前言
近几年来，随着数字经济的蓬勃发展，数据跨境活动日益频繁，数据处理者的数据出境需求快速增长。2022年7月7日，国家互联网信息办公室公布了《数据出境安全评估办法》（以下简称《安全评估办法》），自2022年9月1日起施行。《办法》明确，若数据处理者向境外提供在中华人民共和国境内运营中收集和产生的重要数据和个人信息，则此类数据的安全评估适用本办法。2023年2月24日，国家互联网信息办公室公布《个人信息出境标准合同办法》（以下简称《标准合同办法》），自2023年6月1日起施行。国家互联网信息办公室有关负责人表示，出台《办法》旨在落实《个人信息保护法》的规定，保护个人信息权益，规范个人信息出境活动。
现有的数据安全相关法律法规层面，对数据出境行为进行了概括描述，主要包括两种情形，一是数据处理者将在境内运营中收集和产生的数据传输、存储至境外；二是数据处理者收集和产生的数据存储在境内，但境外的机构、组织或者个人可以查询、调取、下载、导出。现有的数据安全相关法律法规并没有具体规定向境外提供数据的目的、业务场景等具体情形有哪些，这可能造成许多企业或组织无法准确识别自身数据出境场景，从而导致不合规或不必要的数据跨境流动，徒增安全风险。
数据的出境已成为所有数据处理者需要高度重视的事项，其涉及的不仅仅是数据主体的隐私权或个人信息权益，更加涉及到国家安全和公共利益。笔者尝试围绕数据出境原因、出境数据处理者的类型和数据出境的具体场景等方面进行调查和分析，从而剖析出需要重点关注的出境数据所属主体现状与行业属性。经仔细分析数据出境的典型场景，我们认为数据出境至少存在于外商投资、境外证券发行、境外投资、中外合作、跨境业务、涉外执法与司法等以下具体场景中。
一、外商投资
在境外注册的企业到国内设立公司、分子公司、办事处是诸多海外企业进军中国市场的重要举措。在2020年1月21日国新办就2019年商务工作及运行情况举行的发布会上，商务部外资司司长宗长青表示，截至2019年年底，中国累计设立外资企业数突破100万家，达到1001377家。¹
由于企业投资来源于境外，投资方必然会对其投资情况进行了解、对其投资项目进行管理。境外股东查阅企业数据、派驻境外人员担任企业高管进行日常管理，企业依托境外股东的业务平台开展经营管理等情形中，都会涉及到企业数据出境。据《中华人民共和国公司法》之相关规定，股东有权查阅公司章程、股东名册、公司债券存根、股东大会会议记录、董事会会议决议、监事会会议决议与财务会计报告，因此，在公司内部的管理过程中，境外股东查阅上述信息时，数据的跨境传输自是在所难免。例如，某境外投资方在中国境内设有子公司，子公司定期通过互联网向境外投资方报送公司业务经营数据，以供境外投资方进行经营情况的统计、分析，即构成境内主体向境外传输数据的情形。再比如，某境外公司在中国境内设立分公司，分公司使用境外公司的信息系统、软件平台或设立在境外的服务器或云服务器，也构成向境外传输数据的情形。因此，涉及到外商投资的企业因为其资本或投资人的外来属性，很难避免出现数据出境的情形。
二、境外证券发行
在经济全球化的发展趋势下，许多企业都在寻找向海外发展的机会，而选择海外上市则是企业能够走向世界的重要一步。加之，境外股市资金较境内证劵市场来源更为广泛，企业一旦上市则公司市值就能获得更大的的增长空间，因此，国内赴海外上市的民营企业逐年增加。据中国上市公司协会发布的9月统计月报显示，截至2022年9月30日，现有境外主要市场中国概念上市公司1594家（注：少数公司存在多地上市的情形，未做除重处理）。在证监会为提升上市公司质量、增强IPO审核力度、过会率降低的背景下，赴海外上市的企业数量必然持续上扬。
中国企业在境外上市过程中，需要向境外主管机关公开披露大量信息。企业在境外发行证劵过程中也会涉及大量数据出境，包括：境内企业在境外直接发行证劵过程中向境外有关证券公司、证券服务机构披露有关数据；境外会计师事务所从事境内企业境外上市相关审计业务，查看境内企业在境内收集和产生的数据；境内企业申请境外上市过程中及发行后履行披露义务并接受监管，向境外监管机关提供有关数据。美国《外国公司问责法案》规定，SEC认定的上市公司（Commission-Identified Issuers）还需要额外披露：
1、在所涵盖的期间内，注册会计师事务所为发行人编制的一份审计报告。
2、发行人成立或以其他方式组织的外国司法管辖区的政府实体拥有发行人股份的百分比。
3、在适用的外国司法管辖区，与该注册会计师事务所有关的政府实体是否对发行人有控制性的财务利益。
4、担任发行人或与发行人有关的经营实体的董事会成员的每位中国共产党官员的姓名；及发行人的公司章程（或同等的组织文件）是否包含任何中国共产党的章程，包括任何此类章程的文本。因此，企业如果已经或准备在境外上市或者发行债券，都有可能存在数据甚至是敏感个人信息出境。
