附件1

中国（广西）自由贸易试验区

数据出境负面清单管理办法（试行）

第一章 总 则

【目的依据】

为保障国家数据安全，保护个人信息权益，提升中国（广西）自由贸易试验区（以下简称广西自贸试验区）数据出境管理能力及便利度，促进数据高效便利安全跨境流动，加快对标国际高标准经贸规则，稳步扩大制度型开放，加快打造引领中国—东盟开放合作的高标准高质量自由贸易园区，根据《中华人民共和国数据安全法》《中华人民共和国网络安全法》《中华人民共和国个人信息保护法》和国家互联网信息办公室《促进和规范数据跨境流动规定》等要求，制定本办法。

【适用范围】

本办法适用于在广西自贸试验区范围内登记注册并开展数据出境等相关活动的企业、事业单位、机构、协会和其他组织等数据处理者。

【基本原则】

（一）坚持安全底线。负面清单管理应当遵循国家法律规定，采取有效的安全技术措施和管理措施，健全安全管理机制和技术保障能力，在确保数据安全的前提下，推动数据依法有序流动。

（二）需求正当必要。数据处理者开展数据出境活动时，应确保出境的数据只满足业务功能所必需的最少类型和数量的信息，不得损害相关自然人、法人、非法人组织的合法权益。

（三）分类分级管理。遵循国家数据分类分级保护要求，按照数据所属行业领域进行分类分级管理。负面清单中的数据，按照敏感程度可分为适用数据出境安全评估的数据、适用个人信息出境标准合同备案或个人信息保护认证的数据。

（四）推动产业发展。充分考虑数据处理者的数据出境实际需求和产业发展情况，科学合理制定场景化的数据分类清单，最大程度便利数据出境活动，促进跨境业务高质量发展。

第二章 职责及分工

【管理主体】

自治区网信办、自治区数据局、自治区商务厅、中国（广西）自由贸易试验区工作办公室（以下简称自治区自贸办）负责统筹协调广西自贸试验区数据出境相关工作，按职责开展数据出境安全评估和监管工作。

自治区公安厅、广西国家安全厅加强对数据处理者数据出境活动的指导监督，强化事前事中事后全链条全领域监管。

自治区各行业主管部门做好本行业领域数据分类分级等工作，协助制定本行业领域负面清单，加强对数据处理者数据出境活动检查工作。

【数据跨境流动协调工作小组】

自治区网信办、自治区数据局、自治区商务厅、自治区自贸办、自治区公安厅、广西国家安全厅和自治区各行业主管部门共同建立广西自贸试验区数据跨境流动协调工作小组（以下简称数据跨境流动协调工作小组）。

数据跨境流动协调工作小组综合协调解决数据出境相关重大问题，统筹制定广西自贸试验区数据出境发展规划、工作计划和政策措施，建立健全有关规章制度；统筹分批次制定或更新各行业领域负面清单；服务指导数据出境，组织开展负面清单实施工作，推动建立数据跨境流动服务平台，为广西自贸试验区数据处理者提供出境数据类型研判、数据出境安全评估、个人信息出境标准合同备案等数据合规综合服务；推动健全数据出境安全评估制度，加强对数据处理者数据出境活动的指导监督。

【数据处理者】

数据处理者分为关键信息基础设施运营者和关键信息基础设施运营者以外的数据处理者。

数据处理者应对数据出境安全负主体责任，按照行业主管部门发布的数据分类分级标准规范和《中国（广西）自由贸易试验区数据分类分级参考规则》等相关规定，结合参考《数据安全技术 数据分类分级规则》（GB/T 43697—2024）等国家标准做好数据分类分级管理，积极参与本行业领域负面清单制定工作。

