数据出境安全评估制度的功能定位及优化路径

禹竹蕊 奉卓

提要：数据出境难免挟裹泄露个人信息与威胁社会公共利益和国家安全的潜在风险。数据出境安全评估这一重要制度安排是行政机关将数据出境风险有效化解在事前的关键一招。基于制度设计的功能定位，数据出境安全评估既是履行个人信息保护义务的现实要求，又是严守社会公共利益和国家安全重要防线的实践需要，还是促进数据跨境安全、自由流动的必备措施。目前，由于多重因素的掣肘，严重影响了评估工作的顺利开展，导致这一制度遭遇功能受限的尴尬局面。建议在现有评估制度基础上，着眼于数据出境安全评估制度的功能定位，有针对性地予以相应优化，以期不断打破拘囿，健全与其功能特性相适配的系统性制度，确保制度效能得到充分释放。

云计算和大数据相待而成，极大地影响和“改造”了现实世界，①Marcelo Corrales,Mark Fenwick,Nikolaus Forg(eds.),New Technology,Big Data and the Law,Springer Verlag,2017,pp.154-155.数字经济应运而生。数据作为数字经济的重要基础元素，在国家间战略博弈中的地位堪称当今的“新石油”。欧盟历来把数据保护视为基本权利，将域内数据打上鲜明的欧盟数据标签或国籍烙印，实行持续且无地域限制的保护，表现出强烈的数据本地化特征。而美国一方面通过与欧盟合作，确保数据自由流通，保障本国企业在欧盟数据市场的地位；另一方面，美国国会于2018 年通过颁布《澄清合法利用海外数据法》（CLOUD Act），修改《储存通讯法》（SCA），直接规定美国网络服务提供商有义务依法保存和披露其全球范围内的数据。美国积极对抗欧盟数据本地化的立法，释放出强烈信号，彰显其对数据未来掌控的决心，①参见王志安：《云计算和大数据时代的国家立法管辖权——数据本地化与数据全球化的大对抗？》，《交大法学》，2019 年第1 期。企图利用“马太效应”在数据跨境活动中实现“全球数据霸权”，应该引起我们的高度警惕。中国要赢得未来国际竞争主动权，必须抓住数字经济发展机遇，更要重视数据安全问题。党的二十大报告明确指出，要“健全国家安全体系。……强化经济、重大基础设施、金融、网络、数据、生物、资源、核、太空、海洋等安全保障体系建设”②习近平：《高举中国特色社会主义伟大旗帜，为全面建设社会主义现代化国家而团结奋斗——在中国共产党第二十次全国代表大会上的报告》，《人民日报》2022 年10 月26 日。。数据出境安全评估，既紧紧关联国家安全体系的建设，又深深关切公民个人信息的保护，是国家和社会治理中备受关注的焦点。2022 年9 月1 日起正式施行的《数据出境安全评估办法》（以下简称《评估办法》），不仅指出数据出境安全评估就是对数据处理者向境外提供在我国境内运营中收集和产生的重要数据和个人信息的安全评估，还专门针对出境数据的安全评估问题作出相关制度安排，为实践中更加准确、有效开展数据出境安全评估提供了重要制度依循。一年多的实践证明，数据出境安全评估制度在充分保护个人信息权益、有效防范化解数据出境领域国家安全风险考验等方面发挥了重大作用。但囿于种种原因，数据出境安全评估制度在理论和实践上都存在某些困境，在现有制度框架下，可进一步完善相关制度内容，从而确保这一制度的功能与优势得到充分发挥。

一、价值论释：数据出境安全评估的功能定位

作为信息的载体，数据承载了大量的个人信息甚至隐私，也关联着社会公共利益和国家发展战略与安全。作为数据安全领域的一种新生制度，数据出境安全评估自揭开面纱那一刻起就受到理论界与实务界的广泛关注。这一制度设计旨在赋予行政机关相应职责，将数据出境可能衍生的各种风险在数据出境前实现有效消除，这不仅是履行个人信息保护义务的现实要求，亦是严守国家安全和社会公共利益重要防线的实践需要，还是规范数据出境活动，促进数据跨境安全、自由流动的必备措施。③参见《数据出境安全评估办法》第一条规定，中国网信网，2022 年7 月8 日。

