我國證券公司數據出境的合規困境與監管應對

張墨洋

一、問題的提出

近年來，隨著我國資本市場高水平雙向開放程度不斷加深，我國證券公司(1)本文所討論的“我國證券公司”僅指內資證券公司，不包括境外證券公司在華設立的子公司等外資證券公司?！白叱鋈ァ辈椒ゲ粩嗉涌欤Ｍ鈽I務布局逐步推進，境外融資財務顧問服務、境外資產管理、境外經紀、境外做市、境外自營、跨境場外衍生品等各項跨境業務發展迅猛。我國證券公司跨境展業，不可避免會涉及數據出境活動(2)根據《數據出境安全評估申報指南(第一版)》的定義，本文所討論的證券公司數據出境活動主要指以下兩種情形：(1)數據處理者將在境內運營中收集和產生的數據傳輸、存儲至境外；(2)數據處理者收集和產生的數據存儲在境內，境外的機構、組織或者個人可以查詢、調取、下載、導出。。數據出境伴隨著國家安全、個人信息保護等方面的風險，需要遵守國家數據跨境流動相關法律法規規定。在此方面，我國已圍繞“重要數據”(3)根據《數據出境安全評估辦法》第19條規定，重要數據是指一旦遭到篡改、破壞、泄露或者非法獲取、非法利用等，可能危害國家安全、經濟運行、社會穩定、公共健康和安全等的數據。及“個人信息”兩方面建立了“多層規制”的數據出境監管制度(4)劉金瑞：《邁向數據跨境流動的全球規制：基本關切與中國方案》，《行政法學研究》2022年第4期。，初步形成了以《中華人民共和國網絡安全法》《中華人民共和國數據安全法》《中華人民共和國個人信息保護法》等法律為基礎，以《數據出境安全評估辦法》《網絡安全審查辦法》《個人信息出境標準合同辦法》《個人信息保護認證實施規則》等配套規章規范性文件為主體，以《個人信息跨境處理活動安全認證規范》等行業標準為補充的制度體系。根據這些規定，我國數據出境的合規路徑主要有三條：一是經數據出境風險自評估并申報通過數據出境安全評估后出境，二是經個人信息保護認證后出境，三是與境外主體訂立個人信息出境標準合同并經個人信息保護影響評估后出境。具體見表1。實踐中，已有個別證券公司宣布其數據出境活動通過了國家網信部門的數據出境安全評估(5)2023年8月，國泰君安證券宣布，其按照《數據出境安全評估辦法》相關規定將某涉及數據出境事項的系統進行了申報，在行業內率先通過了國家網信辦審核。參見國泰君安證券官方網站，2023-08-01，https://ftz.gtja.com/content/events/news/data-export-230810.html，訪問日期：2023-09-27。，但我國證券公司數據合規出境的其他公開案例仍然較少(6)從公開渠道檢索的信息來看，目前僅有國泰君安證券對外公開宣布其已通過了國家網信部門的數據出境安全評估。其他證券公司數據出境的案例情況，目前可獲取的公開信息較少。。這反映出我國證券公司數據出境監管尚在起步階段，有關制度需要在實踐中進一步探索和檢驗。因此，有必要對我國證券公司數據出境的合規與監管問題進行深入研究。

