摘要：《促进和规范数据跨境流动规定》授权自贸试验区探索数据出境负面清单。负面清单体现“法无禁止即可为”的法律理念。数据出境负面清单并非面向自贸试验区和自由贸易港的特殊设计，其核心目标在于为中国的数据出境安全管理积累经验，最终在全国推广。其功能定位可以概括为防范数据出境风险和促进数据跨境流动。各自贸试验区数据出境负面清单制度还处于逐步探索阶段，在实践中还面临一定困境：尚未建立负面清单“参照执行”机制；对接国际高标准经贸规则仍有差距；重要数据目录的制定存在滞后性。各地自贸试验区的负面清单要实现协同治理，同时要统筹国内规则和国际规则。具体而言，需要构建各地自贸试验区负面清单“参照执行”机制；继续对接国际高标准经贸规则完善负面清单管理，限制措施的实施必须符合非歧视原则和“必要性”测试的要求；完善数据出境安全评估的救济方式；完善重要数据认定制度；同步探索数据出境白名单制度。
关键词：促进和规范数据跨境流动规定；数据出境；数据跨境流动；负面清单；自贸试验区
一、引言
数据跨境流动正在逐步超过贸易、投资全球化，成为驱动全球经济增长的新动能。但数据跨境流动不总是安全、有序和理性的，完全放任自由的数据跨境流动可能对公共道德与公共秩序、隐私安全和国家安全等产生威胁。《中华人民共和国国民经济和社会发展第十五个五年规划纲要》也强调，积极参与数据跨境流动等领域国际治理，在数据安全、隐私保护、跨境执法协作等方面达成更多共识，加强国际司法协调和规则互认。中国对数据跨境流动的监管坚持以风险防控为基础思路，形成了分类分级管理的顶层设计框架。中国的数据安全立法根据数据对国家安全、公共利益或个人、组织合法权益的影响和重要程度，将数据分为一般数据、重要数据和核心数据，对不同级别数据的出境采取不同的监管措施。核心数据原则上禁止出境，重要数据出境需要经过安全评估，一般数据允许自由出境。对于个人信息出境，《中华人民共和国个人信息保护法》明确了安全评估、个人信息保护认证和企业标准合同等多种途径。
国家网信办在2024年3月22日公布的《促进和规范数据跨境流动规定》，对多个数据出境场景设定了前置监管程序的豁免条款，表明中国数据跨境流动的监管思路逐渐由事前监管为主，转变为加强事中和事后监管。根据《促进和规范数据跨境流动规定》第6条，自贸试验区可针对数据出境制定本自贸试验区的数据清单（即负面清单），自贸试验区内数据处理者向境外提供负面清单外的数据，可以免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。负面清单制定后需经省级网络安全和信息化委员会批准，报国家网信部门、国家数据管理部门备案。这是中国促进和便利自贸试验区数据跨境流动的一项创新举措。
负面清单制度原本是国际经贸领域的一个概念，常用于表述贸易、投资市场准入的模式，实际上是原则的例外，体现“法无禁止即可为”的法律理念，遵循“除非法律禁止的，否则就是法律允许的”解释逻辑。2025年修订的《中华人民共和国对外贸易法》第31条明确，国家对跨境服务贸易实行负面清单管理制度。2019年通过的《中华人民共和国外商投资法》第4条也明确，国家对外商投资实行准入前国民待遇加负面清单管理制度。贸易、投资领域的负面清单主要限制外国贸易商或投资主体进入一国部分行业领域，体现出对特定主体“从域外到域内”的限制逻辑，而数据出境负面清单虽然也秉持了“法无禁止即可为”的法律理念，但直接针对的是数据处理者掌握的具体数据，不依照“主体”的逻辑展开，主要限制特定数据“从域内到域外”的出境活动。在监管层面，数据出境比贸易、投资的市场准入更复杂，需要防范更为严峻的国家安全风险。在清单的制定方面，数据出境负面清单比贸易、投资市场准入负面清单的制定难度更大，因为数据的归类比行业的归类面临更大的不确定性。
《促进和规范数据跨境流动规定》第6条的授权必须遵循“国家数据分类分级保护制度框架”，以及中国的数据安全立法。这是在既有法律框架下的制度创新。之所以授权在自贸试验区探索数据出境负面清单制度，是因为中国的数据出境安全管理制度还不完善，而各地自贸试验区产业众多，存在一系列复杂的数据出境场景，自贸试验区可以进行灵活性和针对性的先行先试。但需要明确，数据出境负面清单制度并非面向自贸试验区的特殊设计，其制度设计在于为中国的数据出境安全管理积累经验，最终在全国推广。《促进和规范数据跨境流动规定》出台后，天津、北京、上海、浙江、重庆、江苏、广西、福建等自贸试验区以及海南自由贸易港均已出台数据出境负面清单。负面清单制度实行动态管理机制，各自贸试验区探索的数据出境负面清单制度最终要形成“全国一张单”。