（一）履行个人信息的保护义务

信息社会，个人信息的功能挖掘与使用赋予了其强大的商业价值能量，且随着挖掘程度的深化与使用范围的泛化，日渐表现出公共管理价值，④参见禹竹蕊：《我国个人信息保护的立法回应与展望》，《黑龙江社会科学》，2021 年第4 期。使得对个人信息权利的保护变得愈发迫切。从公民权利保护与国家保护义务的角度看，公民的一般权利抑或基本权利，都应依法受到尊重和保护，但基于权利属性的殊异，对二者保护的程度与方式等略有差别。基本权利具有“主观权利”与“客观法”双重性质，其最原始的功能机理是“主观权利”性质下的防御权，即公民对抗国家不当干预其自由和侵害其财产的权利。⑤参见王锡锌：《个人信息国家保护义务及展开》，《中国法学》，2021 年第1 期。随着时间的推移，基本权利开始向“客观法”性质导向下的“客观价值秩序”迭代革新，要求国家必须遵守这一价值秩序，借助制度建构等方式尽可能地排除影响基本权利实现的干扰和提供基本权利实现的实质性条件，⑥参见张翔：《基本权利的双重性质》，《法学研究》，2005 年第3 期。并承担排除第三人侵害的保护义务。正因如此，国家与公民这一权利主体形成了公法上的给付关系。①参见王进文：《基本权国家保护义务的疏释与展开——理论溯源、规范实践与本土化建构》，《中国法律评论》，2019 年第4 期。随着《民法典》以及《个人信息保护法》的问世，个人信息权从“民法上的具象权利”，逐渐呈现向“宪法中的基本权利”的认识变迁，学界普遍认为，个人信息权已然落入基本权利保护的“射程”范围。据此，就个人信息这一特定领域的保护而言，国家具有通过制定法律制度等方式，避免个人遭受信息数据处理者等第三方，在个人信息处理中施加侵害行为的保护义务。②参见张翔：《个人信息权的宪法（学）证成——基于对区分保护论和支配权论的反思》，《环球法律评论》，2022 年第1 期。

数字经济的萌发与国际贸易的繁荣，促使数据跨境交流现象愈演愈烈，个人信息的使用逐渐超越国界限制，随之衍生出公民个人信息的泄露等诸多现实隐忧。一方面，由于数据出境事前监管规则的不完善，相关部门难以对向境外提供数据的数据处理者开展有效的事前监控，数据处理者在利益驱使下向境外贩卖个人信息牟利的现象时有发生；另一方面，囿于司法主权等现实因素，相关部门更是难以对离境数据进行事后监管，数据出境后其中挟裹的个人信息被挖掘、被泄露的现象层出不穷。总之，事前监管缺失与事后监管乏力的“两头软”现状，势必会增加数据跨境交流中的个人信息保护风险。从这个意义上讲，国家机关理应更加积极作为，创造和维护有利于个人信息保护的制度环境，排除他人妨害，履行保护义务。数据出境安全评估的制度设计，天然带有国家积极履行个人信息保护义务的重要功能。通过事前环节的评估积极应对数据出境风险的复杂性与不确定性，增强数据出境活动的安全性与稳定性，在事前阶段降低数据出境风险事件的发生概率，从源头上对个人信息权实现“充分性保护”，可以有效破解数据出境活动中个人信息泄露等现实难题。

（二）严守社会公共利益和国家安全的重要防线

数据是信息社会全新的生产要素，是数字经济乃至国民经济的“细胞”。③参见何玉长、王伟：《数据要素市场化的理论阐释》，《当代经济研究》，2021 年第4 期。数据的广泛开发与应用，在推动传统行业和政府发生数字化转型的同时，也激发了社会创新，通过释放公共数据所蕴藏的经济价值改善公共产品的供给质量，保障经济运行、社会稳定、公共健康和安全。《数据安全法》明确了我国建立数据分类分级保护制度，并强调要加强对重要数据的保护。④参见《中华人民共和国数据安全法》第二十一条规定：“国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护。关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于国家核心数据，实行更加严格的管理制度。各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的数据进行重点保护。”重要数据包括个人数据、金融数据、商业数据、健康数据等，这些数据既关乎社会公共利益，也关系国家安全。《评估办法》将重要数据的出境评估纳入评估范围，除了要有效维护社会公共利益，更关键的是要守住国家安全的防线。国家安全是一个多领域交叉的综合性安全问题。随着世界进入新的动荡变革期，全球数字治理出现新的转折点，与国土安全、军事安全等传统意义上的国家安全领域范畴相比，数据领域的国家安全问题也越来越受到各国重视。基于出境数据的类型划分，重要数据抑或普通个人数据信息出境都具有威胁国家安全的潜在风险。数据出境活动具有重要数据内容敏感与普通个人数据体量聚合的“质”与“量”两大风险来源。⑤参见包柠榛：《中概股赴美上市的数据安全审视：风险来源、中美监管与应对》，《东北师大学报》（哲学社会科学版），2023 年第4 期。一方面，从重要数据出境的角度看，重要数据本身具有敏感性，承载着重要敏感内容，在潜在风险方面表征出“重要数据信息→泄露出境→风险产生”的衍生理路。例如：民用核设施信息、核矿产原料产量等重要数据，无需展开进一步处理，其原始数据本身就与国家安全利益休戚相关，具有相当高的保密价值，若被境外敌对势力获取，不必经过挖掘分析，仅通过重要数据的信息表达功能就足以影响一国的国家安全利益，一旦出境即可能存在威胁国家安全的现实风险。①参见李晓楠、宋阳：《国家安全视域下数据出境审查规则研究》，《情报杂志》，2021 年第10 期。另一方面，从普通个人数据信息出境的维度看，基于普通个人出境数据信息的体量性堆积演变，在潜在风险方面呈现出“普通个人数据→体量堆积→聚合分析→风险产生”的发展进路。例如：个人消费偏好、文化娱乐兴趣等普通个人数据信息，表面看与国家安全不具有直接性关联，但如果出现集中批量的数据泄露，境外敌对势力在海量的数据存量基础上，再利用大数据技术对底层数据进行推演分析、聚合衍生，就可以对我国公民的心理倾向等进行“精准画像”，从而有针对性地展开意识形态攻击策略，威胁我国国家安全。②参见马其家、李晓楠：《论我国数据跨境流动监管规则的构建》，《法治研究》，2021 年第1 期。

