十五、识别重要数据的法律法规依据有哪些？

为确保数据安全和维护国家利益，重要数据跨境传输已成为各国或各地区关注的规制焦点。我国监管部门也明确要求企业不仅需要对于“重要数据”的出境活动开展风险自评估工作，还需要向网信部门申报数据出境安全评估，以加强对数据跨境传输的监管，确保数据的安全。

《数据安全法》第二十一条规定，国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护。顺应这一要求，GB/T43697-2024《数据安全技术 数据分类分级规则》在 2024年 3月 15日正式发布，其中第 6.5 b）条及附录 G《重要数据识别指南》在国家总体宏观层面给出了明确的重要数据判断标准，即满足以下任一条件的数据，识别为重要数据：

（i）数据一旦遭到泄露、篡改、损坏或者非法获取、非法使用、非法共享，直接对国家安全造成一般危害；

（ii）数据一旦遭到泄露、篡改、损坏或者非法获取、非法使用、非法共享，直接对经济运行造成严重危害；

（iii）数据一旦遭到泄露、篡改、损坏或者非法获取、非法使用、非法共享，直接对社会秩序造成严重危害（如影响社会稳定）；

（iv）数据一旦遭到泄露、篡改、损坏或者非法获取、非法使用、非法共享，直接对公共利益造成严重危害（如危害公共健康和安全）；

（v）数据直接关系国家安全、经济运行、社会稳定、公共健康和安全的特定领

域、特定群体或特定区域；

（vi）数据达到一定精度、规模、深度或重要性，直接影响国家安全、经济运行、社会稳定、公共健康和安全；

（vii）经行业领域主管（监管）部门评估确定的重要数据。此外，各地区、各部门也在抓紧推进确立本地区、本部门以及相关行业、领域的重要数据具体目录，为企业提供更具普适性和可操作性的重要数据识别规范，以重点保护列入目录的数据。

因此，尽管法律法规对“重要数据”进行了定义，也从国家宏观角度提供了识别指南规范，但各地区、各行业的重要数据目录仍未出台，企业在实际操作过程中，如何界定重要数据仍然存在一定的模糊性。对此，《跨境流动规定》第二条提出了明确指引，采用与判断企业是否属于 CIIO 同一方法，即以地方和行业主管部门的告知为标准。企业仅需注意相关部门、地区是否已经告知或者是否已经公开发布了本企业所处理的数据属于重要数据，这一定程度上减轻了企业的合规压力，缓解了识别重要数据“难”的问题。因此，建议企业后续不断关注各主管部门可能陆续发布的“重要数据”目录和清单，并对本企业拟出境数据合规性进行阶段性确认，与各主管部门能够保持积极且透明地沟通，及时调整数据跨境策略，以避免潜在的合规风险。

来源：环球律师事务所等团队