在上海自贸试验区出台数据出境负面清单之前，临港新片区已经发布数据跨境场景化一般数据清单。一般数据清单在理念上是一种“正面清单”。临港新片区坚持“一般数据清单+负面清单”相结合的工作路径。若相关领域出台场景化重要数据目录，则该领域的一般数据清单自动失效，该类数据的出境不再适用一般数据清单。可以说，一般数据清单是为负面清单的出台做准备。
中国于2024年11月发布的《全球数据跨境流动合作倡议》指出，“鼓励探索建立数据跨境流动管理负面清单，促进数据跨境高效便利安全流动”。无论在国内还是国际层面，中国都在积极推广数据出境负面清单管理模式。当前国内外学界关于数据跨境流动规制有不少研究成果。这些成果主要聚焦国际经贸协定中的数据跨境流动条款、数据跨境流动与国际贸易的关系。但《促进和规范数据跨境流动规定》出台后，针对中国的数据出境负面清单制度的研究仅有少量中文文献。这些文献主要梳理了数据出境负面清单制度的地方实践，以及存在的不足，但对于数据出境负面清单制度的功能定位和优化路径缺少系统深入探讨。有鉴于此，为确保数据出境政策的前瞻性和实效性，有必要首先考察数据出境负面清单制度的功能定位和面临的实践困境，进而探索中国数据出境负面清单制度的优化路径。
二、中国数据出境负面清单制度的功能定位
包括中国在内的相当一部分国家均在数据跨境流动规制中采用了“风险导向”的治理理念。在数据跨境流动风险治理问题上，不同国家或经济体有不同利益诉求和安全关切，因此各国对“风险”本身的认知，以及因而采取的数据跨境流动限制措施均会有所差异。不同类型和数量的数据出境，会引发不同强度的风险治理。
对数据跨境流动的监管需要统筹发展与安全。如果为防范风险而对数据跨境流动采取过度的或具有歧视性的限制措施，则可能构成贸易壁垒，阻碍数字贸易的发展。各地自贸试验区结合本地区产业特色和数据出境的高频场景，按照行业和数据类型划分清单层级。清单内数据的出境按照敏感程度分别适用数据出境安全评估、个人信息出境标准合同备案或个人信息保护认证。数据出境负面清单的主要目的是在保证国家安全的基础上最大限度地促进数据自由流动，其功能定位可以概括为防范数据出境风险和促进数据跨境流动。
（一）防范数据出境风险
1. 秉持分类分级理念防范不同层级的安全风险
数据出境的安全风险可分为不同层级。数据出境负面清单秉持分类分级的管理理念，可以有效防范不同层级的安全风险。数据分类分级保护制度为确定数据出境负面清单的规制对象奠定了基础。负面清单中列出的数据主要是重要数据和达到一定阈值的个人信息。各地自贸试验区在发布负面清单的同时，通常还配套发布数据分类分级参考规则，提出了重要数据统一识别参考规则，并列出了重要数据示例。重要数据的识别建立在数据分类分级的基础上，所以数据分类分级和重要数据的识别与申报，是确保数据合规出境的关键环节。核心数据、涉及国家秘密的数据、政务数据均不纳入负面清单管理，相关数据出境按照有关法律、法规和规定执行。未纳入负面清单的行业与场景，其数据出境合规义务不受影响。根据各地自贸试验区数据出境负面清单管理办法，企业可以自主选择是否适用负面清单机制，适用负面清单需要主动申请或报告。这种灵活适用机制给企业提供了很大的自主性。
重要数据风险系数高，理应纳入负面清单管理。这类数据即便是少量出境，也可能给国家安全带来威胁，例如人类遗传资源数据。天津自贸试验区数据出境负面清单将遗传资源数据列入“需要通过数据出境安全评估的数据清单”。除了重要数据外，负面清单中的另一类数据就是个人信息。自贸试验区企业在运营过程中获取了海量个人信息。个人信息如果达到一定量级，他国可能利用大数据、人工智能等技术识别数据中的人类行为模式，从而精准刻画他国的社会状况，经聚合分析可以挖掘到数据集背后隐藏的安全情报甚至涉密信息，对公共安全甚至国家安全构成威胁。当大量个人信息被敌对国家或敌对势力窃取和利用时，国家主权将受到冲击。个人信息的安全与管控可能会成为国家安全问题。因此，达到一定阈值的个人信息也应纳入负面清单管理。
2.对数据出境风险进行动态监管