中国企业在境外融资除通过上市方式进行融资外，近年来通过发行海外债券的方式进行融资也呈上涨趋势。企业在海外发行债券较之于发行国内债券有两大优势，一是限制条件少，企业海外发债对于其公司组织形式、发行人资产及经营情况等要求较国内发债更为宽松，企业只需满足基本财务要求、完成信息披露即可。二是海外发债时间短、效率高，海外发债的流程也较为简便，能够有效提高资金募集效率。根据彭博社统计，截至2021年9月末，中资境外债发行总量超过2万亿美元，存量债券超过1万亿美元，成为亚洲离岸债券市场的中坚力量。²发行海外债券首先就要向海外信用评估公司提供资料，调查和制定发行人债券信用水平，还要向外国证券交易所和委员会提交注册文件，这都涉及到将企业的债务水平和债务结构、管理层的财务管理理念和财务杠杆的应用策略、企业的营收情况和现金流以及其他资产情况进行境外提交。除此之外，企业还需要评估行业现状和宏观经济景气周期、国家产业政策、发展趋势、行业和产品市场的季节性和行业进入门槛、周期性影响、技术更新速度，并分析企业的市场份额、专利、研发实力，提交的材料里面可能涉及的不只是企业数据，还有行业数据，这都可能会涉及到重要数据出境。
在海外发债的企业里面，重点企业存在于房地产行业、金融行业、工业企业中。按照Wind一级行业分类统计，在所有已发行的中资美元债中，房地产行业发行只数最多，为529只，发行余额也占据中资美元债的首位，截止到2020年12月，在全部已发行的中资美元债中，房地产行业的债券余额为1815.905亿美元，占比20.47%；金融业发行只数为224只，债券余额为1787.39亿美元，占比20.15%；工业发行只数为369只，债券余额为1264.30亿美元，占比14.25%。³
值得注意的是，除民营企业热衷于发行海外债券外，中资城投平台海外债自2019年下半年开始放量发行，并一直持续至今。Wind数据显示，目前中资城投债存量共有583只、规模达966.52亿美元。目前31个省级行政区中，除内蒙古、西藏、青海、海南四个地区外，其余27家省级行政区均有海外债城投平台。同时，从海外债城投平台数量来看，比较集中主要分布在江苏（60家）、浙江（53家）、山东（37家）、四川（23家）、广东（15家）、陕西（13家）、河南（11家）、江西（11家）、湖南（10家）等地区⁴，具体数据见下图：
三、境外投资
与外商投资相似，境内企业在对外投资的过程中，也可能会选择在境外设立公司、分子公司、办事处或者外派管理人员。境内企业对其投资情况进行了解、对其投资项目进行管理的过程中，将数据传输至境外公司、分子公司、办事处；授权境外派驻人员查询、调取、下载、导出企业的境内数据；向当地政府监管部门提供有关数据，都涉及数据的出境。例如，企业通过互联网向境外的子公司传输的文件中含有数据信息；由于境外子公司必须接受当地政府的监管，或者需要取得境外机构认定的资质，所以需要向境外披露一定的经营信息；在境内的外籍员工或派驻在境外工作的员工登陆公司的OA系统、HR管理系统和其他信息系统，开展相关操作并获取相关信息；这都属于数据出境情形。
四、中外合作
中国改革开放经历了从“引进来”到“走出去”以及两者高度融合的各个发展阶段，企业实行跨国业务合作、医疗机构和教育机构等组织进行对外合作，是当代生产社会化发展和对外开放的必然趋势。根据教育部教育督导局委托教育部高等教育教学评估中心研制完成的《全国普通高校本科教育教学质量报告（2020年度）》显示，截至2020年底，全国共有本科教育中外合作项目890个（其中2020年新增83个），覆盖28个省份，涉及440所高校、35个国家和地区。在合作办学过程中，如将学生、老师的个人信息传输给合作方或者授权境外合作院校读取学生的境内信息就涉及到数据出境，尤其是掌握超过100万条个人信息的高校更应当对类似行为进行关注。
医疗机构在进行国际合作开展科学研究、产品研发等项目的过程中，可能需要将健康医疗数据与国外合作项目人员共享。健康医疗数据是国家重要基础性战略资源，健康医疗数据中包含的人口基因数据、卫生资源数据、公共卫生数据等与国家安全密切相关。比如，基因编辑作为一种最新型的生物攻击手段，就是基于对一个群体的基因研究；公共卫生数据中的出生死亡数据与一个国家的人口政策等紧密相关。因此，提供健康医疗服务的组织、健康医疗科学研究机构在与境外展开合作的项目中，需要注意数据出境风险，应当视情况申报数据出境安全评估或签订《数据出境标准合同》。
另外，国际慈善组织也会与国内的慈善组织、基金会合作联合举办公益活动，在此过程中也可能涉及国际慈善组织收集和掌握数据，从而构成数据出境。
五、跨境业务
