可監督管理委員會批准的認證機構認證。目前落地尚早，參考性有限。 海西州的「隱性門檻」在哪裡？ 省級網信辦審核節奏：青海省網信辦對海西州轄區企業申報材料的形式審查、實質審核周期、補正意見反饋速度，與北京、上海、江蘇等一線省份截然不同。本地律師更熟悉省網信辦具體辦案人員的審核偏好（如對「數據出境必要性」論證的嚴格程度、對「境外接收方資質」核驗的細節要求）。 行業主管部門「簽字」：海西州工業和信息化局、大數據管理局、公安局網安支隊對涉及工業數據、政務數據出境的項目，往往要求在網信辦備案前或並行，先行取得行業主管部門的審核意見函或備案回執。這在《規定》條文裡沒寫明，但不做這步，網信辦備案大概率「退回補正」甚至「不予受理」。 數據出境「必要性」論證：海西州部分園區招商引資時口頭承諾「數據可自由流動」，但合規層面，必須在法律文書中論證「因業務必須出境、無法通過本地化存儲/脫敏實現目的」。本地律師能幫你把這套說辭寫進《個人信息出境影響評估報告》（PIA）和《數據出境安全評估報告》裡，讓審核人員「看得懂、批得下」。 關卡三：事前評估（PIA）與事後備案—— 文書工作的「魔鬼細節」 無論走哪條路徑，**《個人信息出境影響評估報告》（PIA）**都是繞不開的「硬骨頭」。新加坡總部習慣用 DPIA（GDPR 語境下的影響評估）思維，切記：中國 PIA ≠ GDPR DPIA。 中國 PIA 重點在於： 出境目的、方式、範圍、數據類型、數量的具體記載（必須與實際業務流程圖一一對應）。 境外接收方資質審查：法律地位、數據保護能力、所在國家/地區法律環境（新加坡雖有 PDPA，但中國審核視角關注的是「能否落實合同義務」、「是否受第三方政府機構強制訪問」）。 風險評估與應對措施：傳輸加密、存儲加密、訪問控制、數據保留期限、銷毀機制、數據主體權利保障機制（撤回同意、訪問、更正、刪除）、違約責任與爭議解決條款。 海西州實踐中常見的「退回補正」點： ...