数据出境的风险具有动态性特征。数据出境负面清单的动态调整机制能够根据风险变化及时更新，对数据出境活动中的各类风险实施动态监管，从而有效实现数据出境风险的实时防控。负面清单作为一种事前监管工具，难以穷尽数据跨境中的所有高风险活动，因此数据出境负面清单也需要根据国家数据安全形势和自贸试验区数据出境场景的变化动态调整。北京、浙江、重庆、福建等地自贸试验区的数据出境负面清单管理办法均明确规定，负面清单实行动态管理。根据各地负面清单管理办法，负面清单应按照行业、领域分批次制定，成熟一批发布一批；对于尚未出台负面清单的行业和领域，管理部门及时研判数据出境实际需求，对负面清单进行动态更新和扩充，持续优化迭代负面清单政策体系；在制定和调整负面清单过程中，管理部门还需要密切关注行业主管部门已公开发布或已在行业内部发布的本行业、本领域数据分类分级标准规范，优先按照其规定识别重要数据；同时，管理部门对根据负面清单管理办法进行数据出境的情况进行定期检查评估，以排查安全风险和消除隐患，并可以将被认定为影响或可能影响国家安全的出境数据更新纳入负面清单。负面清单的动态管理机制可以及时回应技术发展和产业需求，同时也能敏锐感知国内外安全形势的变化，建立起了事前事中事后全链条全领域的综合监管机制，是实现数据跨境流动“管得住、放得开、流得动”目标的必然要求。
（二）促进数据跨境流动
长期以来，中国的数据跨境流动监管措施受到国外学者的批评。有学者指出，中国的国内数据治理框架将关键信息基础设施和重要数据的安全视为重中之重，将其作为保护国家数据安全的“分类分级制度”的首要任务；通过引入重要数据的概念，中国的做法旨在保护社会和国家层面广泛的安全利益。该观点是一种非此即彼的片面看法，只看到了中国数据出境监管的“安全”面向，却忽视了“发展”面向。从价值位阶来看，在规制数据跨境流动的过程中，国家安全是首要目标，这也是世界各国（包括美国、欧盟）的普遍做法。但中国并非将国家安全作为唯一目标，而是秉持“统筹发展与安全”的理念，确保数据安全、有序、自由流动。重要数据目录和负面清单的制定，正是为了给数据跨境流动划定国家安全的边界。
各地自贸试验区负面清单管理办法的“总则”大都出现了“促进数据依法有序流动”或“促进数据高效便利安全跨境流动”等表述。促进数据跨境流动是数据出境负面清单管理的重要宗旨之一。为践行这一宗旨，各地自贸试验区在发布数据出境负面清单的同时出台了一系列便利措施，并持续完善服务体系，为数据出境提供全流程支持。例如，北京上线了数据跨境流动公共服务平台2.0版，对负面清单政策进行了创新升级，相关申报事项实现了“全程网办”，同时下放审核权限。
数据出境负面清单制度还应“全面对接国际高标准经贸规则”。《全面与进步跨太平洋伙伴关系协定》（下称CPTPP）和《数字经济伙伴关系协定》（下称DEPA）是国际高标准经贸规则的典型代表。对接CPTPP和DEPA的数据跨境流动条款，各缔约方原则上应允许数据跨境自由流动，而对数据出境的限制只能作为一种例外。负面清单上列出的限制措施本质上是数据跨境自由流动的例外，此种例外的适用必须满足苛刻的门槛条件。数据出境负面清单制度是中国主动对接国际高标准经贸规则的积极探索，旨在便利数据出境、降低企业数据出境合规成本，将有助于吸引更多外向型企业和跨国公司落地发展。
三、中国数据出境负面清单制度的实践困境
自贸试验区承担了制度创新的核心使命。2025年7月3日发布的《国务院关于做好自由贸易试验区全面对接国际高标准经贸规则推进高水平制度型开放试点措施复制推广工作的通知》第21条试点措施明确“支持自由贸易试验区结合战略定位和产业特点制定数据出境负面清单”。该举措是基于上海自贸试验区的先行探索。如今该举措要在全国的自贸试验区复制推广，就应建立健全数据出境负面清单制度的法律保障机制。然而，各自贸试验区数据出境负面清单制度还处于逐步探索阶段，在实践中还面临一定困境。
（一）尚未建立负面清单“参照执行”机制
自贸试验区在制定数据出境负面清单时，通常会依据区内企业特色，重点聚焦先导产业。当前各地自贸试验区的负面清单涵盖的领域有限，难以全面覆盖各类新兴场景。例如，重庆自贸试验区的数据出境负面清单（2025版）只涵盖“汽车行业”，江苏自贸试验区的数据出境负面清单（2025版）只涵盖“医药行业”。在适用主体方面，各地自贸试验区的负面清单原则上只适用于本自贸试验区内的企业。随着各行业领域的发展，可能会有更多需要监管的具体场景出现，自贸试验区内负面清单未涵盖领域的企业在开展数据出境活动时难以适用负面清单。负面清单涵盖行业领域的有限性与适用主体的有限性，制约了其促进数据跨境流动的功能发挥。