本文所指的跨境交易，涵盖的不仅仅是国与国之间的商品和劳务交换，还涵盖了与商品和劳务交换相关的对应跨境进出口安排、跨境贸易、跨境结算等全过程。随着中国企业跨国业务的增加，中国企业与国外企业的合作日益频繁，而国外企业也在积极挖掘中国市场，越来越多的国外企业到中国来寻找业务机会，因此跨境业务的种类、模式、环节越来越丰富和多样，可能涉及到的数据出境场景也曾出不穷，在业务磋商、缔结合同、合同履行、跨境支付过程中都难免涉及信息的跨境流动。在此，我们梳理了几种典型的涉及数据出境的场景：
（一）国外企业的境内业务。根据《外国（地区）企业在中国境内从事生产经营活动登记管理办法》的规定，外国企业经登记主管机关核准登记注册，领取营业执照后，方可开展生产经营活动。因此我国允许经核准的外国企业在境内生产经营，直接向境内个人、企业、机构、组织等提供服务或销售商品。具体场景：如国外航空公司向中国境内旅客提供跨国客运服务、国外企业向中国境内销售商品或提供服务、国外企业直接在中国境内开展经营活动，如“四大”会计师事务所，包括华永道（PWC）、安永（EY）、德勤（DTT）、毕马威（KPMG）。也许正因为前述机构开展业务必将直接收集国内数据，无论是否传输至国外都涉及数据出境，中国已对国有企业提出指导性意见，要求国有企业逐渐停止使用四大国际会计师事务所的服务。
（二）国内企业的境外业务。国内企业向国外个人、企业、机构、组织等提供服务或销售商品，包括：
1、中国企业作为中介机构，为国外企业提供业务机会、开拓市场、建立营销平台。如，携程国际站、飞猪旅行、去哪儿网等跨国旅游服务平台的国际航班订票服务；留学、夏令营等跨国留学服务机构为国外教育机构提供的招生服务、揽客服务等。由于中国企业只是中介机构，交易主体一方本质上还是境外机构，境外机构最终还是会获取交易过程中产生的绝大部分数据。
2、中国企业为国内的个人、企业、机构、组织提供境外服务或向境外销售商品，前者包括在中国境内开展国际旅游业务，组织人员出境旅游，留学、夏令营等跨国留学服务；后者包括向境外提供商品、技术或人员，比如境外劳动派遣、出口贸易。企业收集和产生的数据存储在境内，为获取交易机会或者出于履行合同的需要，企业对于境外的机构、组织或者个人（不论其是否与境内实体存在关联关系）开放权限进行查询、调取、下载、导出该等境内数据，这种情形也构成数据出境。相比于主动出境的情形，这类数据被动出境的情形更容易被企业忽略。
3、跨境电商。跨境电商本质上是跨境业务在互联网时代特有的方式之一。国外企业在国内提供服务或销售商品以及国内企业向国外提供服务或销售商品，都可以采取跨境电商的方式进行。用互联网进行跨境电商交易涉及的跨境数据流动非常多，物流、资金流、信息流都与境外机构有着密切的联系。对于商品转移和流动场景，常见的有速卖通等B2B外贸交易，亚马逊等B2C跨境电商交易；对于服务转移和流动场景，常见的有携程国际站、Booking等跨国旅游服务。中国境内的网站、平台提供境外登陆服务，也属于电商数据出境的一种典型情形，如World Development Indicators、Factset、新华社全球经济数据、SimilarWeb、Statcounter、Talking Data、国家统计数据库、前瞻数据库、中国互联网信息中心（CNNIC）、易观千帆、阿里数据、Quest Mobile、wind（万得）网，前述网站提供的就是数据统计、分析服务，如在境外登陆就属于数据出境。当然，严格来讲国内的网站只要国外可以登陆、浏览就属于数据的出境情形。如果不涉及核心数据、重要数据、个人信息就属于可以自由流动的数据范畴。但如果涉及核心数据、重要数据、个人信息就需要考虑是否要进行安全评估、签订标准化合同，或者在数据出境安全认证办法出台后进行安全认证。
4、跨境支付。业界普遍将跨境支付分成三大场景，分别是跨境转账汇款支付、境外线下支付、跨境线上支付三种场景，不同业态有着不同的数据出境场景。一笔款项从境内打入境外，需要与境外收单银行、境外账户银行、结算机构等多个机构打交道，跨境数据流动必不可少。此外，许多跨境电商收单机构，虽然在国内大多拥有分公司或子公司，但本质上是境外机构，因此其各类管理和安排其实都须由境外总公司或母公司进行决策和安排，而境外总公司或母公司的决策和安排无一不以获取境内分支机构的数据为前提。从事相关的外卡收单业务需要获得国际信用卡组织的认证，取得收单资质，对于支付机构而言仅有第三方支付牌照和跨境支付牌照，并不能直接受理外卡的交易，还需获得国际信用卡组织的资质认证，成为其支付服务商，才能开展外卡收单业务。另外，中国游客在境外支付除了使用现金和银行卡转账外，微信和支付宝也逐渐覆盖到了海外众多旅游胜地，收单机构多为微信和支付宝在各国或地区的合作机构。理论上说，支付机构需要将用户支付数据交给合作机构进行审查，这就产生了数据出境行为。