数据处理者需要按照相关规定识别、申报重要数据。未被相关部门、地区告知或者公开发布为重要数据的，数据处理者不需要作为重要数据申报数据出境安全评估。

数据处理者应按照数据跨境流动协调工作小组相关要求开展数据出境活动，并配合开展跟踪核验和监督检查等工作。

第三章 数据管理

【数据分类分级管理】

遵循国家数据分类分级保护要求，对数据进行分类分级管理。

数据分类管理：按照各行业主管部门发布的行业领域数据分类分级标准规范要求，对数据实行先按行业领域分类、再按业务属性分类的管理模式。

数据分级管理：按照《数据安全法》要求，数据分级从高到低依次分为核心数据、重要数据、一般数据3个级别。

国际贸易、跨境运输、学术合作、跨国生产制造和市场营销等活动中收集和产生的数据向境外提供，不包含个人信息或者重要数据的，免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。

第八条【负面清单】

负面清单指根据《网络数据安全管理条例》《数据出境安全评估办法》《个人信息出境标准合同办法》《促进和规范数据跨境流动规定》等政策法规，需要纳入数据出境安全评估、个人信息出境标准合同、个人信息保护认证管理范围的数据清单。

广西自贸试验区可结合各行业领域特点、企业需求等因素制定负面清单。

负面清单按照行业领域分批次制定。

关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于国家核心数据，实行更加严格的管理制度，不纳入负面清单管理。

数据源头为政府部门采集和产生的重要数据，且未获得授权使用的，不纳入负面清单管理，按照有关法律、行政法规、规定执行。

负面清单涉及的行业领域中，如涉及《中华人民共和国出口管制法》规定的管制物项相关技术资料等数据或《中华人民共和国对外贸易法》规定的技术出口管理事项等数据出境的，按照《中华人民共和国出口管制法》《中华人民共和国对外贸易法》等法律、法规、规章规定执行。

全国其他自贸试验区正式发布的负面清单，广西自贸试验区可参照执行。

第四章 负面清单制定及管理

第九条【负面清单制定】

负面清单制定主要包括以下工作流程：

（一）需求调研。聚焦广西自贸试验区产业发展和数据处理者实际需求，遴选重点行业领域组织开展调研，从业务场景、类别、量级、字段等方面摸排掌握出境数据情况，作为负面清单制定依据。

（二）重要数据识别。在自治区数据安全工作协调机制的统筹协调下，自治区各行业主管部门依据《数据安全法》及相关法律、法规和规定，明确重要数据识别标准，对数据进行分类分级，形成广西自贸试验区重要数据目录，并按程序向国家数据安全工作协调机制办公室备案。行业主管部门已公开发布或已在行业内部发布本行业、本领域数据分类分级标准规范的，优先按照其规定识别重要数据；行业主管部门未明确判定标准的，按照《中国（广西）自由贸易试验区数据分类分级参考规则》识别重要数据。

（三）业务场景分析。结合调研结果及重要数据识别结果，选取数据出境需求迫切、流动频繁的业务场景，对数据出境的规模、范围和频率进行分析，为风险可控的数据出境业务场景合理设置数据项及数据量级。

（四）论证与征求意见。邀请行业、法律、数据安全等领域专家开展评审论证，并征求相关行业主管部门、有关职能部门意见进一步修订完善。

（五）履行审批报备流程。负面清单应经自治区数据安全工作协调机制审核通过后，报自治区网络安全和信息化委员会批准，由自治区网信办、自治区数据局联合报国家网信部门、国家数据管理部门备案。

第十条【负面清单内容】

负面清单应至少包含以下两方面内容：

需要通过数据出境安全评估的数据清单，主要包括：

关键信息基础设施运营者向境外提供个人信息或者重要数据；关键信息基础设施运营者以外的数据处理者向境外提供重要数据，或者向境外提供达到负面清单要求申报数据出境安全评估的个人信息。

（二）需要通过个人信息出境标准合同备案、个人信息保护 认证出境的数据清单，主要包括：关键信息基础设施运营者以外的数据处理者向境外提供达到负面清单要求订立个人信息出境标准合同或者通过个人信息保护认证的个人信息。

第十一条【负面清单运行】

负面清单适用于在广西自贸试验区范围内登记注册并开展数据出境活动，且出境数据属于负面清单所列行业领域的数据处理者。

数据处理者开展数据出境活动前，应当自主识别和认定出境数据类型、数量等，并对出境数据是否适用于负面清单进行研判。

出境数据属于负面清单所列行业领域的，经研判，出境数据属于负面清单内的，需要按照负面清单要求，申报数据出境安全评估、订立个人信息出境标准合同或通过个人信息保护认证；出境数据不属于负面清单内的，数据处理者可自行向境外提供。