各地自贸试验区数据出境负面清单在编排结构方面存在的差异，也阻碍了最终形成“全国一张单”的目标实现。天津自贸试验区推出了全国首张数据出境负面清单（2024版）。该清单在编排结构上较为特殊，其未按照行业领域来编排，而是在“数据类别”一栏中设置了13个大类。与之相对，其他自贸试验区的数据出境负面清单则按照行业领域编排，涵盖的领域较为有限，“数据类别”仅分为重要数据和个人信息。相较而言，天津自贸试验区的负面清单涵盖的数据类别非常广泛，但在“数据子类”和“数据基本特征与描述”方面的内容较为模糊，难以为企业提供清晰的合规指引。天津自贸试验区的数据出境负面清单是全国首张，在其之后出台的各地负面清单呈现出一定的差异性。例如，上海自贸试验区数据出境负面清单（2024版）增设了“场景名称”一栏；重庆自贸试验区的数据出境负面清单（2025版）把“数据类别”嵌入数据出境路径中分别罗列，并增设了“业务活动”“业务场景”和“适用说明”。综合来看，各地自贸试验区的负面清单在行业、场景、字段描述等方面存在差异，这不利于最终形成“全国一张单”。
通过参照适用其他自贸试验区的负面清单，可以在一定程度上扩大负面清单涵盖的行业领域以及适用主体的范围，并实现协同治理。根据上海自贸试验区数据出境负面清单管理办法第20条，上海自贸试验区及临港新片区可参照执行其他自贸试验区发布的数据出境负面清单。当前，除上海以外，浙江、重庆、江苏、广西、福建自贸试验区的数据出境负面清单管理办法也规定了类似前述第20条的“参照执行”条款。国家网信办在其官网发布的《数据出境安全管理政策问答（2025年4月）》中指出，“针对同一领域，如果已经有自贸试验区发布负面清单，其余自贸试验区可以参照执行，不再重复制定”。该答复是对当前各地自贸试验区数据出境负面清单的政策解读，对于正确理解负面清单具有指导作用，但不属于正式的法律渊源。
“参照执行”这一规范词所导出的规范类型是准用性规范。准用性规范是法律及其他规范性文件针对法律未尽事项的一种补救措施，适用的前提是得到法律等规范性文件制定者的授权。该规范的执行者享有自由裁量权，可以选择参照，也可以选择不参照。当拟出境数据不在本地自贸试验区负面清单内，而落入其他自贸试验区的负面清单范围时，企业可以选择参照适用其他自贸试验区的负面清单。当前，负面清单参照执行条款只出现在各地自贸试验区的数据出境负面清单管理办法中，并非中央层面发布的规范指导。
（二）对接国际高标准经贸规则仍有差距
CPTPP和DEPA中的数据跨境流动规则大体相同，为数据跨境流动规定了“原则+例外”的监管模式。数据跨境自由流动是一项原则性要求，但这项原则的适用范围本身也有一定的限定条件。数据跨境流动的例外包括“监管要求”例外和“合法公共政策目标”例外。根据CPTPP第14.11.3条和DEPA第4.3.3条，以“合法公共政策目标”为由限制数据跨境流动的措施必须满足两个条件：一是不以构成任意或不合理歧视或对贸易构成变相限制的方式实施；二是不对数据传输施加超出实现目标所需限度的限制。CPTPP和DEPA数据跨境流动规则的高标准，一方面体现在原则上要求数据跨境自由流动，另一方面体现在对限制数据流动的例外措施设置了苛刻的门槛条件。中国对数据跨境流动实行分类分级管理，契合“原则+例外”的监管模式，虽然总体上已经与国际接轨，但对接国际高标准经贸规则仍有差距。
自贸试验区中的数据出境负面清单管理办法通常施加了“定期检查评估”要求，例如上海自贸试验区数据出境负面清单管理办法第12条即对此作出规定。相比较之下，上海自贸试验区一般数据清单及配套操作指南却未规定类似做法。相较于一般数据清单，负面清单要求的定期检查评估制度虽然总体上契合统筹发展和安全的要求，但容易给数据处理者造成一种“后滚翻”的不好印象，如果实施不当将影响市场化、法治化、国际化营商环境建设，背离CPTPP第14.11.2条和DEPA第4.3.2条数据跨境自由流动的原则性要求。
对接CPTPP和DEPA的数据跨境流动条款，中国立法对数据跨境流动设立了一定的条件，此种限制可以构成国际经贸协定中的“限制措施”。数据出境负面清单中列出的限制措施的合法性需要援引“合法公共政策目标”例外进行抗辩。对此，其他国家对中国的数据出境监管政策质疑颇多，指责中国的数据出境立法“泛化国家安全”，对重要数据、国家核心数据的界定不清晰、不透明，质疑中国的监管制度是否能够公平、非歧视地运作。在同一领域负面清单中纳入新的数据将导致负面清单越来越长。当前，世界范围内有关数据出境监管措施尚未引发实际的国际经贸争端，各项国际经贸协定尚未对合法公共政策目标的范围作出解释，因而“合法公共政策目标”例外条款的适用还存在不确定性。个人信息出境标准合同备案和个人信息保护认证是各国普遍使用的数据出境监管措施，通常不会在“合法公共政策目标”例外条款下引发合法性争议，但数据出境安全评估是中国独有的数据出境限制措施，其能否通过“合法公共政策目标”例外的考验有待实践检验。