数据出境活动虽然潜藏着威胁社会公共利益和国家安全的现实风险，但为了追求绝对安全就“因噎废食”，因害怕风险就进行“数据封闭”进而致使并不具备安全风险的海量数据无法出境，这显然与世界发展主流趋势相悖，其结果势必反噬国家安全本身，③参见丁晓东：《数据跨境流动的法理反思与制度重构——兼评〈数据出境安全评估办法〉》，《行政法学研究》，2023 年第1 期。也无法实现社会公共利益最大化。因此，我国应既着眼于社会公共利益和国家安全考量，又致力于促进数据依法自由流动，不断在安全与发展中寻求数据出境新的平衡点。数据出境安全评估制度设计的另一大功能，就在于严守社会公共利益和国家安全的重要防线，即通过科学合理的评估制度建立事前风险预警机制，对数据出境的目的、方式以及境外接收方的数据安全环境等进行评估，在事前阶段筛选驳回部分可能影响社会公共利益和国家安全的数据出境申请，实现风险防范的“源头治理”，有效弥合数据出境风险与社会公共利益、国家安全维护的内在张力，进而有效防范国家安全风险，真正实现国家长治久安。

（三）促进数据跨境安全、自由流动的必备措施

数据产业的兴起，全球数字经济的繁荣，国际贸易的推动，都使得数据自由化尤其是数据的跨境流动成了各国走向世界、拥抱世界的必然选择和价值追求。网络运营者将其在一国境内收集和生成的重要数据和个人信息，通过网络和其他方式（如：物理携带等）提供给境外机构、组织或个人的数据出境活动日益增多。然而，云计算和大数据的进一步崛起，数字经济的纵深发展，又令各国对数据有了更为深刻的认识。出于对发展、安全的担忧，各国开始在网络空间架设边界，为数据的跨国界自由流动设置“障碍”，加大数据保护的力度。网络空间主权思想的兴起，导致数据本土化成了一种新的趋势，各国基于数据安全、隐私保护、国家安全等重大问题的考量，相继出台数据本地化的政策与立法，却并未绝对禁止市场导向下数据的跨境流动。简言之，数据本土化与数据自由化并未形成非此即彼的对立状态，如何在二者之间寻求平衡点，恰好是数据出境安全评估制度设计的出发点。为突出以美国为首的西方国家对我国的“数据封锁”之围并构建跨境数据流动的中国模式，《评估办法》不仅明确了我国对数据出境采取“自评估”+“国家安全评估”的阶梯式评估机制，还明确了数据出境安全评估的范围①参见《数据出境安全评估办法》第四条规定，中国网信网，2022 年7 月8 日。、数据处理者自评估的合规要点②参见《数据出境安全评估办法》第五条规定，中国网信网，2022 年7 月8 日。以及国家安全评估的审查要点③参见《数据出境安全评估办法》第八条规定，中国网信网，2022 年7 月8 日。，要求围绕数据出境的目的、范围、方式，以及出境的合法性、正当性、必要性等因素进行全方位评估，以数据处理者的自评估为前提，以国家安全审查为保障，真正有效规范数据出境活动，保障数据的合法流动、安全流动。

二、问题审视：数据出境安全评估的功能受限

作为一种风险预防性制度安排，数据出境安全评估应在事前阶段承担起发现风险、分析风险和消除风险的重要作用。但囿于多重原因，数据出境安全评估制度设计的功能发挥仍然不够理想。