出境数据不属于负面清单所列行业领域的，按《网络数据安全管理条例》《数据出境安全评估办法》《个人信息出境标准合同办法》《促进和规范数据跨境流动规定》等国家相关规定执行。

第五章 监督管理

第十二条【监督检查】

自治区网信办、自治区数据局、自治区公安厅、广西国家安全厅会同自治区各行业主管部门加强对数据处理者的数据出境活动的监督检查以及抽查，数据处理者应予以积极配合。

第十三条【应急预案】

数据处理者应建立数据安全应急预案，针对数据出境活动中发生的安全事件，及时停止数据出境活动。

第十四条【违规处置】

若数据处理者在数据出境过程中未严格履行相关承诺，或出现其他违规行为的，相关单位可立即暂停或终止数据出境。数据处理者需继续开展数据出境的，应按照要求整改，并提交整改报告。

第十五条【违规追责】

数据处理者对自身所提交材料的真实性、安全性、合规性等承担法律责任，若发现违反有关法律法规的行为，由相关单位依法追究其法律责任。

第六章 附 则

第十六条【法律适用】

法律、行政法规或者国家网信部门、行业主管部门另有规定的，从其规定。

第十七条 【鼓励支持】

鼓励企业、科研院所、高等院校以及行业协会等参与制定行业领域内的负面清单，并给予相应支持。

第十八条 【办法解释及试行日期】

本办法由自治区网信办、自治区数据局、自治区商务厅、自治区自贸办负责解释，自发布之日起试行，有效期2年。

附表：中国（广西）自由贸易试验区数据分类分级参考规则

附表

中国（广西）自由贸易试验区数据分类分级参考规则

重要数据统一识别参考规则:

1.本参考规则适用于非涉密数据，涉密数据按相关规定执行。

2.广西自贸试验区企业掌握的1000万人以上个人信息（不含敏感个人信息）；100万人以上敏感个人信息；10万人以上且包含个人银行账户、个人保险账户、个人注册账户、个人诊疗数据等的个人敏感信息。