在中国已加入的国际经贸协定中，《区域全面经济伙伴关系协定》（下称RCEP）第12.15条规定了数据跨境流动条款。RCEP也是中国已加入的唯一一个为数据跨境流动设置了实质义务的国际经贸协定。RCEP第12.15条原则上要求数据跨境自由流动，但同时也纳入了合法公共政策目标例外和基本安全例外。与CPTPP和DEPA中的数据跨境流动条款相比，RCEP第12.15条中的合法公共政策目标例外并无实质变化，其中的基本安全例外是新增条款。不过，RCEP第12.15条赋予缔约方在援引这两项例外条款时享有充分的自由裁量权，体现了RCEP广泛的包容性。RCEP第12.15条的脚注明确，缔约方确认实施此类合法公共政策的必要性应当由实施政策的缔约方决定。根据基本安全例外条款的规定，其他缔约方不得对缔约方认为的保护其基本安全利益所必需的任何措施提出异议。
中国数据出境负面清单中列出的管理条目，客观上对于援引RCEP的这两项例外都有现实需求。负面清单中的重要数据与国家安全密切相关，不过数据安全管理措施如果要援引基本安全例外条款，需要满足比合法公共政策目标例外更为苛刻的条件。基本安全例外条款中的“基本安全利益”范畴比“安全利益”更为狭窄，通常指与国家典型职能有关的利益。相较于CPTPP和DEPA，在RCEP项下，缔约方只需要通过自我认定，即可将限制数据跨境流动的措施界定为保护合法公共政策目标或基本安全利益所必需的措施。RCEP数据跨境流动条款中的两项例外条款赋予了缔约方广泛的国内规制空间。中国在RCEP项下有关数据跨境自由流动的义务可借助这两项例外加以缓和。即便如此，在RCEP对中国生效后，中国一直致力于全面高质量实施RCEP。2022年1月24日发布的《商务部等6部门关于高质量实施〈区域全面经济伙伴关系协定〉（RCEP）的指导意见》指出，“高水平履行电子商务规则”。这客观上要求中国的数据出境负面清单管理制度在实施过程中做到“高水平”，积极向国际高标准经贸规则对齐。
（三）重要数据目录的制定存在滞后性
与其他国家或经济体对数据跨境流动的监管体制相比，“重要数据”是一个具有中国特色的法律概念和制度。重要数据是数据出境负面清单中的重要内容。各自贸试验区出台的数据出境负面清单在一定程度上正是为了明确“重要数据”的内涵和外延。在此意义上，负面清单制度和重要数据目录是相辅相成的关系。近年来，中国的数据安全立法虽然对重要数据的概念有所提及，但仍未明确重要数据的范围。《数据安全技术 数据分类分级规则》（GB/T 43697-2024）附录G《重要数据识别指南》提出了重要数据的识别方法，数据处理者可依据相关法律法规、技术标准等识别申报重要数据。但该指南的描述仍过于原则，难以指导监管部门和企业精准识别重要数据。
当前各自贸试验区的重要数据目录尚处于探索过程中。根据《中华人民共和国数据安全法》（下称《数据安全法》）第5条和第21条，由中央国家安全领导机构建立的国家数据安全工作协调机制，统筹协调有关部门制定重要数据目录。国务院印发的《全面对接国际高标准经贸规则推进中国（上海）自由贸易试验区高水平制度型开放总体方案》指出，按照数据分类分级保护制度，支持上海自贸试验区率先制定重要数据目录。上海市政府印发的落实该总体方案的实施方案亦指出，上海自贸试验区管委会、临港新片区管委会按照数据分类分级保护制度，根据区内实际需求率先制定重要数据目录。自贸试验区数据出境负面清单结合不同场景列明重要数据所含的字段，也是为重要数据目录的出台进行先行探索。北京、浙江、重庆、江苏、广西、福建自贸试验区的数据出境负面清单管理办法明确规定，在制定负面清单的过程中需要对重要数据进行识别，形成本自贸试验区的重要数据目录，并按程序向国家数据安全工作协调机制办公室备案。