表1 我國數據出境的合規路徑

縱觀現有研究，數據出境的監管問題作為數據跨境流動的重要議題，已被眾多學者關注。相關論著持續涌現，研究成果主要集中在三個方面：一是關注數據出境的基本概念，對數據出境監管的基本原則等進行分析(7)魏遠山：《論跨境數據流動的內涵與原理》，《政法學刊》2021年第1期；張凌寒：《論數據出境安全評估的法律性質與救濟路徑》，《行政法學研究》2023年第1期；丁曉東：《數據跨境流動的法理反思與制度重構——兼評〈數據出境安全評估辦法〉》，《行政法學研究》2023年第1期；蔡宇姬：《數據出境的界定及監管制度》，《中國政法大學學報》2023年第3期。；二是介紹境外數據出境監管模式，分析相關制度對我國的借鑒意義(8)馬其家、李曉楠：《論我國數據跨境流動監管規則的構建》，《法治研究》2021年第1期；魏寧：《美國數據出境管理體制及中國因應》，《國際經濟法學刊》2022年第4期；馬光、毛啟揚：《數字經濟協定視角下中國數據跨境規則銜接研究》，《國際經濟法學刊》2022年第4期。；三是聚焦我國數據出境監管規則建設現狀，對相關制度進行評析，提出完善建議。(9)馬光：《論我國數據出境安全評估制度構建》，《上海政法學院學報(法治論叢)》2023年第3期；梅傲、李淮俊：《論〈數據出境安全評估辦法〉與DEPA中數據跨境流動規則的銜接》，《上海對外經貿大學學報》2023年第2期；熊光清、張素敏：《總體國家安全觀視角下我國數據出境安全管理制度的完善》，《哈爾濱工業大學學報(社會科學版)》2023年第5期。現有研究成果主要在金融數據跨境流動的主題下，關注金融數據出境監管的相關問題，提出了一些建議。例如，有學者建議，在網信部門的組織指導下，由金融監管部門負責行業數據出境具體措施的制定實施、評估檢查等相關工作。(10)李偉：《我國金融數據跨境流動規則建設的思考與建議》，《中國銀行業》2020年第1期。有學者主張，金融數據跨境流動模式的選擇需要基于本國金融發展現狀和金融監管實踐，要體現國家利益訴求、平衡多元價值取向。(11)田翔宇：《金融數據跨境流動的特殊規制》，《海南金融》2021年第4期。有學者指出，我國有必要進一步完善金融數據跨境流動的規制措施，形成金融數據跨境流動分級監管的規制思路，同時加強對個人金融信息的保護和金融機構自身數據合規體系的建設。(12)彭德雷、張子琳：《數字時代金融數據跨境流動的風險與規制研究》，《國際商務研究》2022年第1期?，F有成果中，沒有專門對證券公司數據出境進行針對性研究的。筆者認為，證券業相對于銀行、保險等其他金融業具有一定特殊性，有必要對證券公司數據出境監管問題進行專門研究。為此，本文擬對我國證券公司跨境展業具體場景下的數據出境合規問題進行分析，并對現行制度是否能滿足證券公司合理的數據出境需求、是否能有效防范數據出境的安全風險、是否會使證券公司面臨不必要的合規難題等問題進行考察，進而提出有關監管對策建議。

二、我國證券公司數據出境合規路徑的適用情況

實踐中，我國證券公司跨境展業主要涉及投行、資產管理、經紀以及自營四類業務。(13)國泰君安證券股份有限公司課題組：《證券公司跨境業務制度完善研究》，《創新與發展：中國證券業2020年論文集》，第556—564頁。開展這些業務均可能涉及數據出境活動，以下識別了其中幾個主要場景，具體分析相關合規路徑的適用情況。

(一)集團化電子辦公

出于集團一體化管理等方面的考慮，我國證券公司的境外子公司通常會直接使用境內集團化電子辦公系統。從而，境外子公司人員可以跨境訪問境內電子辦公系統中的數據，可訪問的數據類型通常包括通訊錄模塊，而通訊錄中包含了個人信息，如姓名、聯系方式、通訊地址、崗位信息等，由此構成了證券公司員工個人信息出境。