3.被国家认定为关键信息基础设施的运营者掌握的 10 万人以上个人信息。

4.广西自贸试验区企业在研发设计过程、生产制造过程、经营管理过程中收集和产生的与行业竞争力、行业生产安全相关的高价值敏感数据；涉及国家安全的企业供应链相关数据。

5.广西自贸试验区企业掌握的关系国计民生领域的自动控制系统参数以及控制、运行维护、测试数据。
一级类别	二级类别	数据基本信息描述	重要数据识别参考规则（示例）
（一）战略物资和大宗商品类	1.石油、石化和天然气	包括存储与交易数据、国际贸易数据等。	石油、石化、天然气领域可能推算出涉及国家重大战略的重要领域运行状况、发展态势、增长速度等的产品产量数据、国际贸易数据等。粮食、棉花、食用植物油、食糖、肉类、乳制品等大宗农产品战略储备数据以及未公开的国际合作数据、国际贸易数据，涉及农作物、畜禽、水产珍稀濒危种质资源（含基因）类别、数量等方面的可能影响生物安全的数据，未公开的农业农村统计数据、检验监测数据、防疫检疫数据，达到一定精度或者未公开的地理信息数据。
2.农产品	包括种质资源数据、国际合作数据、国际贸易数据、战略储备数据等。
（二）自然资源和环境类	3.地理信息	包括基础地理信息数据，可细分为定位基础数据、地名地址数据、地形地貌数据、基础地理实体数据，其他基础地理信息数据；遥感影像数据，可细分为原始影像数据、影像产品数据和其他遥感影像数据等；专题地理信息数据，可细分为自然资源、生态环境等领域的专题地理信息。	达到国家规定的覆盖度、精度和尺度等，或表现敏感区域和目标的基础地理信息数据和遥感影像数据。服务军事、国防科研、高科技领域的各类气象监测数据。不宜公开发布的具有军事价值的海洋环境监测数据、灾害防御数据等。能够反映水旱灾情、工程险情等水旱灾害防御业务数据，险工险段等水利基础数据，不宜公开的国家水资源、水环境基础数据、水情信息、水文观测数据等，满足一定精度要求的遥感影像、数字孪生水利地理空间数据等，重点水利工程物理安全保护情况等。
4.气象	包括气象监测数据、空间大气监测数据、气象保障数据、区域气象数据、雷达基数据、气象台站元数据等。
5.海洋	包括海洋环境数据、海洋资源数据。
6.环保	包括反映污染物排放水平的自行监测、接受行政处罚或其他污染物排放等数据。
7.水利	包括江河湖泊、水利工程、监测站等水利基础数据，水旱灾害防御、水资源、水文、水环境、节约用水、移民等水利业务数据，数字孪生水利地理空间数据等。
（三）工业类	8.钢铁、有色金属	参照《工业领域重要数据识别指南》（YD/T4981-2024）识别。	具有重要军用、民用价值的有色金属储量、产量、采购量等数据，国家钢铁、有色金属战略储备数据或战略性有色金属矿床的重要地质数据，富含重要伴生矿资源的矿区数据。我国独特掌握的稀土开采、冶炼等生产技术数据。大宗原材料信息，以及能够左右原材料采购定价权的数据。

9.稀土	参照《工业领域重要数据识别指南》（YD/T4981-2024）识别。
10.其他矿产	包括储量数据、国际合作数据、国际贸易谈判数据、与矿产有关的产业发展布局情况。
11.化学工业	参照《工业领域重要数据识别指南》（YD/T4981-2024）识别。	广西自贸试验区企业掌握的重点危险化学品检测监控、关键工艺、设备运行、产量储量等数据。民用核设施领域科研试验数据，运行监控数据等。电子信息行业先进技术、集成电路先进设计和制造技术、重大计算装备设计数据、算法和软硬件架构以及重要电子元器件设备国产化率等信息。
12.电力	包括发电厂生产数据、输配电数据、建设运维数据。
13.电子信息	参照《工业领域重要数据识别指南》（YD/T4981-2024）识别。
14.民用核设施	包括民用核设施科研中的试验或测试数据，核设施相关设计和制造工艺信息，核设施运行监控数据。
15.工业装备	参照《工业领域重要数据识别指南》（YD/T4981-2024）识别。	关系我国科技实力、影响我国国际竞争力的汽车关键零部件研发和生产数据，如车身稳定控制系统、主动减震器系统相关研发数据。用于研发生产的智能网联汽车自动驾驶模型训练数据。规上工业企业使用的工业互联网或工业控制系统安全运行保障数据。