当前全国性和地方性重要数据目录均尚未出台，仅有个别部门出台了重要数据识别指南，例如《工业领域重要数据识别指南》《电信领域重要数据识别指南》。工业和信息化部2022年印发的《工业和信息化领域数据安全管理办法（试行）》第7条明确了“自上而下”认定重要数据的路径：工业和信息化部组织制定工业和信息化领域重要数据识别认定标准规范，地方行业监管部门分别组织开展本地区工业和信息化领域重要数据识别工作，确定本地区重要数据目录并上报工业和信息化部。总体而言，重要数据目录尚处于逐步探索阶段，重要数据的认定工作尚未全面展开，在实践中依赖于企业自主申报。重要数据的范围和标准不够明晰，企业难以自主判断，易给企业增加负担。重要数据的模糊性也给监管部门的审核带来困难，最终也有损国家的对外开放形象。
四、中国数据出境负面清单制度的优化路径
数据出境负面清单制定，是一项从无到有、从单点突破到全面系统的渐进式制度建设工作。各地自贸试验区的负面清单要实现协同治理，在“参照执行”机制基础上，推动行业、场景、字段描述等方面的体系化构建，为最终形成全国统一的数据出境负面清单奠定基础。负面清单的制定和管理还要统筹国内规则和国际规则，主动对接国际高标准经贸规则，助力营造市场化、法治化、国际化一流营商环境。构建体系化的“全国一张单”是一个循序渐进的演进过程，难以一蹴而就，具体来说需要从以下几个方面持续发力。
（一）构建各地自贸试验区负面清单“参照执行”机制
是否适用数据出境负面清单，由企业自主选择。参照适用其他自贸试验区的负面清单，同样要基于企业的选择。如果不同自贸试验区的数据出境负面清单涵盖了同一行业领域，自贸试验区内企业在处理该行业特定场景的数据出境活动时，可以选择适用对其更为便捷高效的负面清单。在此背景下，数据出境监管更为宽松的负面清单将被企业选择参照适用。这一制度设计契合促进数据跨境流动的功能定位。
当前亟需构建各地自贸试验区负面清单的“参照执行”机制，为形成全国统一的负面清单管理制度奠定基础。考虑到各地自贸试验区探索的数据出境负面清单最终是要形成“全国一张单”，建议由国家网信办在充分整合已有负面清单的基础上，发布数据出境负面清单模板，该模板至少应包括行业、数据类别、场景、数据子类、数据基本特征与描述、适用说明。各地自贸试验区在调整数据出境负面清单以及出台新的负面清单时，应充分参照国家网信办发布的模板。统一负面清单的编排结构、字段描述的颗粒度，将为负面清单“参照执行”奠定基础。
当企业选择参照适用其他自贸试验区的数据出境负面清单时，管理部门享有自由裁量权。管理部门需要比较不同清单，权衡哪个清单更有利于企业数据出境，或者更有利于提升监管效能。不同自贸试验区的管理部门属于同级，管理部门是否决定参照适用其他自贸试验区的负面清单，取决于相互之间是否存在互信。建议国家网信办在国家数据安全工作协调机制领导下构建负面清单“参照执行”机制，由国务院发布决定或命令，明确各地自贸试验区在参照执行其他自贸试验区数据出境负面清单时应遵循的原则，例如各地自贸试验区应互认数据出境安全评估结果并分享最佳实践，在央地互动与政策试验过程中强化中央层面的调控。
（二）继续对接国际高标准经贸规则完善负面清单管理
中国的数据出境监管政策经常遭到其他国家的质疑。这一方面是因为中国的监管措施对接国际高标准经贸规则仍有差距，另一方面是因为部分国家对中国的监管措施存在偏见。数据出境负面清单中列出的措施都是限制数据跨境流动的措施，这些措施需要援引“合法公共政策目标”例外寻求正当化理由。根据CPTPP第14.11.3条和DEPA第4.3.3条，这些限制措施的实施必须符合非歧视原则，限制措施必须满足“必要性”测试（necessity test）的要求。
非歧视原则是国际经贸领域的一个核心概念。它强调贸易待遇的平等，包括国民待遇和最惠国待遇。数据跨境流动对国际贸易和投资的正常开展具有特殊重要性，限制数据出境的措施如果实施不当，很可能构成一种歧视待遇，成为贸易和投资壁垒。根据非歧视原则，中国的数据出境安全评估不得偏袒国内企业，也不得在不同国家的企业之间构成歧视待遇。例如，如果某些促进数据跨境流动的举措为中国企业向境外传输数据提供更优惠待遇，这些举措便可能因涉嫌违反国民待遇而受到质疑。自贸试验区数据出境负面清单制度应平等约束各类主体，同类数据同等监管。
“必要性”测试要求，中国限制数据跨境流动的措施不得超出实现目标所需的限度。中国需要解释，数据出境安全评估的门槛和审查程序对于实现合法公共政策目标是必需的，并证明不存在对数据跨境流动影响更小的合理可行的替代措施。这意味着限制措施必须保留在必要限度内。为此，中国可通过简化数据出境安全评估流程或缩小现有数据出境安全评估的涵盖范围等方式，改进数据出境安全评估机制，以进一步促进数据跨境流动。数据出境负面清单的“定期检查评估”应采取便捷手段，不得增加数据处理者的负担。对于新纳入负面清单的数据，各级管理部门在数据出境安全评估过程中应适当考虑数据处理者的合理预期，坚持信赖保护原则，给数据出境企业提供更多便利。负面清单施行一段时间后，如果管理部门经检查评估发现负面清单上某些数据的安全风险已经有所降低，则应当视实际情况放宽对该类数据出境的监管方式，甚至将该类数据从负面清单中删除。从发展趋势来看，负面清单中的数据类型预计会逐渐缩减。负面清单管理条目的持续缩减，体现出中国坚定不移提高对外开放水平的决心和努力。