（一）性质迷思：行为属性茫然若迷

行政法上，明晰行政行为的基本性质是展开后续研究与实践活动的基础前提，相应地，数据出境安全评估行为属性的明确，是能否有效开展数据出境安全评估活动不能回避的核心难题，同时亦是数据出境安全评估相关法律制度构建与完善的理论基石，更是充分发挥其应有制度功能的根本保障。数据出境安全评估制度功能发挥的现实不足，很大程度上也正是由于行为属性不明确所导致的现实结果。因此，明确数据出境安全评估的行为属性不仅仅是法解释学维度上的理论研究问题，也是实践中进一步确定评估范围、充分发挥应有制度功能的制度实践难题。遗憾的是，数据出境安全评估的行为属性至今尚不明确。一方面，从现有制度实践运行的角度看，业已存在的制度安排尚未对数据出境安全评估的行为属性予以明确，相应的官方释明更是阙漏；另一方面，从已有的理论探讨研究维度看，当下有关数据出境安全评估这一议题的理论研究甚少，更遑论专门对数据出境安全评估行为属性的深议。虽有部分学者详实证成了数据出境安全评估是一种具体行政行为的理论构想，④参见张凌寒：《论数据出境安全评估的法律性质与救济路径》，《行政法学研究》，2023 年第1 期。但并未继续刺破具体行政行为这层“面纱”，将数据出境安全评估行为纳入具体行政行为种属类型进行逻辑圈画。停滞于具体行政行为行为属性的宏观范畴确认，欠缺数据出境安全评估行为属性的精确认定，就难以依法运用类型化的规范手段去整肃数据出境行为乱象，严重掣肘了数据出境安全评估制度功能的充分发挥。

（二）主体局限：职责划分与协作规定欠妥

评估主体是数据出境安全评估的首要构成因素，直接影响着安全评估的实际效能。目前而言，数据出境安全评估的主体存在职责划分失衡偏落与协作问题规定不明两大现实问题，严重阻滞着其制度功能的延展与发挥。

1.职责划分略显失衡

根据《评估办法》第七条⑤参见《数据出境安全评估办法》第七条规定，中国网信网，2022 年7 月8 日。和第十条⑥参见《数据出境安全评估办法》第十条规定，中国网信网，2022 年7 月8 日。相关规定，数据出境评估由国家网信部门组织并决定，省级网信部门并未被赋予作出评估决定的职权，其仅就负责申报材料的“完备性查验”工作，即对申报材料进行形式审查，对申报材料不齐全的依照法律程序退回并告知补正。随着数字经济的日益发展与国际交流的逐渐深入，加之“中国开放的大门只会越来越大”的政策理念指引，数据出境活动势必会出现海量式增长，将数据出境安全评估实质审查工作全部交由国家网信部门，而省级网信部门仅仅负责形式审查工作，无疑会给国家网信部门造成巨大压力，导致国家网信部门出现“能力赤字”，进而严重掣肘数据出境安全评估工作实际效能，与国家希冀有效提升数据出境风险消除的制度设计初衷相背离。

2.协作问题规定不明

由于数据出境安全评估的复杂性，靠单一的行政机关部门往往很难解决相关问题，若想充分实现安全评估功能价值，必须重点依托“整体政府”理念下行政协调理论的基本要求，即在不改变相关行政机关部门自身功能、结构性因素的基础之上，通过多元协作，打破传统的部门界分与功能界分的局限，①参见李大勇、杜宏伟：《行政协调中的裁量规制》，《行政法学研究》，2016 年第4 期。让各个部门形成向心力，把内耗和摩擦降到最低，实现治理效果的最优化。但《评估办法》仅用第十条对国家网信部门与相关部门的协作评估问题一笔带过，条文内容过于笼统，对部门协作如何组织、如何开展等具体问题并未言明。同时，第十条还在由国家网信部门组织相关部门进行评估前加上了“根据申报情况”的前提要件。从文义解释的角度看，组织协作并非是一贯范式，而应由国家网信部门视申报情况而“一事一议”，这势必会存在国家网信部门基于权力的统一性与评估工作的效率考量而不组织相关部门协作的潜在可能，导致评估协作制度虚置，进而影响安全评估工作的整体效率与精准程度。

（三）适用牵制：范围与情境宽泛不清

《评估办法》对数据出境需评估的现实情境展开释明，旨在为评估的实践工作开展指明前进方向，但其围绕评估适用维度的制度设计存在适用范围宽泛与适用情境模糊的不足，致使安全评估制度功能的发挥遭受一定梗阻。

