數據出境安全管理是數據安全工作中的一項重要制度。這項制度由《網絡安全法》《數據安全法》和《個人信息保護法》三部法律規定，本身事關重大。尤其最近發生了“滴滴”受網絡安全審查事件，更使數據出境安全受到關注。近日，香港特別行政區財政司長陳茂波表示內地赴港IPO企業不存在數據安全憂慮，保證避免突然監管。但陳的發言引起業內一些疑慮。為此，我們邀請到內地-香港數據出境安全專家組內地組長左曉棟博士接受訪談，首次公開內地數據入港傳輸制度的現狀。
最近，香港特別行政區財政司長陳茂波受《南華早報》采訪時的發言引起社會關注。隨著滴滴等赴美IPO企業受網絡安全審查、美證監會對中概股出臺新政等一系列事件的發生，內地企業赴港上市的意愿激增，這對香港經濟發展是利好。陳接受采訪時指，他向內地公司保證，若選擇赴港上市，不會受突如其來的監管，也不存在數據安全問題。
陳司長上述發言有向內地企業拋橄欖枝之意，其作為香港特區政府重要崗位官員，言出“保證”自是非同凡響。“滴滴事件”阻止了一大批內地企業赴美上市步伐，有的企業因未能如期上市而面臨“對賭”失敗的結果，故任何有關香港股市的消息特別是數據安全監管消息都會刺激敏感的市場神經。
但這是香港方面能保證的事嗎？
我第一次遇到陳司長便是在貴陽大數據博覽會上，此后每周都收到其助理發來的《司長隨筆》。陳司長工作勤勉，文風嚴謹，我本人對其十分欽佩。我不知道他對《南華早報》所說的原話是什么，但至少就媒體報道而言，雖然其表態體現了特區政府的誠意，但確實還不能反映內地和香港之間數據安全問題的實質。
首先，“滴滴”事件中，“（突如其來的）監管”是中央政府的舉措，特區政府無權保證類似監管不再發生。
其次，內地企業赴港，有沒有數據安全問題？這也不是香港方面說了算。
作這兩個判斷，我有充足的依據，因為我見證了內地與香港關于數據跨境合作的全部過程。當然，我并不否認內地企業在香港上市的美好前景，但即使在“一國兩制”框架內，數據安全問題也十分復雜，不宜大而化之、粗線條處理。
2016年初，應香港方面邀請，特區政府資訊科技總監辦公室與中央網信辦網絡安全協調局達成網絡安全合作共識，此后連續舉辦了內地-香港網絡安全論壇；
2017年1月，在兩地網絡安全合作機制下，雙方合作成立內地-香港專家組，共同商議促進數據安全有序流動事宜，內地專家組長由我擔任，香港專家組長由時任特區政府資訊科技總監楊德斌先生擔任。
2018年6月，雙方決定啟動中國聯通香港公司數據出境安全評估項目，并于2019年1月結項；
2021年4月，以大灣區國際信息科技協會和全國信息安全標準化技術委員會的名義，召開了大灣區數據要素流通研討會，全國政協副主席梁振英、中央網信辦副主任趙澤良出席，會后中央網信辦委托香港方面牽頭起草數據跨境研究報告。
以上過程，本身就體現了中央政府對數據入港的大力支持，問題是要盡快找到合理的方案。
一、香港專家組最初的方案十分大膽，甚至可以說極具想象力，雖落地困難，但中央政府全力支持香港的立場始終未變
香港專家組所提方案的核心，就是使香港成為“國際數據港”。道理很簡單，在其國際金融中心、貿易中心、航運中心的地位受到挑戰且經濟下行壓力巨大的情況下，香港經濟的未來出路在哪里？一定是數字經濟。而數字經濟是由數據要素驅動的，因此必須使香港成為國際數據中心。
怎么使香港成為國際數據中心？香港專家組最初建議是，中央政府認可數據存在香港，視同存在境內，或至少認可一部分數據有這樣的地位。這樣，根據《網絡安全法》第三十七條提出的重要數據、個人信息應在境內存儲的要求，在華運營的國際企業會優先將服務器放在香港，使其快速成為事實上的“國際數據港”。
顯然，在現有條件下，這一建議是無法落地的，因為還欠缺一大批相應的制度性安排（例如，內地執法機關可以直接調取香港服務器上的數據嗎）。
但在內地-香港數據跨境問題上，中央政府的態度非常明確。那就是，雖然我國正在建立數據出境安全管理制度，但數據從內地進入香港的程序，一定是有別于常規的數據出境安全管理制度的，一定是簡化的、便利的，一定是支持香港經濟發展的。
二、數據無論以何種便利方式入港，必須保障兩點：內地要有決策權，以及由愛國者監管入港后的數據