（三）完善数据出境安全评估的救济方式
WTO《服务贸易总协定》（下称GATS）第6条第2款（a）项规定：“每一成员应维持或在可行时尽快设立司法、仲裁或行政庭或程序，在受影响的服务提供者请求下，对影响服务贸易的行政决定进行迅速审查，并在有正当理由的情况下提供适当的补救。如此类程序并不独立于作出有关行政决定的机构，则该成员应保证此类程序在实际中提供客观和公正的审查。”2025年3月21日，国务院办公厅发布《关于进一步加强贸易政策合规工作的意见》，要求各级政府部门在制定贸易政策过程中，严格对照WTO协定及相关附件进行评估，并回应外方合规关注。数据跨境流动是进行数字贸易的前提，数据出境安全评估天然地影响跨境服务贸易的开展，构成GATS项下“影响”服务贸易的措施。中国数据出境负面清单中的数据出境安全评估必须符合GATS。
当数据处理者对数据出境安全评估结果有异议时，应为其提供充分的救济途径。如果救济不足，可能限制数据处理者的数据出境自由，形成事实上的数据本地化，构成隐形的贸易壁垒。《数据出境安全评估办法》第13条规定，数据处理者对评估结果有异议的，可以向国家网信部门申请复评，复评结果为最终结论。那么，数据处理者能否对评估结果提起行政复议和行政诉讼？数据出境安全评估属于行政许可。根据《中华人民共和国行政复议法》（下称《行政复议法》）第11条和第12条，数据处理者可以对评估结果提起行政复议。根据《中华人民共和国行政诉讼法》（下称《行政诉讼法》）第12条和第13条，对行政许可决定不服，可以提起行政诉讼，“法律规定由行政机关最终裁决的行政行为”除外。《数据出境安全评估办法》第13条规定的复评结果为最终结论，但由于该办法属于部门规章，而《行政诉讼法》第12条中的“法律”指全国人民代表大会及其常务委员会制定、通过的规范性文件，因此复评结果不构成“法律规定由行政机关最终裁决的行政行为”，数据处理者可以对其提起行政诉讼。不过，在现行法律框架下，为数据出境安全评估提供行政复议和行政诉讼救济，仍面临一定困境。如果数据处理者就评估结果提起行政复议，则应向国家网信部门提起，国家网信部门同时作为作出评估决定、复评决定和复议决定的机关，显得有些冗余。数据处理者对行政复议决定不服的，可以向法院提起行政诉讼；也可以向国务院申请裁决，国务院依法作出最终裁决。但目前以数据出境安全评估可能产生的体量判断，国务院很难专门设置部门和组织专业队伍对数据出境安全评估作出最终决定。数据出境安全评估的复杂性、专业性强，同时具有国家安全考量，司法机关存在实质审查上的困难，只能就评估部门是否遵循正当程序进行审查。
对接GATS第6条第2款（a）项，中国的现行立法为数据出境安全评估提供了复评、行政复议和行政诉讼的救济途径，总体上契合GATS的合规要求。不过，鉴于这些救济在实践中仍面临一定困境，未来还应继续完善数据出境安全评估的救济方式。数据出境安全评估较多涉及国家安全问题，其中重要数据的出境，甚至还可能牵涉国家秘密。法院在审理相关案件过程中尤其应注意保密，维护国家核心利益。法院应加强对法官的专业技能培训，定期开展数据出境安全评估专项培训，甚至可考虑设立专门的“数据出境安全评估”法庭，受理数据处理者对评估结果提起的行政诉讼，这在一定程度上也可以缓解国务院可能面临的裁决压力。
GATS第6条第2款（a）项强调：“如此类程序并不独立于作出有关行政决定的机构，则该成员应保证此类程序在实际中提供客观和公正的审查。”国家网信部门同时作为作出评估决定、复评决定和复议决定的机关，恰好属于这一情形。因此，国家网信部门在复评以及行政复议过程中应确保审查的客观公正，例如，应更换或调整参与复评和复议的人员，并提高审查的透明度。
（四）完善重要数据认定制度
