正文
NEWS
2024年2月5日及2月8日，《中国（天津）自由贸易试验区企业数据分类分级标准规范》（以下简称“《天津规范》”）及《中国（上海）自由贸易试验区临港新片区数据跨境流动分类分级管理办法（试行）》（以下简称“《上海办法》”）相继印发，指引相关辖区内数据处理者的数据分类分级工作，以促进数据依法依规、安全有序流动。
《上海办法》适用于（1）在临港新片区范围内登记注册的，或（2）在临港新片区开展数据跨境流动相关活动的数据处理者，有效期至2025年2月7日。
《上海办法》明确临港新片区管委会将区分领域，率先围绕汽车、金融、航运、生物医药等重点领域制定数据流动正面、负面清单。具体而言，跨境数据分为核心数据、重要数据、一般数据3个级别：
核心数据禁止跨境；
重要数据目录由临港新片区管委会制定，重要数据跨境可在通过临港新片区数据跨境服务中心进行申报材料初验后，向市委网信办申报数据出境安全评估；
一般数据清单由临港新片区管委会制定，一般数据可在满足相关管理要求，并向临港新片区管委会申请登记备案后自由流动。
《上海办法》同时明确若相关领域出台场景化重要数据目录，则该领域的一般数据清单自动失效。据悉，今年3月，第一批清单有望出台[注]。
[注] 信息来源：网信上海《117项举措有何特点，带来哪些新机遇？这场发布会详解上海如何落实推进自贸试验区高水平制度型开放》。
《天津规范》适用于天津自贸试验区内企业在生产经营过程中产生、收集、存储、传输和处理的数据的分类分级，不适用于国家秘密、政务数据。
《天津规范》重点明确了如下内容：
数据分类：企业数据分类由三层级构成，第一层级为13大类，如工业类；第二层级为40子类，如工业类下的智能汽车子类；第三层级的分类由数据处理者自行决定；
数据分级：企业数据分为核心数据、重要数据、一般数据3个级别，就重要数据判定，应参照相关法律、法规和规定，行业主管部门未明确判定标准时，可按照《天津规范》提出的标准识别，如“天津自贸试验区企业掌握的1000万人以上个人信息；100万人以上个人敏感信息；10万人以上且包含个人银行账户、个人保险账户、个人注册账户、个人诊疗数据等的个人敏感信息”“智能汽车领域汽车OTA参数”“相关退伍人员等敏感人群数字画像数据，对军工、政府类客户记录和跟踪的数据”构成重要数据，具体重要数据识别标准请见下图（可放大查看）。
《天津规范》同时要求企业根据如下图所示模板（可放大查看）向天津自贸试验区网络数据安全工作主管部门报送重要数据目录。
就“重要数据”的定义，两文件延续了《信息安全技术网络数据分类分级要求（征求意见稿）》的界定，均强调重要数据为“特定领域、特定群体、特定区域或达到一定精度和规模”，且其泄露或篡改、损毁，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全；仅影响组织自身或公民个体的数据，一般不作为重要数据。
考虑到重要数据的认定与数据出境安全评估义务密切相关，我们建议适用《上海办法》的相关企业，可进一步与临港新片区管委会沟通，等待相关数据清单的出台，以确定数据跨境策略；适用《天津规范》的相关企业，则可先行基于该规范指引，识别重要数据，就重要数据目录报送及可能的数据出境安全评估申报工作与天津市自贸试验区管委会及天津网信办进一步沟通。
了解更多，请访问以下链接：
《中国（上海）自由贸易试验区临港新片区数据跨境流动分类分级管理办法（试行）》：
https://www.lingang.gov.cn/html/website/lg/index/government/file/1756018881550389249.html；
《中国（天津）自由贸易试验区企业数据分类分级标准规范》：
https://shangwuju.tj.gov.cn/tjsswjzz/zwgk/zcfg_48995/swjwj/202402/t20240207_6534807.html。
