DEPA框架下海南自由贸易港数据跨境流动法治保障研究

DEPA 框架下海南自贸港数据跨境流动法治保障困境

(一) 海南自贸港数据跨境流动治理现状

海南自贸港在数据跨境流动治理方面已进行了一系列积极探索，初步构建了制度框架并开展了场景化试点。在制度层面，海南先后出台《智慧海南总体方案 (2020-2025 年)》《海南省培育数据要素市场三年行动计划》等政策文件，并制定了《海南自由贸易港跨境数据流动分类分级管理办法 (试行)》，为数据分类分级管理奠定了基础。特别是《海南自由贸易港数据出境管理清单 (负面清单)》的探索，尝试以“非禁即可”的原则提升数据出境便利度。在实践层面，海南围绕“游戏出海”“来数加工”等特色产业开展场景化试点，并积极推进国际数据中心和海底数据中心等基础设施建设，旨在增强数据跨境流动的物理承载能力。这些举措表明，海南正努力将数据跨境流动从政策理念转化为具体实践。

(二) 海南自贸港跨境数据流动治理法治保障同 DEPA 规则存在的差距

1. 现行数据跨境管理制度与 DEPA 自由流动原则的适配性问题。当前海南自贸港的数据跨境管理制度与 DEPA 倡导的数据自由流动原则存在显著差异。DEPA 在模块 4“数据传输”中明确规定，缔约方应允许通过电子方式跨境传输信息，包括个人信息，且仅限用于开展业务的必要场景。而海南目前仍以安全评估为核心管理手段，虽已出台《海南自由贸易港数据出境管理清单 (负面清单)》，并规定开展国际数据中心业务可免予申报数据出境安全评估，但整体框架仍偏重安全优先的审慎监管。这一制度差异导致企业在实践中面临合规成本高、流程复杂等挑战。海南自贸港需要解决如何平衡数据安全与流动自由关系的问题，在确保安全的前提下降低企业合规负担，构建与 DEPA 规则相衔接的监管模式。

2. 数据分类分级与跨境规则细化问题。海南自贸港目前的数据分类分级体系尚不足以支持 DEPA 框架下的精细化流动管理。虽然国家互联网信息办公室公布的《促进和规范数据跨境流动规定》为自贸试验区设立了负面清单制度，但在具体操作层面，海南在数据分类分级标准的国际兼容性与可操作性方面仍存在不足。关键问题体现在：一方面，现有分类分级体系与 DEPA 成员国标准存在差异，难以实现国际互认；另一方面，针对不同级别数据的跨境流动规则不够具体，特别是对重要数据与一般数据的区分管理缺乏细化标准。海南需要结合 DEPA 框架下的个人信息保护原则，制定更加精细化的数据分类分级标准，并在深海、种业、商业航天等特色领域建立差异化的跨境流动规则。

3. 创新机制缺失与配套制度不完善问题。海南自贸港在对接 DEPA 创新机制方面存在明显短板，缺乏如“数据监管沙盒”“数据保护可信任标志制度”等 DEPA 倡导的促进数据合规流动的微观机制。同时，在数字身份、电子发票、电子支付等配套制度方面海南虽已起步，但体系的完整性、协同性和国际化水平仍需加强。具体而言，海南在以下方面存在不足，一是数据跨境流动的可信环境建设滞后，未能建立 DEPA 倡导的数字身份互认机制；二是政府数据开放共享程度有限，与 DEPA 要求的公共部门数据再利用机制存在差距；三是跨境合作机制不健全，尚未与 DEPA 成员国建立稳定的数据流动合作渠道。这些问题导致海南难以有效对接 DEPA 的高标准规则，制约了数据跨境流动的效率与安全性。

DEPA 框架下海南自贸港数据跨境流动法治保障完善建议

为有效对接DEPA,海南自贸港应充分利用《海南自由贸易港法》授予的立法权限，进行大胆的制度创新，构建一套系统性的法治保障体系。

(一) 重构跨境数据流动的监管理念与制度目标

对接 DEPA 规则，需要在制度目标层面完成从“安全优先”向“安全与流动并重”的理念转型。DEPA 在模块 4“数据传输”中明确提出，缔约方原则上应当允许信息通过电子方式进行跨境传输，仅在实现合法公共政策目标所必需的限度内设置例外。这一规则表明，数据自由流动并非安全风险的对立面，而是数字经济背景下促进贸易便利化与产业发展的基本前提。相较之下，海南自贸港现行的数据出境监管仍以安全评估为核心制度工具，即便通过负面清单等方式引入一定程度的便利化安排，其整体制度逻辑仍然体现出明显的事前审查取向。这种制度安排在初期有助于防范系统性风险，但在数据要素日益成为国际贸易关键资源的背景下，容易抬高企业合规成本，削弱制度的可预期性和国际吸引力。为此，海南自贸港应在国家数据安全法治框架允许的范围内，进一步明确“促进合法、合规的数据跨境流动”作为制度建设的重要目标，将数据自由流动确立为原则性规则，将安全审查定位为必要的、有限的例外。在具体制度设计上，应当通过立法或政策文件明确海南自贸港对接 DEPA 的基本立场，即在不损害国家安全、公共利益和个人信息权益的前提下，最大限度降低对一般商业数据跨境流动的制度性限制。这种理念上的转变，有助于为后续制度工具的创新和规则细化提供明确的价值指引。