六、涉外执法与司法
《数据安全法》和《个人信息保护法》都明确规定，境内组织和个人非经中国主管机关批准，不得向境外司法和执法机构提供境内存储的数据或个人信息。此场景下跨境调取数据的需求主要分为司法和执法两类：一是外国法院审理民商事和刑事案件时的证据开示需求；二是例如美国联邦贸易委员会（FTC）、美国证券交易委员会（SEC）等外国执法机构出于执法或审计目的的调证需求。比如，因应对外国某执法机关调查案件的需要，公司通过移动硬盘载体的形式，将涉及个人信息和其他数据的调查信息、证据材料寄送给该境外执法机关、聘用的境外法律顾问机构及其母公司。此种情形同样是数据出境的典型情形。
据中国国际经济贸易仲裁委员会与北京市君泽君律师事务所共同发布的《2022年度中国企业“走出去”仲裁调研报告》（以下简称“报告”）显示：多家境外仲裁机构的中国用户数量位居前列。在公开可查询的数据中，新加坡国际仲裁中心与国际商会国际仲裁院受理涉中国当事人案件数量大多数年份在70至100起之间。从近五年数据看，除2018年外，国际商会国际仲裁院受理的来自中国的案件数量在各国案件数量的排名中均位于前10。近年来，中国当事人稳居新加坡国际仲裁中心外国用户数量的前两位，并在2012年及2014年位列第一。新加坡国际仲裁中心涉及中国当事人的案件数量是十年前的四倍以上。在过去五年，申请人或被申请人为中国主体的案件总数为515起，在使用该机构的国家中排名第三，第一、二名分别为印度和美国。香港国际仲裁中心每年处理的案件中有超过100起案件的当事人一方或双方为中国大陆主体，在使用香港国际仲裁中心的国家或地区中位列第二，仅次于香港本地。2017年至2021年，日本商会仲裁协会共收案69起，其中59起为涉外案件，涉及中国大陆的案件高达22起，占案件总量32%，位列第一。
报告预测，未来几年，五大领域的国际仲裁纠纷可能大幅增加，分别为疫情诱发的供应链和中长期交易中断纠纷、各国政府针对疫情采取的措施或不作为将可能带来投资仲裁的增长、可再生能源领域国际仲裁纠纷、ESG（环境、社会责任、公司治理）条款国际仲裁纠纷、科技领域（加密货币、区块链、人工智能等）的争议。由此，我们认为因涉外诉讼与仲裁产生数据的出境活动也必然越来越多。
小结
我国在2016年G20杭州峰会上就发出“使用数字化的知识和信息作为关键生产要素、以现代信息网络作为重要载体、以信息通信技术的有效使用作为效率提升和经济结构优化的重要推动力”的倡议。（2020年3月30日）中共中央 国务院公布了《关于构建更加完善的要素市场化配置体制机制的意见》，更是明确提出加快培育数据要素市场。而数据的流动是产业数字化、数据要素市场建立的基础。因此，我国对于数据的跨境流动并非秉持一味限制的态度而是在自由流动与保护国家安全和公民个人信息权益之间不断进行平衡。我国一方面在建立健全数据跨境流动规则体系，陆续发布相关法规文件，着力构建具备可操作性的数据出境安全评估制度；另一方面也在试点探索数据跨境流动分类监管模式，在海南自贸港、上海自贸区临港新片区等地积极推动建设国际互联网数据专用通道或交互试点，开展数据跨境传输安全管理试点；我国还主动参与数据跨境流动多边或双边协定机制，已正式申请加入《全面与进步跨太平洋伙伴关系协定》（CPTPP）和《数字经济伙伴关系协定》（DEPA）。
《数据安全法》和《数据出境安全评估办法》对于数据出境的立法原则均为：促进数据跨境安全、自由流动。目前，我国对于数据出境的监管架构采用了部分GDPR的做法，重要数据和一定数量的个人信息需要进行安全评估后才能出境，少量的个人信息出境则应当签订《个人信息出境标准合同》；后续还应当会正式出台第三种数据出境的路径，即依法经过认证机构的认证后数据境。因此，数据的出境究竟应以何种方式进行，还必须对其企业（包括子公司）的数据进行盘点，梳理出数据流动的链路和涉外事项的权利义务和流程后才能确定。至于出境数据是否要进行安全评估，必须要对企业所掌握的数据进行分级分类后才能予以确定。
注解：
1：信息源于：
https://baijiahao.baidu.com/s?id=1656306986066831149&wfr=spider&for=pc
2：信息源于：
http://finance.sina.com.cn/roll/2022-02-22/doc-imcwiwss2258016.shtml
3：信息源于：
https://baijiahao.baidu.com/s?id=1747638501454332072&wfr=spider&for=pc
4：信息源于：
https://www.163.com/dy/article/HQ572BKH0519B4H1.html