1.适用范围宽泛

根据《评估办法》第四条，同时结合《网络安全法》和《个人信息保护法》等相关法律规范，②参见《网络安全法》第三十七条，《个人信息保护法》第四十条。关于数据出境安全评估的适用范围主要从数据处理主体与出境信息类型两方面作出规定，旨在对数据出境形成全方位、多角度、立体式的风险防范范式框架。一方面，从数据处理主体角度看，只要出境数据的数据处理者是特殊主体，即关键信息基础设施运营者（CIIO），就要接受数据出境安全评估。另一方面，从出境信息类型的角度看，需要接受数据出境安全评估的数据类型主要包含定性与定量两个维度：（1）定性维度：出境数据是重要数据的。（2）定量维度：出境数据达到一定数量的。关于“数量”的判断标准，一是静态标准，即出境数据的个人信息数量达到100 万以上的；二是动态条件，即在一定期间出境数据的个人信息数量动态累计达到10 万人，或敏感个人信息数量达到1 万人。基于CIIO 主体掌握数据的特殊性与重要数据的敏感性，数据一旦遭到破坏、泄露或非法利用，都可能严重危害国家安全与公共利益，因此，对其出境活动进行安全评估的必要性不言自明。但是从定量维度的出境数据标准来看，按照我国的人口基数与数字经济的用户规模，一个企业只要存有跨境业务活动，轻而易举就能达到上述静态标准与动态条件的基准线。即数量要求偏低会直接导致现有数据出境安全评估适用范围过于宽泛，企业很多日常的数字经济活动也会被纳入其中，数据出境安全评估数量一旦膨胀，在有限的人力资源与硬性的行政效率双重压力导向下，势必造成评估主体对评估工作的“疲于奔命”与“敷衍了事”，形成追求效率与保证质量之间的“二律背反”，难以有效保证评估质量，这无疑与有效提升评估工作质量、规范评估行为的制度设计初衷相抵牾。

2.适用情境模糊不清

现有数据出境安全评估适用情境模糊，深深钳制着其“左手”保护个人信息、“右手”维护国家数据安全的功能效用，可从内外不同视角去检视。一方面，从内部性视角看，安全评估制度内部的相关概念模糊不清，例如：《评估办法》第十九条①参见《数据出境安全评估办法》第十九条规定，中国网信网，2022 年7 月8 日。对“重要数据”一词给出了规范释义，但仅仅是基于性质特征的描述性阐释，在具体实践中数据处理者与评估主体仍然可能存在主观性理解偏差。数据处理者与评估主体对“重要数据”理解不一势必会导致评估适用范围的不确定，造成适用情境的冲突，进而牵制该制度的实现效果。另一方面，从外部性视角看，安全评估制度也与其他相关制度存在规范性冲突，例如：安全评估制度与安全审查制度就存在关系不清、对象交叉的现实藩篱。②参见曹泮天、袁瑞璟：《企业境外上市数据安全风险的预防性治理》，《河北学刊》，2023 年第3 期。《网络安全审查办法》第七条③参见《网络安全审查办法》第七条规定，中华人民共和国中央人民政府网站，2021 年12 月28 日。规定，掌握超过100 万用户个人信息的网络平台运营者赴境外上市需进行网络安全审查，那么当数据处理者以赴境外上市的形式进行数据出境活动，究竟是采用安全评估还是安全审查？抑或二者皆需？现有规定不够清晰明朗，难以指导实践，还会导致适用的冲突模糊，势必会对制度功能发挥产生双向拘囿。

（四）内容困顿：“三性”遭受巨大质疑

《评估办法》第八条对数据出境国家安全评估的审查要点进行专门规范，七个方面的内容列举昭示出其蕴含的价值导向。但遗憾的是，审查要点设计的阙漏却使得其功能价值的展现形格势禁。首先，从准确性角度看，七个方面的内容大多是指引性、原则性规范，内容较为模糊，实践可操作性不强，比如：第八条第一款第一项的“正当性”与“必要性”如何理解？达到什么样的条件可谓是“正当”与“必要”？同时，第八条第一款第二项要求对境外接受方的数据安全保护政策与网络安全环境等作出评估，其实际操作又当如何？其次，从科学性角度看，正如前文所述，数据处理主体与出境信息类型的殊异无疑招致评估适用情形的迥异，源于不同的数据处理主体所掌握的数据与不同类型的数据本身的重要性程度差异，与之对应的数据出境国家安全评估内容显然也需要形成内在体系的层次性架构，④参见赵精武：《论数据出境评估、合同与认证规则的体系化》，《行政法学研究》，2023 年第1 期。但《评估办法》尚未形成科学地分级分类的评估内容标准，而是采取“一刀切”的做法，要求不同的数据出境国家安全评估都依循第八条规定的审查要点展开，这势必会使评估结论的科学性与可靠性受到一定质疑。最后，从合理性角度看，根据《评估办法》第五条，风险自评估是数据出境安全评估的必要前置程序，与国家安全评估的审查要点相对比，二者的重点评估事项存在大量内容重合，严重牵制安全评估内部体系的融贯性与合理性。同时，由数据处理者对自身的数据出境风险开展自评估，其结论的真实性与客观性也有待进一步考量与审视。

（五）时限制约：延长时限规定不明

作为一种量度工具，时间在法律上具有重要意义。法律上的准确时间期限，一方面深刻体现着减少对法律规范恣意执行现象的“工具理性”；另一方面亦展示着使法律规范中模糊内容具体明确，提升法的可预测性的“内容价值”。《评估办法》第十二条第一款①参见《数据出境安全评估办法》第十二条第一款规定，中国网信网，2022 年7 月8 日。虽然对数据出境安全评估时间的延长作出具体规定，在情况复杂或者需要补充、更正材料的特定情形下可适当延长评估时间，但是关于延长的时间并未明示，只用“适当”二字予以概括规定。从理论上讲，延长5 天、30 天抑或更长期限都可认定在“适当”的含义解释限度之内，这无疑赋予了安全评估主体过于宽泛的延长时限的裁量权，给评估主体留下在形式“合法”外衣下恣意行权的脱逸空间，与将数据出境行为纳入法治框架，进而依法保护个人信息、有效维护国家安全的制度功能定位背反。