根據《數據出境安全評估辦法》第4條第2項規定，若相關證券公司年處理個人信息達到100萬人以上，或者該證券公司被認定為關鍵信息基礎設施運營者，應按規定申報數據出境安全評估。實踐中，大多數證券公司的個人客戶數量超過100萬，較易達到處理100萬人個人信息的標準，須履行數據出境安全評估義務。而在關鍵信息基礎設施運營者認定方面，根據《關鍵信息基礎設施安全保護條例》第2條規定，“關鍵信息基礎設施”是指“公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務、國防科技工業等重要行業和領域的，以及其他一旦遭到破壞、喪失功能或者數據泄露，可能嚴重危害國家安全、國計民生、公共利益的重要網絡設施、信息系統等”?？紤]到證券公司所運營的交易系統如果遭到破壞，將對我國證券市場的穩定造成重大影響，并嚴重影響投資者權益，因此證券公司被認定為關鍵信息基礎設施運營者存有一定可能。不過，前述條例第9條同時規定，關鍵信息基礎設施認定具體規則由保護工作部門結合本行業、本領域實際制定。而中國證監會目前暫未制定具體適用于證券行業的關鍵信息基礎設施認定規則。因此，證券公司能否被認定為關鍵信息基礎設施運營者尚需在實踐中驗證。

需要說明的是，只要證券公司處理100萬人以上個人信息或者被認定為關鍵信息基礎設施運營者，其個人信息出境活動就會觸發數據出境安全評估義務。這在本文下述的運營外包服務、場外衍生品跨境交易、境內企業境外發行和上市、“跨境理財通”等業務場景中均適用。

(二)運營外包服務

我國證券公司可為外資資產機構提供基金份額登記、估值核算等運營外包服務。在此類業務中，部分外資資產管理人可能會直接將其在證券公司運營外包平臺中的賬戶等數據提供給境外機構的工作人員。營運外包服務平臺中的基金持倉信息、投資人信息等可被境外機構直接訪問，事實上構成了數據出境。

在此情形下，就基金持倉信息而言，其對國家安全、經濟運行、社會穩定、公共健康和安全的影響相對較小，被認定為“重要數據”的可能性不大。就投資人信息而言，其包含個人信息，在證券公司被認定為關鍵基礎設施或者個人客戶數量達100萬人以上的情況下，將觸及數據出境安全評估申報義務。

(三)場外衍生品等跨境交易

我國證券公司開展場外衍生品等跨境交易業務，需要向境外機構發送委托指令、成交回報等信息，屬于數據出境的情形。

其中，委托指令、成交回報等數據是否被認定為“重要數據”，是判斷是否需要履行數據出境安全評估申報義務的關鍵。但我國目前關于“重要數據”的認定標準僅有《數據出境安全評估辦法》第19條所作的原則性規定，委托指令、成交回報數據達到何種頻次、包含何種具體內容才被認定為“重要數據”則有待在實踐中明晰。

(四)境內企業境外發行和上市服務

我國證券公司作為財務顧問服務境內企業的境外發行和上市業務時，會進行大量的盡職調查，形成有關底稿數據。這些底稿數據可能作為發行上市申請文件被提交給境外證券交易所或證券監管機構，構成數據出境。此外，基于投行業務一體化的考慮，證券公司的境內團隊也會參與盡職調查或者提供協助，境內團隊將有關盡職調查結果發送給境外團隊，也屬于數據出境。

根據中國證監會《關于加強境內企業境外發行證券和上市相關保密和檔案管理工作的規定》，證券公司應將有關底稿材料存儲在境內，經有關部門事先批準后才可向境外傳輸信息。且在向境外有關主管部門提供文件資料前，應當事先報告有關主管部門同意。(14)《關于加強境內企業境外發行證券和上市相關保密和檔案管理工作的規定》第九條、第十一條。

