观点 | 证券期货业数据出境监管模式探索与研究

发布日期：2023-08-11 13:36    点击次数：132

文 / 中国银河证券数据跨境课题组

数字经济时代的到来，进一步加快了经济全球化的步伐，数据在全球经济中成为重要生产要素，尤其是在国际经贸活动中，具有跨境流动的现实需求。

在全球数据出境流动体系呈现碎片化、分裂化、政治化、阵营化的环境下，我国从安全与发展出发，修订了《网络安全法》，颁布实施了《数据安全法》和《个人信息保护法》，这些法律共同构筑了具有中国特色的数据出境流动制度，寻求数据安全和自由流动的平衡。同时国家网信办及行业配套发布了数据相关的规制，如《数据出境安全评估办法》《证券期货业网络和信息安全管理办法》，进一步推动了数据跨境安全高效地落地。

证券期货业数据出境现状分析

近年来，我国资本市场对外开放举措不断，多项改革持续推进，境内外市场加强互联互通，进一步推进资本市场双向开放，中国资本市场进一步与世界接轨。数据出境流动需求的不断扩大是金融市场双向开放的必然结果。证券期货业作为对外开放的排头兵，亟需建立起一套适应自身行业发展的数据出境体系。

总体来说，证券期货行业数据出境主要集中在出境开展业务、出境经营管理以及出境监管与司法诉讼等三个方面。在出境开展业务方面，主要包括开展港股通、H股全流通、B转H业务，出境从事证券期货经纪交易，直接参与出境品种交易，出境提供研究报告服务，与境外机构开展场外衍生品业务，基金营运出境外包，以及境内企业赴境外上市；在出境经营管理方面，主要包括集团内数据出境、办公系统的域外使用等；在出境监管与司法诉讼规则方面，主要包括出境诉讼、出境仲裁、出境监管以及反洗钱数据出境等。

证券期货业数据出境总体思路与原则

通过对行业数据出境场景梳理与分析，发现行业数据出境需求主要集中在交易、资讯、研报、客户信息、集团信息共享等几个方面，从数据特点来看，跨境数据普遍具有行业特色，从专业性上给数据出境的评估及后续监管带来了一定难度，为了更好地促进行业的双向开放，在整体行业数据出境监管设计上建议遵循如下五点原则。

1.构建数据出境流动治理体系，兼顾安全性和流动性之间的平衡

在对跨境数据流动监管路径的选择上，应在保证国家主权、数据安全、公共利益安全、公民个人隐私安全与鼓励行业数据自由流动之间寻找平衡。由于行业数据属于重要的行业资产，一旦遭受破坏、泄漏或盗取将会对国家经济利益造成重大危害和影响。因此，现阶段进行证券期货业数据出境流动时必须坚持数据的安全观，即以保障国家主权、数据安全、公共利益安全、保护公民个人数据隐私安全为优先目标。在充分保障数据安全的前提下，鼓励证券期货业数据的高效流动，探索构建兼顾安全性和流动性之间平衡的证券期货业数据出境流动治理体系。

2.配套出台证券期货业数据出境流动规制，保障数据出境的安全性和可操作性

一是完善证券期货业数据出境流动制度体系。当前，《网络安全法》《数据安全法》《个人信息保护法》已经正式发布实施，证券期货业监管机构、自律组织、会管单位及从业机构应以最新高层级立法思路为根本，以问题为导向，制定证券期货业数据出境管理办法，并推动该办法的实施落地。

二是配套出台证券期货业数据出境安全技术指引，包括数据出境安全目标治理架构、跨境数据场景与数据资产台账、跨境数据分类分级、跨境数据安全控制等。通过技术能力、技术要求和技术手段全方位保障数据出境流动的安全。

3.构建证券期货业数据出境流动监管体系，提升跨境数据监管的协同性和有效性

一是对证券期货业数据出境流动实施统筹监管。构建跨部门协同的统筹监管机制，建议由证监会牵头，会同国家网信办、人民银行、银保监会等，发挥机制协同作用，定期就事前评估、事中监控、事后评价信息加强互换沟通，将证券期货业数据监管贯穿于行业数据出境流动的全生命周期，以提升跨境数据监管的协同性和有效性。