三、优化路径：数据出境安全评估的功能发挥

（一）性质释明：明确安全评估行为属性

行为属性的准确界定是开展数据出境安全评估实践工作的必要前提，也是数据出境安全评估充分实现其作为一种规制工具功能的基本保障。目前，学界倾向于将数据出境安全评估行为视为一种具体行政行为。从具体行政行为的通说概念来看，具体行政行为是指行政机关就特定的事项对特定人的权利义务作出法律上的处分，②参见余凌云：《行政法讲义》，北京：清华大学出版社，2019 年版，第275 页。具有针对特定人与特定事项、单方行为、外部性处理等基本特征。将数据出境安全评估行为纳入其概念视域展开嵌入比对，可以看出，数据出境安全评估系由国家网信部门这一公权力主体运用行政权力、行使行政职权，就相关数据能否出境这一特定事项，对申请数据出境的数据处理者这一特定主体作出的具体行为，针对事项与对象具有特定性，且其行为无需经过相对人的同意，由国家网信部门单方作出即可发生法律效力，深刻影响着数据处理者的权利义务，与具体行政行为的概念内涵与特征勾勒相耦合。在此基础上进一步思考，数据出境安全评估行为属性可进一步落入行政许可的种属范畴，这也与其制度功能相耦合。《行政许可法》第二条③参见《中华人民共和国行政许可法》第二条规定，中国人大网，2019 年5 月7 日。对行政许可作出规范定义，将其转换为理论概念，就是指特定行政主体根据行政相对人的申请，经依法审查，作出准予或者不准予其从事特定活动之决定的行政行为。同时结合《行政许可法》与一般理论，可将这一概念解构出行政许可内容、性质、程序与形式四大内涵要求。

1.符合内容要求

行政许可是依法准予相对人从事特定活动的一种授益行政行为，其以一般禁止为前提，个别解禁为条件。只要经过许可，相对人即可获得从事某种特定活动的资格或权利。《个人信息保护法》第四十条①参见《中华人民共和国个人信息保护法》第四十条规定：“关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的，应当通过国家网信部门组织的安全评估；法律、行政法规和国家网信部门规定可以不进行安全评估的，从其规定。”明确提出，达到特定条件的数据必须通过国家网信部门安全评估，方能出境，也即是对数据出境行为的“解禁”，因此，只有经过国家网信部门许可，相对人才能获得向境外提供数据的权利或资格，进而开展数据出境活动，符合行政许可的内容表达。

2.符合性质要求

行政许可应是一种依申请而为的行政行为，行政机关一般不能主动授予，俗称“无申请则无许可”。《评估办法》第四条对需进行安全评估的情形划定了一定范围，明确指出，数据处理者向境外提供数据，在符合特定情形时需主动通过省级网信部门向国家网信部门进行申报。换言之，国家网信部门作出安全评估结论以相对人的申请为前提，没有相对人的申请，则不能主动给予安全评估，这与行政许可依申请而为的性质相吻合。

3.符合程序要求

行政许可整体呈现出“申请→审查→决定”的程序脉络，尽管行政许可以相对人申请为前提要件，但并不意味着只要相对人申请皆可获得行政机关许可，还必须经过依法审查。与备案的形式审查不同，行政许可的审查是一种实质审查，《评估办法》在明确了省级网信部门对申报材料完备性查验的形式审查职责的同时，也赋予了国家网信部门实质性审查职责，并对重点审查的事项作出了详尽规定，与行政许可的实质性审查程序要求相契合。

4.符合形式要求

根据《行政许可法》第三十四条②参见《中华人民共和国行政许可法》第三十四条规定，中国人大网，2019 年5 月7日。，行政许可必须采用书面形式。这说明行政许可应是一种要式行政行为。数据安全评估也是如此，一方面，《评估办法》第六条③参见《数据出境安全评估办法》第六条规定，中国网信网，2022 年7 月8 日。规定申报数据出境安全评估必须提交一定的书面材料，需采用特定的书面形式；另一方面，《评估办法》第七条第二款和第十二条第二款④参见《数据出境安全评估办法》第十二条第二款规定，中国网信网，2022 年7 月8 日。对申报数据出境安全评估是否受理以及评估结果，均要求采用书面形式通知数据处理者。因而，二者在形式要求这一方面具有一致性。