(五)“跨境理財通”等創新業務

“跨境理財通”是近年來我國金融對外開放的重大創新業務，該業務允許粵港澳大灣區居民個人跨境投資粵港澳大灣區銀行銷售的合資格投資產品，按投資者主體身份分為“南向通”和“北向通”，目前僅限銀行機構參與。(15)參見《粵港澳大灣區“跨境理財通”業務試點正式啟動》，2021-09-10，https://www.gov.cn/xinwen/2021-09/10/content_5636676.htm，訪問日期：2023-10-01。2023年9月28日，有關部門宣布決定進一步優化“跨境理財通”業務試點，未來將新增符合要求的證券公司作為參與主體，為“南向通”和“北向通”個人客戶提供投資產品及相關服務。(16)參見《優化粵港澳大灣區“跨境理財通”業務試點 進一步推進大灣區金融市場互聯互通》，2023-09-28，http://www.pbc.gov.cn/goutongjiaoliu/113456/113469/5082402/index.html，訪問日期：2023-10-01。我國證券公司若有機會參與到相關業務中，在提供“南向通”服務時，可能將境內投資者的個人信息、認購信息等提供給港澳相關機構；在提供“北向通”服務時，可能將境內有關投資產品的信息發送給港澳投資者，這些信息都屬于數據出境范疇。

在此情形下，境內投資者的認購指令、境內投資產品的相關信息等數據是否需要履行安全評估義務，取決于其是否被認定為“重要數據”，而有關個人信息的出境要求也同上述幾類場景類似，取決于獲得業務試點資格的證券公司掌握的客戶數量及其是否被認定為關鍵信息基礎設施運營者。

三、我國證券公司數據出境的合規困境與成因分析

如前所述，我國證券公司在幾類數據出境的主要場景中，所適用的合規路徑不同，應履行的合規義務也不同。從現行規定來看，我國證券公司履行相關合規義務還存在不同程度的困境與障礙。

(一)我國證券公司數據出境面臨的合規困境

1. “重要數據”認定缺乏明確標準

出境數據是否屬于“重要數據”是觸發數據出境安全評估申報義務的關鍵，但我國目前對“重要數據”的認定標準僅作了原則性規定。實踐中，這可能引發兩方面不利影響。一方面，為了規避合規風險，我國部分證券公司對“重要數據”的認定可能采取較為謹慎的態度，傾向于擴大“重要數據”的范圍，甚至將所有擬向境外傳輸的數據均提交網信部門進行數據出境安全評估審查，以避免被監管機構追責或者處罰。這無疑將增加我國證券公司跨境展業的合規成本，并將對具體業務的開展產生負面影響。(17)例如，在前述基金運營外包服務場景中，委托指令、成交回報等數據是否構成“重要數據”往往需要結合具體情景判斷，但證券公司可能為了避免合規風險，不考慮具體情況而一概將所有數據認定為“重要數據”，提交網信部門進行數據出境安全評估。另一方面，也不排除部分證券公司為了擴大業務規?；蛘攉@取更多客戶，在數據出境問題上采取較為寬松的態度，未經安全評估即向境外傳輸部門關鍵信息，而在監管追責時，以“重要數據”認定并無清晰標準進行抗辯，以此規避監管處罰，造成潛在的數據安全風險。

2. 數據出境安全評估耗時較長

根據《數據出境安全評估辦法》規定，我國證券公司履行數據出境安全評估義務涉及兩個重點環節：一是在申報前進行數據出境風險自評估，二是向網信部門提交材料，正式申請數據出境安全評估。實踐中，這兩個環節往往需要耗費較長時間。例如，在自評估環節中，證券公司需要組織專門力量開展政策法規梳理、數據跨境場景識別、業務及信息系統內部調研、安全風險識別、風險處置方案研究、編制自評估報告等一系列工作。這些工作專業性極強，通常涉及證券公司內部各部門間的協調，需要耗費大量時間。而在國家網信部門安全評估過程中，由于需組織其他行業主管部門和專門機構進行專家評審，也要耗費一定時間。

3. 個人信息出境缺乏安全評估豁免機制

根據《數據出境安全評估辦法》要求，處理100萬人以上個人信息的數據處理者向境外傳輸個人信息應履行數據出境安全評估申報義務。如前所述，我國證券公司客戶數量龐大，較易就達到處理100萬人個人信息的標準。因此，我國證券公司向境外傳輸個人信息將受到嚴格限制。然而，從數據安全風險角度考慮，證券公司開展跨境衍生品、跨境投資顧問等具體業務，有的只是將部分經個人同意的數據向境外傳輸，有關合同也會對個人信息保護進行具體約定，這種情況下還需要履行數據出境安全評估申報義務，則顯得要求較高。