二是积极参与国际证券期货业数据出境流动的规则制定。密切与“一带一路”沿线国家，以及区域全面经济伙伴关系协定、上海合作组织、亚太经合组织、G20等组织成员国证券期货业数据监管机构的沟通协作，坚持在多边参与、寻求共识的基础上，构建区域性的证券期货业数据出境流动规则，形成中国特色数据流动“朋友圈”，推动我国证券期货业数据保护水平与国际接轨，促进圈内伙伴国协同发展。

4.完善证券期货业数据出境流动安全评估体系，进行数据出境试点，平衡数据出境的审慎性和灵活性

一是探索完善行业数据出境流动安全评估机制。应依照《证券期货业数据分类分级指引》或行业重要数据清单等来定期圈定行业重要数据及一般数据，对行业重要数据应存储在国内，数据出境前应通过国家相关部门的安全评估；对重要数据之外的一般数据则以数据处理者数据安全自评估为主，并遵循相关法律法规的前提条件下，推动数据自由流动，提升我国数据要素市场的国际竞争力。

二是进一步加强境内外证券期货业数据出境流动经验交流与学习，结合境外主要经济体的现状，逐步优化数据出境流动安全评估体系，并推进落地相关数据出境创新试点。通过政府、行业、学术间等多个层面的协作、交流，学习境外数据出境的先进经验，同时增进海外机构对我国数据出境流动法规制度的了解，释放我国扩大开放的信号，增强境内外投资者信心。可考虑在北京、上海、深圳、海南等有制度创新优势的对外开放窗口地区，率先进行行业数据出境创新试点，探索兼顾数据安全和数据自由流动的数据出境新路径及新模式，为行业数据出境开展积累有益经验。

5.构建以尊重为基础的证券期货业数据出境合作共建新模式

在坚守国家主权和国家安全观的前提下，提高证券期货业数据出境流动的开放水平，形成数据治理的“中国模板”，为数据出境和数字经济贡献中国智慧和中国方案，推动形成更加包容、更加贯通、更加开放的证券期货业数据出境流通新格局。

探索证券期货业数据出境监管模式

国家网信办颁布的《数据出境安全评估办法》，已于2022年9月1日起施行。该办法规定了应当申报数据出境安全评估的情形与数据出境安全评估的具体要求，如规定了数据出境评估受理方为省级网信办，省级网信办受理后做完备性检查，合格后上报国家网信办，国家网信办受理申报后，根据申报情况组织国务院有关部门、省级网信部门、专门机构等进行安全评估。由于数据在各行业均具有专业性，涉及重要数据出境的评估，网信办会征求各行业主管部门意见。以此来看，办法中规定的数据出境安全评估最终审核结果大概率会依据各行业主管部门出具的意见。为了能在《数据出境安全评估办法》的框架下，合规且高效落地数据出境评估流程，建议探索行业监管部门主导的行业数据出境监管路径。

1.落地证券期货业数据出境管理规章制度

鉴于各行业主管部门对行业数据出境审核有重要管控作用，建议证券期货业由证监会牵头与网信办申请获得证券期货业数据出境评估及监管的授权，授权应包括以下事项：授权开始的时间及有效期；授权进行数据出境评估的数据范围，如证券期货业数据等；授权方式，包括全权授权与部分授权。全权授权指网信办将行业数据出境评估职责全部授权予证监会，不参与评估工作；部分授权指行业数据出境评估工作由证监会主导，但国家网信办仍将参与评估工作。

同时参照网信办颁布的《数据出境安全评估办法》，落地行业数据出境管理规章制度。制度应从数据出境活动事前、事中、事后等阶段规范数据出境监管流程，应包括数据出境自评、申请、评估、实施、监控、应急、违规整改等。证监会代理网信办接收行业数据处理者的数据出境申请，并组织开展证券期货业数据出境评估，定期向网信办备案数据出境申请受理审核情况，同时履行其他数据出境监管职责（如图所示）。