由于重要数据涉及的行业和领域非常广泛且复杂，其目录制定尚处于探索阶段，因此当前无法通过全面列举的方式来划定重要数据的范围。从工业和信息化领域重要数据认定的实践可以发现，重要数据认定首先由相应行业领域的主管部门制定标准规范，认定标准主要考量数据对国家安全和公共利益的影响，认定过程需要遵循一定的程序。由于数据安全风险具有动态性，重要数据目录也应实施动态管理。这与数据出境负面清单的监管逻辑一致。
根据《网络数据安全管理条例》第62条对重要数据的定义，以及《数据安全法》对重要数据的制度定位，重要数据影响的对象限于国家安全和公共利益，排除了单纯个人、组织的合法权益。对此，重要数据的认定条件应聚焦于数据对“国家安全、经济运行、社会稳定、公共健康和安全”造成的风险，而且这种风险必须是一种直接的危害，而非潜在威胁。中国贯彻总体国家安全观，国家安全具有丰富的内涵。前文已述及，一些国家质疑中国的数据安全立法对重要数据概念界定不清晰，国家安全的内涵过于宽泛。因此，管理部门在认定重要数据的过程中应保持必要的审慎和克制，防止泛化国家安全概念，防止以安全之名不当妨碍数据出境。尤其在对接国际高标准经贸规则背景下，管理部门对“国家安全”的考量应当结合国际经贸协定中的“国家安全”概念予以考虑，国家安全利益比一般的安全利益有更高的标准。
从既有实践看，重要数据的认定坚持“自上而下”的路径，中央和地方行业监管部门联动，同步推进认定工作，并由中央统一领导。为完善重要数据认定制度，应加强重要数据认定的协调性和统一性，在央地互动中完善中央统一领导、行业主管部门与地区分工负责的协调机制。重要数据的范围随技术发展和国家安全需求的变化而动态调整，因此重要数据相关的立法应预留必要的弹性空间。作为下位法的部门规章和行业标准，在细化本领域重要数据目录的过程中，应严格遵循上位法设定的核心定义和安全目标，确保具体领域重要数据的扩展认定不脱离法定框架，维护法律体系的一致性?。
（五）同步探索数据出境白名单制度
白名单制度意味着，对海量个人信息传输至获得充分性认定国家的数据跨境活动，监管机构不再对其进行审查。它是一种国别性法律输出工具，本质上是一种“正面清单”。白名单制度在很大程度上可以缓解数据出境安全评估的压力，安全评估可以逐步集中精力保护重要数据。白名单制度旨在为个人信息跨境活动提供一种基于特定区域或国家间互信的合规路径。如果白名单制度得到广泛推广，那么负面清单中的个人信息就可以不断删减，实现负面清单“瘦身”的效果。中国尚未建立数据出境白名单制度。虽然中央和地方政府出台的政策文件有提及探索建立数据跨境流动白名单制度，但其本质是对特定类别数据出境的豁免机制，而非针对特定国家和地区的整体性法律工具，并非白名单制度。
在实施数据出境负面清单制度的同时，中国可借鉴欧盟的实践，同步探索数据出境白名单制度。建立数据出境白名单，需要以相关国家之间的政治互信为基本前提。根据欧盟《一般数据保护条例》，在进行个人信息保护的充分性认定时，一国的法治和人权状况是重要考虑因素。近年来，中国提出的《全球数据安全倡议》和《全球数据跨境流动合作倡议》获得国际社会广泛支持，中国在数据跨境流动议题上与相关国家的政治互信显著增强。东盟、阿拉伯国家联盟、中亚五国等均与中国联合发布了更具体的数据安全合作倡议，以共同应对数据安全风险挑战。2024年6月26日，中国和德国签署《关于中德数据跨境流动合作的谅解备忘录》。以与德合作为突破点，中国发挥“中德数据政策法规交流”对话机制、中欧数据跨境流动交流机制的重要作用，促进中德以及中欧在数据政策、法律法规等方面的务实对话和信息交流，同时充分发挥示范带动作用，不断深化与欧盟成员国及其他国家和地区的数字互信机制。这为中国与相关国家建立数据出境白名单制度奠定了政治基础。
五、结语
数据出境负面清单的主要目的是在保证国家安全的基础上最大限度地促进数据自由流动，其功能定位可以概括为防范数据出境风险和促进数据跨境流动。当前，全国范围内越来越多的自贸试验区陆续发布了数据出境负面清单，部分地区（如上海）正在实现负面清单的迭代升级。未来，各地自贸试验区的负面清单要实现协同治理，在“参照执行”机制基础上，推动行业、场景、字段描述等方面的体系化构建，为最终形成全国统一的数据出境负面清单奠定基础。数据出境负面清单制度具有鲜明的中国特色。中国在《全球数据跨境流动合作倡议》中呼吁探索建立数据跨境流动管理负面清单。随着中国与各国、各地区在数据跨境流动领域交流合作的深化发展，数据出境负面清单制度也将获得更多国际共识。
作者：谭观福，法学博士，中国社会科学院国际法研究所副编审，中国社会科学院大学法学院副教授。
来源：《湘潭大学学报（哲学社会科学版）》2026年第2期。