16.智能网联汽车	参照《工业领域重要数据识别指南》（YD/T4981-2024）识别。
17.其他	参照《工业领域重要数据识别指南》（YD/T4981-2024）识别。
（四）国防科技工业类	18.国防科技工业类	包括经营管理、研发设计、生产制造、试验验证、维修保障等数据。	与国家军事、经济、科技、网络安全相关的数据，综合反映国防科技工业重要企事业单位科研与生产能力的数据，汇总后能反映国防科技工业整体情况的数据，国防科技工业领域相关特色重要数据。
（五）电信类	19.电信	参照《电信领域重要数据识别指南》（YD/T3867-2024）识别。	重要网络设施和信息系统建设规划数据、性能参数数据、监测分析数据、运行维护数据、统计分析数据等。
（六）广播电视和网络视听类	20.广播电视	包括广播电视节目采集拍摄、制作播出、传输覆盖、分发服务、监测监管等环节处理的数据。	未公开的视听创作内容，被滥用可能导致意识形态安全、公共安全的视听内容，省级及以上广电机构传输覆盖数据，广电视听监测监管数据，以及广播电视行业关键信息基础设施、重要网络和信息系统规划建设数据、运行维护数据、关键资源、安全保障数据等。
21.网络视听	包括网络视听节目采集拍摄、制作播出、分发服务、监测监管等环节处理的数据。
（七）金融类	22.银行	包括银行客户数据、业务数据、经营管理数据、系统运行和安全管理数据等。	银行、保险、证券期货及融资租赁领域的机构安保信息，以及其处理的重要企事业单位业务数据，包括国防军工企业、关系国家安全企业的相关信息。
23.保险	包括保险机构客户数据、业务数据、经营管理数据、系统运行和安全管理数据等。
24.证券期货	包括投资者类数据、技术类数据、业务类数据等。
25.融资租赁	包括客户数据、企业交易数据、经营管理数据等。
（八）交通运输类	26.交通	包括铁路交通、公路交通、道路运输、城市交通、水路交通、民用航空、邮政管理、综合管理等数据。	铁路交通、公路交通、道路运输、城市交通、水路交通、民用航空、邮政管理等领域影响生产安全的控制类数据、施工建设过程中获取的自然资源类数据、未公开的线路图、关键站点等数据，以及被泄露、篡改可能造成重大交通事故的数据。
（九）卫生健康和食品药品类	27.遗传资源	包括自然人基因数据、人类遗传资源信息等与种族、群体健康相关的数据。	反映种族整体情况或关系生物安全的遗传资源数据，关系国家安全、生命安全、人类自身安全的食品、药品、生物安全和疾控数据。特定领域、特定群体、特定区域或达到一定精度和规模的涉及人民群众生命健康和安全的医疗领域诊疗数据。
28.健康医疗	包括医疗服务、电子病历、电子健康档案、医学研究等各类数据，健康数据、医疗救援保障数据、特定药品实验数据等，或对患者健康医疗数据的开发利用结果。
29.食品	包括食品安全溯源标识数据，食品生产中自动控制系统的参数和控制类数据。
30.药品	包括药品供应、药品审批过程中提交的实验数据，以及与药品生产流程、生产设施有关的试验数据。
31.生物安全	包括病毒研究或生物实验室相关数据。
32.疾控数据	包括突发公共卫生事件及与传染病相关的疫情、治疗、疫苗、死因等数据。
（十）公共安全类	33.物理安全	包括建筑基础数据、安保装备数据等。	一旦遭到非法利用，可能给社会稳定造成严重危害的重要目标基础数据、安保装备数据、敏感场所安保部署数据；关键信息基础设施或重要网络规划、安全运行数据。
34.网络安全	包括自贸试验区企业信息系统设计运行数据、网络设施拓扑架构数据、安全保障数据等。
（十一）互联网服务和电子商务类	35.互联网平台服务	包括提供互联网服务过程中产生的各类数据。	在提供互联网服务过程中产生的可用来实施社会动员的数据，相关退伍人员等敏感人群数字画像数据，对军工、政府类客户记录和跟踪的数据。可能影响国家安全和社会公共利益的人工智能训练数据、算法源代码、关键组件数据、控制程序等数据。
36.人工智能服务	包括人工智能训练数据、算法源代码、关键组件数据、控制程序等数据。
（十二）科学技术类	37.知识产权和重大发现	包括涉及国防、国家安全或其他非公开的知识产权，其他能显著提升国家安全能力或直接影响国家安全的科研论文、观测数据、产业化成果等。	涉及国防、国家安全的知识产权数据。被列入《中国禁止出口限制出口技术目录》有关数据。
38.禁止出口限制出口技术	包括《中国禁止出口限制出口技术目录》所列技术有关的数据。
（十三）其他数据类	39.属于出口管制法管制的相关数据	包括列入国家出口管制清单的相关物项数据。	与国家安全和利益、履行防扩散等国际义务相关属于出口管制法管制的数据。其他可能影响国家政治、国土、军事、经济、文化、社会、科技、网络、生态、资源、核、海外利益、太空、极地、深海、生物等安全，符合重要数据定义的数据。
40.其他可能影响国家政治、国土、军事、经济、文化、社会、科技、网络、生态、资源、核、海外利益、太空、极地、深海、生物等安全的数据。