近几年来，随着数字经济的蓬勃发展，数据跨境活动日益频繁，数据处理者的数据出境需求快速增长。2022年7月7日，国家互联网信息办公室公布了《数据出境安全评估办法》（以下简称《安全评估办法》），自2022年9月1日起施行。《办法》明确，若数据处理者向境外提供在中华人民共和国境内运营中收集和产生的重要数据和个人信息，则此类数据的安全评估适用本办法。2023年2月24日，国家互联网信息办公室公布《个人信息出境标准合同办法》（以下简称《标准合同办法》），自2023年6月1日起施行。国家互联网信息办公室有关负责人表示，出台《办法》旨在落实《个人信息保护法》的规定，保护个人信息权益，规范个人信息出境活动。
现有的数据安全相关法律法规层面，对数据出境行为进行了概括描述，主要包括两种情形，一是数据处理者将在境内运营中收集和产生的数据传输、存储至境外；二是数据处理者收集和产生的数据存储在境内，但境外的机构、组织或者个人可以查询、调取、下载、导出。现有的数据安全相关法律法规并没有具体规定向境外提供数据的目的、业务场景等具体情形有哪些，这可能造成许多企业或组织无法准确识别自身数据出境场景，从而导致不合规或不必要的数据跨境流动，徒增安全风险。
数据的出境已成为所有数据处理者需要高度重视的事项，其涉及的不仅仅是数据主体的隐私权或个人信息权益，更加涉及到国家安全和公共利益。笔者尝试围绕数据出境原因、出境数据处理者的类型和数据出境的具体场景等方面进行调查和分析，从而剖析出需要重点关注的出境数据所属主体现状与行业属性。经仔细分析数据出境的典型场景，我们认为数据出境至少存在于外商投资、境外证券发行、境外投资、中外合作、跨境业务、涉外执法与司法等以下具体场景中。
一、外商投资
在境外注册的企业到国内设立公司、分子公司、办事处是诸多海外企业进军中国市场的重要举措。在2020年1月21日国新办就2019年商务工作及运行情况举行的发布会上，商务部外资司司长宗长青表示，截至2019年年底，中国累计设立外资企业数突破100万家，达到1001377家。¹
由于企业投资来源于境外，投资方必然会对其投资情况进行了解、对其投资项目进行管理。境外股东查阅企业数据、派驻境外人员担任企业高管进行日常管理，企业依托境外股东的业务平台开展经营管理等情形中，都会涉及到企业数据出境。据《中华人民共和国公司法》之相关规定，股东有权查阅公司章程、股东名册、公司债券存根、股东大会会议记录、董事会会议决议、监事会会议决议与财务会计报告，因此，在公司内部的管理过程中，境外股东查阅上述信息时，数据的跨境传输自是在所难免。例如，某境外投资方在中国境内设有子公司，子公司定期通过互联网向境外投资方报送公司业务经营数据，以供境外投资方进行经营情况的统计、分析，即构成境内主体向境外传输数据的情形。再比如，某境外公司在中国境内设立分公司，分公司使用境外公司的信息系统、软件平台或设立在境外的服务器或云服务器，也构成向境外传输数据的情形。因此，涉及到外商投资的企业因为其资本或投资人的外来属性，很难避免出现数据出境的情形。
二、境外证券发行
在经济全球化的发展趋势下，许多企业都在寻找向海外发展的机会，而选择海外上市则是企业能够走向世界的重要一步。加之，境外股市资金较境内证劵市场来源更为广泛，企业一旦上市则公司市值就能获得更大的的增长空间，因此，国内赴海外上市的民营企业逐年增加。据中国上市公司协会发布的9月统计月报显示，截至2022年9月30日，现有境外主要市场中国概念上市公司1594家（注：少数公司存在多地上市的情形，未做除重处理）。在证监会为提升上市公司质量、增强IPO审核力度、过会率降低的背景下，赴海外上市的企业数量必然持续上扬。
中国企业在境外上市过程中，需要向境外主管机关公开披露大量信息。企业在境外发行证劵过程中也会涉及大量数据出境，包括：境内企业在境外直接发行证劵过程中向境外有关证券公司、证券服务机构披露有关数据；境外会计师事务所从事境内企业境外上市相关审计业务，查看境内企业在境内收集和产生的数据；境内企业申请境外上市过程中及发行后履行披露义务并接受监管，向境外监管机关提供有关数据。美国《外国公司问责法案》规定，SEC认定的上市公司（Commission-Identified Issuers）还需要额外披露：
1、在所涵盖的期间内，注册会计师事务所为发行人编制的一份审计报告。
2、发行人成立或以其他方式组织的外国司法管辖区的政府实体拥有发行人股份的百分比。
3、在适用的外国司法管辖区，与该注册会计师事务所有关的政府实体是否对发行人有控制性的财务利益。
4、担任发行人或与发行人有关的经营实体的董事会成员的每位中国共产党官员的姓名；及发行人的公司章程（或同等的组织文件）是否包含任何中国共产党的章程，包括任何此类章程的文本。因此，企业如果已经或准备在境外上市或者发行债券，都有可能存在数据甚至是敏感个人信息出境。