（二）主体调适：完善主体维度相关规定

在数据出境安全评估中，要充分把牢评估主体与参与主体两大主体类型，一方面，聚焦评估主体，科学合理地重构评估主体职责要素；另一方面，着眼参与主体，优化细化多方参与主体协作规定，持续增强评估结果的客观性与公正性，有效确保安全评估功能彰显。

1.科学合理重构评估主体职责要素

科学合理的职责划分，是保障评估主体充分履职的必要前提。然而，现有数据出境安全评估主体难以有效应对海量的评估工作，对此，应进一步重新科学划分数据出境安全评估流程中各评估主体的职责要素，尤其是要强化省级网信部门评估职责，充分发挥其前置审核的功能，减轻国家网信部门评估工作负担。具体而言，建议在省级网信部门对申报材料进行形式上的“完备性查验”的职责基础上增加实质上的“内容性查验”职责，既对数据处理者提交的申报材料作出完备性评价，又要对申报材料的内容展开实质性评估，并形成书面形式的初步评估结论供国家网信部门参考，真正实现数据出境安全评估关口前移，做到“减负”“加压”两不误，在有效缓解国家网信部门评估压力的同时给出境数据安全上好“双保险”，不断提升数据出境安全评估实际效能，充分把准规范评估行为的功能定位。

2.优化、细化多方参与主体协作规定

协作与互补是数据出境安全评估的“主旋律”，在“主动治理”视域下实现有关部门多元参与，首先需要通过制度明确规范多元协作间的相关性问题，切实保障各参与主体之间能够更好地协作治理，进而确保制度功能的完美实现。现有的数据出境安全评估的制度设计，除对国家网信部门的职责有着详尽规定外，鲜有涉及其他参与主体在数据出境安全评估中的职权责任划分。建议在《评估办法》中细化多方主体协作具体规范，以明确的制度规范强化国家网信部门在数据出境安全评估中与公安机关、国家安全机关、金融监管机构等多部门协作，形成安全评估合力。尤其是要加大公安机关和国家安全机关在安全评估中的实践参与，充分发挥这两个机关的数据信息资源优势，建立公安机关、国家安全机关与国家网信部门数据共享交换机制；更要以公安机关警务信息综合应用平台中有关企业数据安全行政处罚信息为依托，打造数据出境安全评估黑白名单制度。具体而言：一方面，将企业数据安全管理良好、没有受过处罚记录的企业列入白名单，并将其作为安全评估重要参考指标，在安全评估工作中合理、合法地实现程序简化；另一方面，针对企业数据安全工作失范，将多次受到公安机关处罚的企业列入黑名单，在数据出境安全评估中着重评估审查。同时，可进一步探索数据出境公安备案等制度构建，做到出境准备公安知晓、评估过程公安参与和违规出境公安介入的全链条、全流程管理，强化公安机关与国家网信部门在规制数据出境领域的强大合力。另外，针对可能致使组织协作制度虚置的现实问题，建议修改《评估办法》第十条，删除“根据申报情况”这一条件要求，为确保组织协作制度效能的切实发挥扫清“障碍”。

（三）适用审度：破解安全评估适用难题

数据出境安全评估功能受限与其适用维度的现实难题休戚相关，合理限缩评估适用范围与明晰适用模糊的应对方案，是有效破解数据出境安全评估适用难题、推动数据出境安全评估功能的因应之策。

1.合理限缩评估适用范围

数据出境安全评估适用范围，是影响其规范数据流通这一制度功能充分发挥的决定性因素之一，评估适用范围大小直接关系到数据能否自由跨境流通，范围过窄易导致数据泄露影响国家安全，范围过宽则限制出境活力牵制经济发展。从现有的制度规范与国情现状结合来看，数据出境安全评估适用范围过宽，应进一步提升安全评估门槛，在合理限度内限缩安全评估适用范围，做到精准适用、精准评估。具体而言，建议在出境信息类型的定量维度上下功夫，结合我国经济发展现状，合理增加静态标准和动态条件的数量要求，适当提升安全评估适用门槛，进而有效避免因适用范围过宽而阻滞我国数字经济发展的背反现象，充分实现数据出境安全评估推动数据充分流动、盘活数字经济的制度效用。