图 数据出境申请与评估流程

2.证券期货业数据出境监管权责

建议构建证监会行政监管、证券期货业协会自律监管、证券期货业从业公司自查，以及数据接收者配合、协助相结合的法律规制体系。

在行政监管方面，构建由证监会统筹、派出机构落实的行政监管机制。当前，行业归口监管是我国数据出境流动的基本体制，证监会及其派出机构作为证券期货业数据出境监管主体，负责证券期货业数据出境管理办法制定、数据出境评估、审查、监管及评价等工作。其中证监会对数据出境进行统筹管理，证监会各地派出机构负责所辖区域的具体落实与管理。

在行业自律监管方面，构建证券期货业协会等自律组织参与安全评估的合作机制，细化数据出境管理自律秩序。作为国家行政监管的重要补充，证券行业协会、交易所、中国证券登记结算有限公司在证券期货业数据出境监管中必将发挥重要的作用。构建证券期货业数据出境管理秩序的关键要素就是对数据出境流动的合规与安全性进行评估，在这方面我国可借鉴美国经验，引入第三方机构评估证券期货业数据出境安全水平，并及时从以下方面规范第三方评估市场。第一，对评估机构进行评估能力、评估资质的认证；第二，监督管理第三方评估机构评估的形式、过程及方式；第三，明确第三方评估机构失职或造成损失的责任。引入第三方评估机构并规范其运作方式，以此提升数据出境流动的评估水平。行业自律组织可利用自身优势，广泛参与并组织对第三方评估机构资格认定规范的制定，并在证监会的领导下，组织第三方机构对证券期货业跨境流动进行安全评估，以控制和规避数据出境流动合规及安全等风险。

在证券期货业数据处理者的自觉监管方面，应明确证券期货业数据控制主体在国家安全、数据保护等方面的自律自查责任。规范证券期货业数据出境流动，除了完善立法和加强公权力监管及合理发挥自律组织作用之外，证券、期货、基金公司作为证券期货业数据的主要收集者和处理者，同样也产生了重要影响。建议采用“问责制”原则，各证券、期货、基金公司应根据自身实际情况确定证券期货业数据保障义务，并通过行业规章及公司制度加以具体落实。证券、期货、基金公司应当充分考虑如下内容，获取数据的途径是否合法合规；处理数据时是否保障数据的真实性和安全性；是否采取了足够的安全保障措施审慎保管掌握的数据；数据出境流动时是否保障了数据主体的知情权；数据接收国的法律能否做到对跨境流动的数据进行安全保障；被侵权的有力救济措施等。相较于处罚、救济等事后监管行为，风险事先预防实施成本更低，效果更明显。在此方面可以借鉴CBPRs（跨境隐私规则体系）尝试设立激励机制，并将自评估作为一项评价指标纳入行业机构诚信评价体系，鼓励证券、期货、基金公司自评估，并定期向社会公布评估报告。

在数据接收方的监管方面，应遵从我国及数据接收所在国数据出境相关规制要求。数据接收方对接收到的跨境数据具有保护义务，应对接收到的数据进行严格控制管理，保证所接收的数据只用于协议约定的使用目的，不能侵害相关数据主体的权利。应对接收的数据内容按照数据安全等级进行分级管理，对重要和敏感数据进行加密存储。当存在数据被非法使用时，数据接收方有义务配合数据输出机构进行追责。

数据接收方应遵守归属地法规，同时严格按照和数据处理者签署的协议处理数据，必须保证数据处理相关人员能够遵守有关数据保密的要求，并在数据安全、数据泄露、数据保护影响评估等方面对数据控制者提供协助。如果没有数据控制者的同意，数据接收者不得将跨境数据传输给第三方。经过数据控制者授权后，数据接收者可以将跨境数据传输给第三方，如果第三方发生了变化，数据接受者有义务及时告知数据控制者，数据控制者有权提出反对。数据接受者对第三方的数据处理活动完全负责，有义务将数据保护的要求施加给第三方。数据接收者在数据处理服务终止时，应当删除相应数据，除非根据法律要求必须保留这些数据。

（中国银河证券数据跨境课题组主要成员：吴国舫、向仕建、王作敬、杨光、张弘、孙锐等）

（栏目编辑：王伟、韩维蜜）

证监会数据期货业证券国家网信办发布于：北京市声明：该文观点仅代表作者本人，搜狐号系信息发布平台，搜狐仅提供信息存储空间服务。