中国企业在境外融资除通过上市方式进行融资外，近年来通过发行海外债券的方式进行融资也呈上涨趋势。企业在海外发行债券较之于发行国内债券有两大优势，一是限制条件少，企业海外发债对于其公司组织形式、发行人资产及经营情况等要求较国内发债更为宽松，企业只需满足基本财务要求、完成信息披露即可。二是海外发债时间短、效率高，海外发债的流程也较为简便，能够有效提高资金募集效率。根据彭博社统计，截至2021年9月末，中资境外债发行总量超过2万亿美元，存量债券超过1万亿美元，成为亚洲离岸债券市场的中坚力量。²发行海外债券首先就要向海外信用评估公司提供资料，调查和制定发行人债券信用水平，还要向外国证券交易所和委员会提交注册文件，这都涉及到将企业的债务水平和债务结构、管理层的财务管理理念和财务杠杆的应用策略、企业的营收情况和现金流以及其他资产情况进行境外提交。除此之外，企业还需要评估行业现状和宏观经济景气周期、国家产业政策、发展趋势、行业和产品市场的季节性和行业进入门槛、周期性影响、技术更新速度，并分析企业的市场份额、专利、研发实力，提交的材料里面可能涉及的不只是企业数据，还有行业数据，这都可能会涉及到重要数据出境。
在海外发债的企业里面，重点企业存在于房地产行业、金融行业、工业企业中。按照Wind一级行业分类统计，在所有已发行的中资美元债中，房地产行业发行只数最多，为529只，发行余额也占据中资美元债的首位，截止到2020年12月，在全部已发行的中资美元债中，房地产行业的债券余额为1815.905亿美元，占比20.47%；金融业发行只数为224只，债券余额为1787.39亿美元，占比20.15%；工业发行只数为369只，债券余额为1264.30亿美元，占比14.25%。³
值得注意的是，除民营企业热衷于发行海外债券外，中资城投平台海外债自2019年下半年开始放量发行，并一直持续至今。Wind数据显示，目前中资城投债存量共有583只、规模达966.52亿美元。目前31个省级行政区中，除内蒙古、西藏、青海、海南四个地区外，其余27家省级行政区均有海外债城投平台。同时，从海外债城投平台数量来看，比较集中主要分布在江苏（60家）、浙江（53家）、山东（37家）、四川（23家）、广东（15家）、陕西（13家）、河南（11家）、江西（11家）、湖南（10家）等地区⁴，具体数据见下图：
三、境外投资
与外商投资相似，境内企业在对外投资的过程中，也可能会选择在境外设立公司、分子公司、办事处或者外派管理人员。境内企业对其投资情况进行了解、对其投资项目进行管理的过程中，将数据传输至境外公司、分子公司、办事处；授权境外派驻人员查询、调取、下载、导出企业的境内数据；向当地政府监管部门提供有关数据，都涉及数据的出境。例如，企业通过互联网向境外的子公司传输的文件中含有数据信息；由于境外子公司必须接受当地政府的监管，或者需要取得境外机构认定的资质，所以需要向境外披露一定的经营信息；在境内的外籍员工或派驻在境外工作的员工登陆公司的OA系统、HR管理系统和其他信息系统，开展相关操作并获取相关信息；这都属于数据出境情形。
四、中外合作
中国改革开放经历了从“引进来”到“走出去”以及两者高度融合的各个发展阶段，企业实行跨国业务合作、医疗机构和教育机构等组织进行对外合作，是当代生产社会化发展和对外开放的必然趋势。根据教育部教育督导局委托教育部高等教育教学评估中心研制完成的《全国普通高校本科教育教学质量报告（2020年度）》显示，截至2020年底，全国共有本科教育中外合作项目890个（其中2020年新增83个），覆盖28个省份，涉及440所高校、35个国家和地区。在合作办学过程中，如将学生、老师的个人信息传输给合作方或者授权境外合作院校读取学生的境内信息就涉及到数据出境，尤其是掌握超过100万条个人信息的高校更应当对类似行为进行关注。
医疗机构在进行国际合作开展科学研究、产品研发等项目的过程中，可能需要将健康医疗数据与国外合作项目人员共享。健康医疗数据是国家重要基础性战略资源，健康医疗数据中包含的人口基因数据、卫生资源数据、公共卫生数据等与国家安全密切相关。比如，基因编辑作为一种最新型的生物攻击手段，就是基于对一个群体的基因研究；公共卫生数据中的出生死亡数据与一个国家的人口政策等紧密相关。因此，提供健康医疗服务的组织、健康医疗科学研究机构在与境外展开合作的项目中，需要注意数据出境风险，应当视情况申报数据出境安全评估或签订《数据出境标准合同》。
另外，国际慈善组织也会与国内的慈善组织、基金会合作联合举办公益活动，在此过程中也可能涉及国际慈善组织收集和掌握数据，从而构成数据出境。
五、跨境业务