2.明晰适用模糊的应对方案

正确理解法律条文概念是正确适用法律的必要前提，相应地，精准描绘数据出境安全评估制度中的相关概念也是保障制度适用方向正确，确保制度功能效用充分发挥的一定之规。“重要数据”一词在《数据安全法》等国家数据安全领域法律规范中被多次提及，但其概念内涵仍然扑朔迷离，鉴于此，建议在后续立法或是司法解释中以现有概念释义为基础，进一步明晰“重要数据”的准确理解。现有关于“重要数据”的理解主要从特征的描述性角度进行范式展开，后续阐释中可采取《个人信息保护法》第二十八条①参见《中华人民共和国个人信息保护法》第二十八条规定，中国人大网，2021 年8 月20 日。对“敏感个人信息”的含义界定方式，以“特征描述+类型列举”明确“重要数据”概念内涵，为数据出境安全评估适用提供规范指引。②参见梅傲、陈子文：《总体国家安全观视域下我国数据安全监管的制度构建》，《电子政务》，2023 年第11 期。与此同时，在对“重要数据”进一步解释中还要在安全与发展中寻求价值平衡点，既应实现对国家安全因素的充分考量，又要达至对经济发展的深思熟虑，实现安全与发展并重的价值导向。另外，针对特定情形下安全评估与安全审查的适用冲突问题，基于二者制度内容存在部分一致性，且与安全评估相比，安全审查的内容更具严苛性，加之对于国家资源的节约与处理效率等多维考量，建议在二者适用冲突的情形下选择安全审查路径即可。

（四）内容考量：调适安全评估审查要点

准确、科学、合理规划国家安全评估审查要点，是实现对数据出境风险精准把控、确保数据出境安全评估功能发挥的关键一招。《评估办法》虽对国家安全评估的审查要点作出了一定制度安排，但在审查要点的准确性、科学性与合理性方面仍然存有现实困境牵制其效能发挥，建议对相关制度规范作出一定修改完善。首先，继续提升审查要点的准确性。虽然2022 年国家网信办出台了《数据出境安全评估申报指南》（以下简称《申报指南》）对相关内容进行规范，但大多是对数据处理者开展自评估的基本要求，且仅仅是从程序与形式角度给出一定指导与帮助，鲜有涉及对国家网信办安全评估审查要点的规范指引，导致现有审查要点过于原则与笼统。建议尽快制定出台《数据出境安全评估指导手册》，明确规范安全评估相关操作标准，对现有审查要点的部分原则性规范给出量化标准，准确界分“正当与非正当”“必要与非必要”等评估判断内容要求。其次，继续提升评估内容的科学性。建议可在数据分级分类的基础上，按照不同数据出境情形分别设计不同审查标准，其基本逻辑在于根据不同数据出境情形的数据重要程度和泄露、损害后果等进行层次性保护，对于CIIO 申报的数据出境与“重要数据”出境，应采取更为严格的出境流动评估规则，而对定量维度的个人信息出境实行普通数据出境流动评估标准，形成具有差异性、层次性架构的内部评估内容体系。最后，继续提升评估内容的合理性。现有国家安全评估审查要点存在与自评估内容重合的不合理现象，基于此，建议将二者内容进行实质性区分，并考量纳入单独的第三方评估机制③此处所指的第三方评估机制并非《申报指南》中规定的自评估制度内的第三方机构参与，而是独立于自评估制度并与之平行的制度设想。，规范化建设一批具有专业资格认证的第三方评估机构，将自主性评估和第三方评估结合理念深入贯彻，有效避免因自利因素而产生的自评估违规现象。同时，针对自评估与第三方评估过程中出现的违法行为的惩处规定还较为笼统，应进一步明晰公安机关在安全评估过程中对违法行为的打击职责，有效降低评估流程中的违法风险，为安全评估工作依法有序开展，助力安全评估制度功能实现提供有力支撑。

（五）时间规范：明晰安全评估延长时限

时间与空间一样同为客观范畴，也是法律规范中屡见不鲜而又至关重要的组成要素，其准确与否深刻影响着安全评估功能效用的规范表达。《评估办法》第十二条第一款规定，安全评估期限一般为45 天，但情况复杂或者需要补充、更正材料的，可以适当延长并告知数据处理者预计延长的时间。但该条并未对“适当延长”期限作出明确规定，间接地将其置于宽泛裁量空间。法治并不排斥裁量，但反对不受限制的裁量。一般来讲，赋予某一事项裁量权力主要有两方面原因：一是立法机关在立法时对相关问题没有能力把握，因而将此问题交由行政机关根据具体情况斟酌而定；二是立法机关因无法预见未来的现实客观因素而不经意形成具有裁量空间的制度安排。①参见何海波：《行政诉讼法》，北京：法律出版社，2022 年版，第103 页。反思安全评估制度的现有规定，对于立法者而言，完全具有明确延长时限规定与预见时限不清对数据处理者造成权利损害可能的能力，由是观之，延长时限的规定并不具有上述两类赋予其裁量权的现实原因，应对其进行进一步明确规定，以期待它应有的功效能在恰当的时机发挥。具体而言，数据出境安全评估既为一种行政许可，那么即可参考《行政许可法》关于许可决定的期限规定对此予以明确。同时，基于数据出境安全评估与国家安全、个人信息保护等重大国家、公共利益密切相关，其评估工作应更为谨慎，应给予合理限度内的较长时间，故而，可借鉴参考《行政许可法》第四十二条②参见《中华人民共和国行政许可法》第四十二条规定，中国人大网，2019 年5 月7 日。中“可以延长十五日”的期限规定，对数据出境安全评估延长时限作出明确规定。