2017年4月11日，國家互聯網信息辦公室對《個人信息和重要數據出境安全評估辦法》公開征求意見。其中第十五條規定，我國政府與其他國家、地區簽署的關于數據出境的協議，按照協議的規定執行。請注意時間，該條款提出的時間，正是兩地專家組密切磋商之際。可以明確地說，上文第十五條就是給香港預留的。而且現在還可以繼續說，如果將來我國與其他國家和地區簽署了數據安全協議，那么第一個一定是香港。
因此，在此后的磋商中，內地和香港專家組的核心工作，就是共同研究出一種既確保安全又程序簡單甚至可以有特殊安排的數據入港機制。
近幾年來，兩地專家組先后探討了多種機制，甚至研究了如何起草內地和香港的數據安全協議。這項工作目前還沒有結束，但無論如何，有兩點必須堅持。
一是數據入港過程中，內地要發揮決策作用。在認證機制中，雖然可以由港方的行業協會對在港數據接收者進行認證，經過認證的機構可以直接接收內地數據，但如果認證過程缺少內地的決定性參與，我認為是不妥的。那么，能否改由內地機構同時對位于內地的數據發送者和位于香港的數據接收者進行認證？我認為這則是可以考慮的。
二是數據流入香港后，香港方面應當建立數據監督機制，且這個機制應當由愛國者執行。道理不復雜，數據是戰略資源，由誰監管、掌握在誰的手上很關鍵?！皭蹏咧胃邸笔侵醒胝疄檠a上香港特區制度的漏洞而提出的重要政策，應當在數據跨境安全管理問題上有所落實。
三、香港數據安全問題不只是技術問題，香港網絡空間的屬性認定必有一天要提上議事日程
很多人說，香港有實施多年的《個人私隱條例》，香港關于數據安全的法制環境是在全世界最好的。此話也許不假，陳茂波司長在采訪時也提到了這一點。而且我本人每次見到港府前個人資料私隱專員黃繼兒大律師，也都希望向其請教特區政府保護個人信息的好做法。
但這只是香港數據安全問題的其中一面。在研究數據入港安全的過程中，我常常感到問題很復雜。
可以舉出兩個例子。
在香港“反修例”動亂中，亂港分子恣意公布了香港警員及其家人、愛港人士的信息，甚至將其寫入區塊鏈，不可刪除。為此，特區立法會啟動了《個人私隱條例》的修訂，建議將“起底”行為刑事化。但這樣一種保護個人信息的“基本操作”，居然在香港收到了一大波抗議，其中很多抗議來自西方國家。
依然是在“反修例”動亂中，西方國家反華勢力潛入香港。他們根據收集的個人信息，將香港愛國愛港人士分為18類，針對每類人群擬定“最直擊人心”的文宣方案，甚至進駐社區，針對性開展“洗腦”工作。
因此，香港數據安全問題，本質上是已經是政治安全問題、國家安全問題。在現有條件下，香港數據安全不是誰可以保證得了的。
我們常說，網絡空間同現實空間緊密交織、相互作用，是國家主權新疆域。那么問題來了，我們早已在1997年對香港恢復行使主權，香港當然位于我們的主權疆域，但香港的網絡空間是我們的嗎？在我們不掌握香港網絡空間主權的情況下，我不認為我們真正收回了香港的主權，這根本就是國家安全的巨大漏洞。在我們已經通過香港國安法，并設立了中央駐港國安公署的情況下，應當擇機將此事納入議事日程。
數據已經被推向維護國家安全第一線。香港數據安全問題，必須在這樣一個背景下綜合研判。
四、內地數據出境安全管理試點進展緩慢的原因
最后，我認為有必要再討論一下目前國內開展的數據出境安全管理試點工作。這雖然不屬于內地-香港數據出境的范疇，但香港的探索過程可以提供借鑒。
新華社2020年6月1日報道，中共中央、國務院印發了《海南自由貿易港建設總體方案》，要求在國家數據跨境傳輸安全管理制度框架下，開展數據跨境傳輸安全管理試點，探索形成既能便利數據流動又能保障安全的機制。特別是，還要創新數據出境安全的制度設計，探索更加便利的個人信息安全出境評估辦法，以及積極參與跨境數據流動國際規則制定。
《商務部關于印發全面深化服務貿易創新發展試點總體方案的通知》（商服貿發〔2020〕165號）則進一步提出了四個試點地區，要求在北京、上海、海南、雄安新區等地區探索跨境數據流動分類監管模式，開展數據跨境傳輸安全管理試點。
顯然，內地-香港的數據出境場景要比以上的試點場景簡單，但也并非一蹴而就。有些教訓，值得借鑒。
尤其是，在上述的試點中，目前存在著政策不同步、兩張皮的現象，推進情況很不樂觀，這需要及時調整工作思路。有兩方面的問題需要注意，一是要和數據出境安全主管部門做好對接，地方方案是在主管部門制度框架下設計，有些事情屬于中央事權；二是要意識到，數據出境管理問題既涉及“內”，也涉及“外”，“外”的因素不能不考慮，且應當同步考慮。
本文來自安全內參，如有侵權聯系刪除
浙公網安備 33010502006954號 