本文所指的跨境交易，涵盖的不仅仅是国与国之间的商品和劳务交换，还涵盖了与商品和劳务交换相关的对应跨境进出口安排、跨境贸易、跨境结算等全过程。随着中国企业跨国业务的增加，中国企业与国外企业的合作日益频繁，而国外企业也在积极挖掘中国市场，越来越多的国外企业到中国来寻找业务机会，因此跨境业务的种类、模式、环节越来越丰富和多样，可能涉及到的数据出境场景也曾出不穷，在业务磋商、缔结合同、合同履行、跨境支付过程中都难免涉及信息的跨境流动。在此，我们梳理了几种典型的涉及数据出境的场景：
（一）国外企业的境内业务。根据《外国（地区）企业在中国境内从事生产经营活动登记管理办法》的规定，外国企业经登记主管机关核准登记注册，领取营业执照后，方可开展生产经营活动。因此我国允许经核准的外国企业在境内生产经营，直接向境内个人、企业、机构、组织等提供服务或销售商品。具体场景：如国外航空公司向中国境内旅客提供跨国客运服务、国外企业向中国境内销售商品或提供服务、国外企业直接在中国境内开展经营活动，如“四大”会计师事务所，包括华永道（PWC）、安永（EY）、德勤（DTT）、毕马威（KPMG）。也许正因为前述机构开展业务必将直接收集国内数据，无论是否传输至国外都涉及数据出境，中国已对国有企业提出指导性意见，要求国有企业逐渐停止使用四大国际会计师事务所的服务。
（二）国内企业的境外业务。国内企业向国外个人、企业、机构、组织等提供服务或销售商品，包括：
1、中国企业作为中介机构，为国外企业提供业务机会、开拓市场、建立营销平台。如，携程国际站、飞猪旅行、去哪儿网等跨国旅游服务平台的国际航班订票服务；留学、夏令营等跨国留学服务机构为国外教育机构提供的招生服务、揽客服务等。由于中国企业只是中介机构，交易主体一方本质上还是境外机构，境外机构最终还是会获取交易过程中产生的绝大部分数据。
2、中国企业为国内的个人、企业、机构、组织提供境外服务或向境外销售商品，前者包括在中国境内开展国际旅游业务，组织人员出境旅游，留学、夏令营等跨国留学服务；后者包括向境外提供商品、技术或人员，比如境外劳动派遣、出口贸易。企业收集和产生的数据存储在境内，为获取交易机会或者出于履行合同的需要，企业对于境外的机构、组织或者个人（不论其是否与境内实体存在关联关系）开放权限进行查询、调取、下载、导出该等境内数据，这种情形也构成数据出境。相比于主动出境的情形，这类数据被动出境的情形更容易被企业忽略。
3、跨境电商。跨境电商本质上是跨境业务在互联网时代特有的方式之一。国外企业在国内提供服务或销售商品以及国内企业向国外提供服务或销售商品，都可以采取跨境电商的方式进行。用互联网进行跨境电商交易涉及的跨境数据流动非常多，物流、资金流、信息流都与境外机构有着密切的联系。对于商品转移和流动场景，常见的有速卖通等B2B外贸交易，亚马逊等B2C跨境电商交易；对于服务转移和流动场景，常见的有携程国际站、Booking等跨国旅游服务。中国境内的网站、平台提供境外登陆服务，也属于电商数据出境的一种典型情形，如World Development Indicators、Factset、新华社全球经济数据、SimilarWeb、Statcounter、Talking Data、国家统计数据库、前瞻数据库、中国互联网信息中心（CNNIC）、易观千帆、阿里数据、Quest Mobile、wind（万得）网，前述网站提供的就是数据统计、分析服务，如在境外登陆就属于数据出境。当然，严格来讲国内的网站只要国外可以登陆、浏览就属于数据的出境情形。如果不涉及核心数据、重要数据、个人信息就属于可以自由流动的数据范畴。但如果涉及核心数据、重要数据、个人信息就需要考虑是否要进行安全评估、签订标准化合同，或者在数据出境安全认证办法出台后进行安全认证。
4、跨境支付。业界普遍将跨境支付分成三大场景，分别是跨境转账汇款支付、境外线下支付、跨境线上支付三种场景，不同业态有着不同的数据出境场景。一笔款项从境内打入境外，需要与境外收单银行、境外账户银行、结算机构等多个机构打交道，跨境数据流动必不可少。此外，许多跨境电商收单机构，虽然在国内大多拥有分公司或子公司，但本质上是境外机构，因此其各类管理和安排其实都须由境外总公司或母公司进行决策和安排，而境外总公司或母公司的决策和安排无一不以获取境内分支机构的数据为前提。从事相关的外卡收单业务需要获得国际信用卡组织的认证，取得收单资质，对于支付机构而言仅有第三方支付牌照和跨境支付牌照，并不能直接受理外卡的交易，还需获得国际信用卡组织的资质认证，成为其支付服务商，才能开展外卡收单业务。另外，中国游客在境外支付除了使用现金和银行卡转账外，微信和支付宝也逐渐覆盖到了海外众多旅游胜地，收单机构多为微信和支付宝在各国或地区的合作机构。理论上说，支付机构需要将用户支付数据交给合作机构进行审查，这就产生了数据出境行为。