NEWS
2024年2月5日及2月8日，《中国（天津）自由贸易试验区企业数据分类分级标准规范》（以下简称“《天津规范》”）及《中国（上海）自由贸易试验区临港新片区数据跨境流动分类分级管理办法（试行）》（以下简称“《上海办法》”）相继印发，指引相关辖区内数据处理者的数据分类分级工作，以促进数据依法依规、安全有序流动。
《上海办法》适用于（1）在临港新片区范围内登记注册的，或（2）在临港新片区开展数据跨境流动相关活动的数据处理者，有效期至2025年2月7日。
《上海办法》明确临港新片区管委会将区分领域，率先围绕汽车、金融、航运、生物医药等重点领域制定数据流动正面、负面清单。具体而言，跨境数据分为核心数据、重要数据、一般数据3个级别：
核心数据禁止跨境；
重要数据目录由临港新片区管委会制定，重要数据跨境可在通过临港新片区数据跨境服务中心进行申报材料初验后，向市委网信办申报数据出境安全评估；
一般数据清单由临港新片区管委会制定，一般数据可在满足相关管理要求，并向临港新片区管委会申请登记备案后自由流动。
《上海办法》同时明确若相关领域出台场景化重要数据目录，则该领域的一般数据清单自动失效。据悉，今年3月，第一批清单有望出台[注]。
[注] 信息来源：网信上海《117项举措有何特点，带来哪些新机遇？这场发布会详解上海如何落实推进自贸试验区高水平制度型开放》。
《天津规范》适用于天津自贸试验区内企业在生产经营过程中产生、收集、存储、传输和处理的数据的分类分级，不适用于国家秘密、政务数据。
《天津规范》重点明确了如下内容：
数据分类：企业数据分类由三层级构成，第一层级为13大类，如工业类；第二层级为40子类，如工业类下的智能汽车子类；第三层级的分类由数据处理者自行决定；
数据分级：企业数据分为核心数据、重要数据、一般数据3个级别，就重要数据判定，应参照相关法律、法规和规定，行业主管部门未明确判定标准时，可按照《天津规范》提出的标准识别，如“天津自贸试验区企业掌握的1000万人以上个人信息；100万人以上个人敏感信息；10万人以上且包含个人银行账户、个人保险账户、个人注册账户、个人诊疗数据等的个人敏感信息”“智能汽车领域汽车OTA参数”“相关退伍人员等敏感人群数字画像数据，对军工、政府类客户记录和跟踪的数据”构成重要数据，具体重要数据识别标准请见下图（可放大查看）。
《天津规范》同时要求企业根据如下图所示模板（可放大查看）向天津自贸试验区网络数据安全工作主管部门报送重要数据目录。
就“重要数据”的定义，两文件延续了《信息安全技术网络数据分类分级要求（征求意见稿）》的界定，均强调重要数据为“特定领域、特定群体、特定区域或达到一定精度和规模”，且其泄露或篡改、损毁，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全；仅影响组织自身或公民个体的数据，一般不作为重要数据。
考虑到重要数据的认定与数据出境安全评估义务密切相关，我们建议适用《上海办法》的相关企业，可进一步与临港新片区管委会沟通，等待相关数据清单的出台，以确定数据跨境策略；适用《天津规范》的相关企业，则可先行基于该规范指引，识别重要数据，就重要数据目录报送及可能的数据出境安全评估申报工作与天津市自贸试验区管委会及天津网信办进一步沟通。
了解更多，请访问以下链接：
《中国（上海）自由贸易试验区临港新片区数据跨境流动分类分级管理办法（试行）》：
https://www.lingang.gov.cn/html/website/lg/index/government/file/1756018881550389249.html；
《中国（天津）自由贸易试验区企业数据分类分级标准规范》：
https://shangwuju.tj.gov.cn/tjsswjzz/zwgk/zcfg_48995/swjwj/202402/t20240207_6534807.html。