(二)合規困境產生的成因分析

1. 全球數據跨境流動規則博弈激烈，我國制度建設尚在起步階段

數據出境監管規則作為數據跨境流動規則的重要方面，體現了主權國家對數據跨境流動的基本態度?？傮w來看，目前全球各國家和地區在數據跨境流動監管方面博弈激烈，有關規則具有碎片化特征。(18)黃琳琳：《FTA跨境金融服務貿易規制研究》，北京大學出版社，2023年，第177—182頁。各國家和地區在國家主權、數據主權、人權保護、地緣政治、貿易模式等因素影響下，制定了側重點不同的金融數據本地化政策和出境審查標準。(19)劉妍、冉從敬：《金融數據跨境監管的國際策略與中國進路》，《金融評論》2023年第4期。在此背景下，我國數據出境監管規則建設仍處于探索起步階段，規則的體系性、完備性需要不斷提升(20)有觀點認為，我國現有規定雖然對數據出境有一定程度的規范，但對于具體的數據出境安全管理和審查機制、跨境數據傳輸要求等方面還存在許多不明確之處，完備的數據出境管理法律法規體系尚未形成。參見熊光清、張素敏：《總體國家安全觀視角下我國數據出境安全管理制度的完善》，《哈爾濱工業大學學報(社會科學版)》2023年第5期。，部分規則也還存在一定的不確定性。例如，2023年9月28日，國家網信辦發布了《規范和促進數據跨境流動規定(征求意見稿)》并向社會公開征求意見(21)《國家互聯網信息辦公室關于〈規范和促進數據跨境流動規定(征求意見稿)〉公開征求意見的通知》，2023-09-28，http://www.cac.gov.cn/2023-09/28/c_1697558914242877.htm，訪問日期：2023-10-02。，該規定通過創設白名單制度、將數據預期出境量作為合規路徑適用的唯一考量因素、明確合規義務數量層次、進一步放寬自貿區數據跨境傳輸規則等減免了部分情形下的合規要求，反映出監管思路的重大變化。(22)參見漢坤律師事務所：《守得云開見月明：〈規范和促進數據跨境流動規定 (征求意見稿)〉速覽》，2023-09-29，https://www.secrss.com/articles/59335，訪問日期：2023-10-08。由此可見，我國數據出境監管規則仍在不斷優化和調整之中。規則的變化和不確定性使得規則細化存有一定難度，導致了規則適用不明確等一系列問題。

2.事前監督壓力過大，事中事后監管不足

在現行制度框架下，數據出境監管的基本思路是嚴格控制重要數據及個人敏感信息出境，并強調境外接收方應達到我國規定的數據安全保護水平。在這種數據出境監管的思路下，數據出境監管的重心是事前控制。(23)有觀點將我國現行的監管模式稱之為“家長式監管”。參見洪延青：《準確認識〈規范和促進數據跨境流動規定(征求意見稿)〉的重大轉變》，2023-10-08，https://law.bit.edu.cn/ztjj/26112e5fece84cbcbb3b710c1d3cc1be.htm，訪問日期：2023-10-10。然而，數據出境的實際風險往往暴露在出境之后，事前判斷可能無法規制所有風險。因此，即使數據處理者通過本文前述三種合規路徑完成數據出境活動，并不意味著數據出境后就再無風險。正因如此，我國數據出境監管主體在對三種合規路徑進行判斷時也尤為謹慎，從而進一步加重了事前監管的壓力。與之相對，我國現行監管規則對數據出境事中事后的監管較為不足，數據處理者在數據出境后受到的約束較少，發生風險事件的應急處理機制也不清晰。事實上，若能增強對數據出境的事中事后監管，既能更加充分保障數據安全，也能在一定程度上減輕事前監管壓力，從而促進數據安全有序跨境流動。