六、涉外执法与司法
《数据安全法》和《个人信息保护法》都明确规定，境内组织和个人非经中国主管机关批准，不得向境外司法和执法机构提供境内存储的数据或个人信息。此场景下跨境调取数据的需求主要分为司法和执法两类：一是外国法院审理民商事和刑事案件时的证据开示需求；二是例如美国联邦贸易委员会（FTC）、美国证券交易委员会（SEC）等外国执法机构出于执法或审计目的的调证需求。比如，因应对外国某执法机关调查案件的需要，公司通过移动硬盘载体的形式，将涉及个人信息和其他数据的调查信息、证据材料寄送给该境外执法机关、聘用的境外法律顾问机构及其母公司。此种情形同样是数据出境的典型情形。
据中国国际经济贸易仲裁委员会与北京市君泽君律师事务所共同发布的《2022年度中国企业“走出去”仲裁调研报告》（以下简称“报告”）显示：多家境外仲裁机构的中国用户数量位居前列。在公开可查询的数据中，新加坡国际仲裁中心与国际商会国际仲裁院受理涉中国当事人案件数量大多数年份在70至100起之间。从近五年数据看，除2018年外，国际商会国际仲裁院受理的来自中国的案件数量在各国案件数量的排名中均位于前10。近年来，中国当事人稳居新加坡国际仲裁中心外国用户数量的前两位，并在2012年及2014年位列第一。新加坡国际仲裁中心涉及中国当事人的案件数量是十年前的四倍以上。在过去五年，申请人或被申请人为中国主体的案件总数为515起，在使用该机构的国家中排名第三，第一、二名分别为印度和美国。香港国际仲裁中心每年处理的案件中有超过100起案件的当事人一方或双方为中国大陆主体，在使用香港国际仲裁中心的国家或地区中位列第二，仅次于香港本地。2017年至2021年，日本商会仲裁协会共收案69起，其中59起为涉外案件，涉及中国大陆的案件高达22起，占案件总量32%，位列第一。
报告预测，未来几年，五大领域的国际仲裁纠纷可能大幅增加，分别为疫情诱发的供应链和中长期交易中断纠纷、各国政府针对疫情采取的措施或不作为将可能带来投资仲裁的增长、可再生能源领域国际仲裁纠纷、ESG（环境、社会责任、公司治理）条款国际仲裁纠纷、科技领域（加密货币、区块链、人工智能等）的争议。由此，我们认为因涉外诉讼与仲裁产生数据的出境活动也必然越来越多。
小结
我国在2016年G20杭州峰会上就发出“使用数字化的知识和信息作为关键生产要素、以现代信息网络作为重要载体、以信息通信技术的有效使用作为效率提升和经济结构优化的重要推动力”的倡议。（2020年3月30日）中共中央 国务院公布了《关于构建更加完善的要素市场化配置体制机制的意见》，更是明确提出加快培育数据要素市场。而数据的流动是产业数字化、数据要素市场建立的基础。因此，我国对于数据的跨境流动并非秉持一味限制的态度而是在自由流动与保护国家安全和公民个人信息权益之间不断进行平衡。我国一方面在建立健全数据跨境流动规则体系，陆续发布相关法规文件，着力构建具备可操作性的数据出境安全评估制度；另一方面也在试点探索数据跨境流动分类监管模式，在海南自贸港、上海自贸区临港新片区等地积极推动建设国际互联网数据专用通道或交互试点，开展数据跨境传输安全管理试点；我国还主动参与数据跨境流动多边或双边协定机制，已正式申请加入《全面与进步跨太平洋伙伴关系协定》（CPTPP）和《数字经济伙伴关系协定》（DEPA）。
《数据安全法》和《数据出境安全评估办法》对于数据出境的立法原则均为：促进数据跨境安全、自由流动。目前，我国对于数据出境的监管架构采用了部分GDPR的做法，重要数据和一定数量的个人信息需要进行安全评估后才能出境，少量的个人信息出境则应当签订《个人信息出境标准合同》；后续还应当会正式出台第三种数据出境的路径，即依法经过认证机构的认证后数据境。因此，数据的出境究竟应以何种方式进行，还必须对其企业（包括子公司）的数据进行盘点，梳理出数据流动的链路和涉外事项的权利义务和流程后才能确定。至于出境数据是否要进行安全评估，必须要对企业所掌握的数据进行分级分类后才能予以确定。
注解：
1：信息源于：
https://baijiahao.baidu.com/s?id=1656306986066831149&wfr=spider&for=pc
2：信息源于：
http://finance.sina.com.cn/roll/2022-02-22/doc-imcwiwss2258016.shtml
3：信息源于：
https://baijiahao.baidu.com/s?id=1747638501454332072&wfr=spider&for=pc
4：信息源于：
https://www.163.com/dy/article/HQ572BKH0519B4H1.html