(二) 完善跨境数据流动的规则体系

在监管理念调整的基础上，海南自贸港需要进一步完善跨境数据流动的规则体系，使其在结构和内容上与 DEPA 的规则模式相衔接。结合前文差距分析，可以从负面清单制度与数据分类分级规则两个方面重点推进制度优化。

首先，应当进一步强化负面清单在数据出境监管中的基础性地位。DEPA 并未对数据类型作出高度刚性的限制，而是通过原则性规定与例外条款相结合的方式，为成员国保留必要的监管空间。海南自贸港目前已经探索建立数据出境负面清单制度，但在实践中仍存在适用范围有限、清单更新机制不够灵活等问题。未来可考虑在总结试点经验的基础上，逐步扩大负面清单的适用领域，对负面清单以外的数据出境活动原则上实行备案制或事后监管，从而实现监管资源的精准配置。

其次，应当推动数据分类分级规则与跨境流动制度的深度衔接。当前海南在数据分类分级方面尚未形成与跨境流动直接对应的操作性规则，导致分类分级制度在实践中更多停留于抽象层面。对此，可以借鉴 DEPA 成员国的作法，围绕个人信息、一般商业数据与重要数据等不同类别，分别设置差异化的跨境流动规则。例如，对于不涉及敏感个人信息的一般商业数据，可在满足基本合规义务的前提下，允许其自由跨境流动；对于涉及个人信息的数据，则通过强化企业合规责任、推动标准合同和认证机制的适用，实现安全与流动的平衡；而对于重要数据，则继续保留严格的安全评估和审批机制。

此外，在深海科技、种业、商业航天等海南自贸港特色产业领域，可以探索制定专门的数据跨境流动指引，结合产业特点细化分类分级标准，增强规则的可操作性和针对性，从而更好地服务于海南自贸港重点产业的发展需求。

(三) 引入 DEPA 倡导的创新机制

除规则体系的完善外，海南自贸港还需要在治理机制层面积极引入 DEPA 倡导的制度创新工具，以提升跨境数据流动法治保障的灵活性和适应性。前文已指出，海南在数据监管沙盒、可信数据流动机制等方面仍存在明显不足，海南自贸港跨境数据流动治理法治保障同 DEPA 规则存在差距，有必要通过制度创新加以弥补。

首先，探索建立跨境数据流动监管沙盒机制。在确保风险可控的前提下，允许符合条件的企业在特定场景中先行先试跨境数据流动的新模式，并通过动态监管及时评估风险、调整规则。这种机制不仅有助于降低制度创新的不确定性，也符合 DEPA 所强调的包容审慎监管理念。其次，推动数据保护可信任标志和认证制度建设。DEPA 鼓励通过认证、标准合同等方式促进数据在不同法域之间的合规流动。海南自贸港可以在国家层面制度框架下，探索建立与国际标准接轨的数据保护认证机制，对符合高水平数据保护要求的企业给予跨境流动便利，从而通过市场化工具引导企业提升合规水平。最后，加强数字基础设施和配套制度建设。跨境数据流动的顺畅运行，离不开数字身份、电子支付、电子发票等配套制度的支持。海南自贸港应当在现有基础上，进一步推动这些制度的标准化和国际化，积极探索与 DEPA 成员方之间的互认机制，为数据和数字服务的跨境流动提供制度支撑。

(四) 完善多层次合作机制

对接 DEPA 框架下的数据跨境流动规则，不仅是国内制度完善的问题，也涉及跨境合作机制的构建。海南自贸港作为对外开放的重要窗口，应当在国家总体外交和经贸战略框架下，积极探索多层次的数据治理合作路径。一方面，可以依托自由贸易协定、经贸合作机制等平台，推动与 DEPA 成员国在数据保护标准、监管规则和执法协作方面的对话与协调，逐步实现规则互认或等效认可；另一方面，可以通过建立跨境数据流动合作示范项目，在特定行业和场景中先行开展制度对接，为更大范围的规则衔接积累经验。

查看完整文章内容请点击下方链接：

DEPA 框架下海南自由贸易港数据跨境流动法治保障研究.pdf

| 来源：《中国价格监管与反垄断》2026 年第 7 期 / 黄振晔、张羽

| 转载出于非商业性目的，旨在分享，如若侵犯了原作者或相关方的合法权益，请联系公众号予以删除。