3.行業數據分級分類制度建設尚需加強

對不同類型數據采取不同的管理措施是國際數據監管的普遍經驗。(24)梁正、張棟、于洋：《數據出境安全治理國際經驗比較與啟示》，《中國信息安全》2022年第3期。我國《數據安全法》第21條已提出，國家要建立數據分級分類保護制度，并要求各地區、各部門應當按照數據分類分級保護制度，確定本地區、本部門以及相關行業、領域的重要數據具體目錄，對列入目錄的數據進行重點保護。就證券行業數據分級分類而言，現行國家標準《證券期貨業數據安全風險防控 數據分級分類指引(GB/T 42775-2023)》為證券公司開展數據分級分類工作提供了指引性參考。具體而言，數據分類上，根據該指引，證券數據可依據不同業務條線及其細分業務環節進行具體歸類。例如，證券交易業務條線包括交易管理和投資者管理兩大細分業務環節，交易管理環節包括成交信息、委托信息、交易日志信息等數據，投資者管理環節包括投資者基本信息、開戶信息等數據。數據分級上，該指引綜合影響范圍、影響對象、影響程度等因素，將數據分為極高、高、中、低這四個等級。但是，該指引主要側重在數據分級分類的方法論上。針對具體數據而言，證券公司依據該指引判斷相關數據是否屬于重要數據，仍然存在一定困難。

4.規則理解適用缺乏具體指引和案例

在適用數據出境安全評估路徑時，國家網信辦《數據出境安全評估申報指南(第一版)》對數據出境安全評估的適用范圍、申報方式和流程、申報材料格式等作出了說明，并提供了部分申報材料的模板文件。但該指引所規定內容仍然較為原則，所提供模板也只涉及文件格式要求，難以解決數據處理者在申報數據出境時遇到的具體困惑。實踐中，對于有關申報材料的具體內容如何把握，數據處理者仍然需要與網信辦等監管部門單獨進行溝通。例如，關于數據出境評估中的“數據出境的目的、范圍、方式等的合法性、正當性、必要性”要求，數據處理者要具體論證數據出境具有必要性存在一定難度，也沒有相關的案例對此類問題進行說明。

5.監管職責劃分與監管資源能力配置有待優化

在現行監管制度安排中，網信部門是數據出境的主要監管部門，但規則同時要求網信部門視情況組織其他行業監管部門和專業機構進行評審。就證券公司數據出境而言，網信部門對證券公司的數據出境申請一般會征求行業主管部門證監會的意見。證監會是證券公司的主要監管機構，掌握著證券公司分級分類評價、現場監管檢查等監管權限，對證券公司業務中的數據安全風險認識較深，其意見對網信部門作出決定的意義重大。目前，證券公司數據出境的監管職責主要歸于網信部門，但證監會在監管證券公司數據方面，資源和能力優勢更為突出。由此來看，就證券公司數據出境監管而言，現有監管職責劃分尚有優化空間。

四、完善我國證券公司數據出境監管的對策與建議

現階段，我國證券公司數據出境監管尚在探索起步階段，但我國證券公司的數據出境需求卻會與日俱增。從現實需求出發，有必要不斷完善監管安排、優化監管措施、創新監管手段，以解決我國證券公司數據出境活動面臨的合規壓力和難題。同時，從數字強國建設的宏觀背景出發，我國數據出境跨境流動規則的建設也在起步階段，對證券公司數據出境活動進行規范，試點開展有關創新性監管安排，也能夠進一步豐富和完善我國數據跨境流動的治理體系，探索我國數據跨境流動的優化方案，有利于我國在國際數據跨境流動規則制定的博弈中占據有利地位。基于這些考慮，本文擬從前述分析的困境成因出發，結合證券行業和證券業務的具體特征，提出解決困境的一些建議。

(一)進一步加強證券行業數據分級分類制度建設，明確證券重要數據認定標準

如前所述，數據分級分類制度是對數據出境活動實施類別化、差異化監管的基礎。目前，現行國家標準《證券期貨業數據安全風險防控 數據分級分類指引(GB/T 42775-2023)》可為證券公司進行數據安全管理提供指引參考。但考慮到該指引并非強制實施，僅是推薦性標準，且主要規定的是分級分類的方法和原則，實踐中具體數據屬于何種類別、是否屬于重要數據仍然存在標準不夠明晰等問題。值得注意的是，《規范和促進數據跨境流動規定(征求意見稿)》在重要數據認定上，明確未被公開為重要數據的，數據處理者不需要按照重要數據申報數據出境安全評估。(25)《規范和促進數據跨境流動規定(征求意見稿)》第2條規定，未被相關部門、地區告知或者公開發布為重要數據的，數據處理者不需要作為重要數據申報數據出境安全評估。若該規定正式出臺，而證券行業重要數據目錄未向社會公開公布，則證券公司部分數據可能處于監管真空。為此，有必要進一步加強證券行業數據分級分類制度建設，盡快明確證券行業重要數據的識別標準。當務之急是優先保障證券行業重要數據目錄出臺，與正式出臺的《規范和促進數據跨境流動規定》做好銜接。

(二)細化數據出境監管的具體指引，加強案例宣導和行業培訓

我國證券公司數據出境面臨的合規難題與規則制定中只規定了原則而無細化措施有較大關系，有必要細化數據出境各項監管的配套指引。具體而言：一是完善《數據出境安全評估申報指南(第一版)》等規則配套指引。應細化指引內容，增強指引的可操作性。指引內容應在文件申報模板外，關注更加實質的內容。例如，對于數據出境安全評估的各項考慮因素，指引應對如何論證才能達到監管要求給出具體標準。二是借鑒股票發行審核的有益經驗，由證監會定期編制證券數據出境常見問題解答，發布相關典型案例，并定期組織行業交流和培訓會，邀請網信部門、主要中介機構專家交流經驗，加強對證券公司出境活動的合規培訓。

(三)優化證券公司數據出境的監管職責安排，明確證監會的監管主體地位

目前，國家網信部門仍然是證券公司數據出境的主要監管機構。如前所述，證監會在監管證券公司方面的手段更豐富、經驗積累更多，對證券行業的數據安全及風險也有更深刻的認識。例如，通過在證券公司分類評價中納入對數據出境問題的考量，可以對證券公司數據出境進行更加有效的監管。因此，有必要針對證券行業重新劃分數據出境的監管職責安排，建立以證監會為主體的新的監管框架。具體而言：一是建立由證監會對數據出境進行統籌管理、各派出機構負責轄區內具體落實與管理工作的監管機制。在具體的制度設計上，證券公司申請數據出境，應向所在地證監會派出機構提交材料，由派出機構進行材料完備性等形式審核后，提交證監會進行實質審核。證監會在具體審核中，應征求國家網信部門的意見。為避免征求意見程序效率較低，可考慮在證監會與國家網信部門之間建立處室對處室的溝通機制。二是發揮證券行業自律組織的優勢，建立證券業協會、證券交易所、中國證券登記結算有限公司等自律組織參與安全評估的合作機制，發揮這些自律組織更加貼近證券公司業務的優勢，提升證券公司數據監管的人力資源儲備。

(四)強化事中事后監管，完善應急處置與責任追究制度

作為數據密集型行業，證券公司只要開展跨境業務，就必然涉及數據跨境活動。對證券公司數據出境進行過多事前限制，無異于限制其跨境展業。為此，可在短期內先維持目前相對嚴格的事前監管安排，但應盡快加強事中事后監管的制度建設。待事中事后監管的相關制度經過實踐檢驗后，再逐步放寬事前監管的相關安排。具體而言：一是完善應急處置制度建設。制定證券公司數據出境后發生風險事件的應急處置方案。具體來看，應加強證券行業的數據安全技術系統建設，各證券公司開展跨境業務的系統應具備數據追蹤功能，能夠確保數據在有限的范圍內被合理使用，同時防止數據被不當利用后，相關風險進一步擴大。二是完善責任追究制度建設。應加強對證券公司數據合規管理的要求，進一步明確證券違規進行數據出境活動的法律后果。例如，可考慮要求證券公司在內部建立數據出境合規審批機制，對于沒有建立相關機制的，可通過采取監管警示等手段進行約束。責任追究壓力將迫使證券公司主動加強對數據出境的合規管理，為緩解事前監管壓力提供基礎。

(五)創新試點“監管沙盒”部分監管安排

“監管沙盒”是通過在限定條件和范圍對新產品、新技術、新應用及新服務進行測試，發現阻礙創新的約束制度條件，從而進行及時調整，制定應對措施的監管創新模式。(26)中國銀河證券數據跨境課題組：《“監管沙箱”在證券期貨業數據跨境領域的實施路徑研究與探索》，2023-08-15，https://mp.weixin.qq.com/s?__biz=MjM5MzA3MzAzOQ==&mid=2655547350&idx=3&sn=c142be2d287d981b3ed78a6141395487&chksm=bd205d368a57d42073693c58f058dee4d70508d3821d6f30c86d1462e1724e39bbc4b88777c5&scene=27，訪問日期：2023-10-12。在數據跨境流動的監管方面，目前已涌現出了多項新技術，具備納入“監管沙盒”的可能。例如，區塊鏈技術可以解決數據出境中的傳輸安全可控問題，防止數據泄露。又如，隱私計算技術可以有效解決數據出境的合規問題，實現數據流動性與安全性的平衡。再如，AI技術可以解決數據出境過程中的多樣性和復雜性問題，對數據出境活動進行深度分析，為構建證券行業的跨境數據安全監測模式提供基礎。從國際上看，我國正在申請加入的《數字經濟伙伴關系協定》(DEPA)第9.4條已明確提出，企業在數據監管沙盒機制下，根據締約方各自的法律法規之規定共享包括個人信息在內的數據，可以進一步增強創新。由此可見，在國際規則層面，已允許處于數據監管沙盒的企業享有一定的監管豁免權。(27)李愛君、王藝：《數據出境法學：原理與實務》，法律出版社，2023年，第74—75頁。然而，我國現行制度框架內，并無“監管沙盒”的制度空間。因此，可考慮在部門規章或者規范性文件層面，由證監會對“監管沙盒”相關制度出臺試點辦法，允許參與相關技術測試的證券公司在試點辦法允許的范圍內，探索數據出境的合規新模式。

五、結 論

支持我國證券期貨經營機構“走出去”，拓展跨境業務范圍、增強參與國際競爭的能力，是我國資本市場高水平雙向開放的重要舉措。(28)方星海：《擴大開放 促進資本市場高質量發展——方星海副主席在第五屆虹橋國際經濟論壇“中國資本市場高質量對外開放”分論壇上的致辭》，2022-11-05，http://www.csrc.gov.cn/csrc/c100028/c6300949/content.shtml，訪問日期：2023-08-11。作為我國資本市場的中堅力量，證券公司在推動我國證券業務與世界接軌、助推資本市場雙向開放方面扮演著重要角色。我國證券公司“走出去”開展跨境業務必然伴隨著數據跨境活動。然而從實踐需求來看，在現行規則下，我國證券公司數據出境仍面臨著重要數據認定標準不明確、數據出境安全評估耗時較長、個人信息出境缺乏豁免機制等困境。這反映出我國數據出境監管存在事前監管壓力過大、缺乏監管規則適用細節指引、行業數據分級分類建設有待加強、監管職責劃分不盡合理等因素有關。未來，需要進一步加強行業數據分級分類建設、完善細化數據出境監管規則指引文件、明確證監會在證券公司數據出境監管方面的主體地位、加強對數據出境的事中事后監管，并探索跨境監管合作、“監管沙盒”等創新監管安排。