专家解读｜从“首创一张清单”到“构建一套体系”：北京数据出境负面清单改革再升级

网信北京

专家解读

北京理工大学法学院教授、全国网络安全标准化技术委员会委员  洪延青

从“首创一张清单”到“构建一套体系”：

北京数据出境负面清单改革再升级

在我国数据跨境流动制度建设加快推进的背景下，北京近日推出的新一轮数据出境负面清单改革措施，值得高度关注。2024年8月，北京率先发布全国首个场景化、字段级自贸试验区数据出境负面清单，围绕汽车、医药、民航、零售、人工智能等5个领域，细化出23个业务场景和198个具体字段，率先把“哪些数据可以便利出境、哪些数据仍需履行安全评估或标准合同等程序”讲清楚、讲具体。北京当时的创新，不只是推出了一张清单，更重要的是证明了负面清单这种制度工具在数据出境场景中是可行、可操作、可复制的。2024年3月国家出台《促进和规范数据跨境流动规定》后，北京也正是在这一制度基础上率先完成了地方化、场景化落地。

如果说2024年的北京，解决的是数据出境负面清单“能不能做”的问题，那么这一次落地的改革，解决的则是“怎么把负面清单从局部试点做成一整套制度体系”的问题。北京这轮改革的主线非常清晰：一是从自贸试验区走向“两区”协同、全市适用，二是从单张清单走向动态扩容，三是从规则发布走向管理办法、分类分级、服务体系、监管机制协同发力。换句话说，北京这次并不是简单“再发几张清单”，而是在把数据出境便利化从一个政策点位升级为一套制度型开放工具箱。

此次改革最突出的创新，是政策适用边界的实质性扩围。在此次改革中，北京将把原先主要适用于自贸试验区的负面清单政策，推广应用到国家服务业扩大开放综合示范区，也就是北京市全域。这个变化看似只是“适用范围扩大”，实则意味着制度位阶和治理尺度的变化。过去，企业能否适用负面清单，很大程度上受限于是否位于自贸试验区内；今后，只要是在北京开展经营、确有数据出境需求的企业，就可以在全市范围内平等适用这一便利化安排。这是全国范围内首批将数据出境负面清单管理机制由自贸区拓展至省级行政区全域，标志着北京的数据跨境流动改革正在实现从“试点探索”到“全域治理”的跃升。其意义在于，数据制度创新不再停留在园区试验层面，而是开始成为首都营商环境和制度型开放能力的一部分。

比扩围更有制度含量的，是北京构建的“自主扩容+按需跨省应用”双轨机制。此前，各地负面清单大都立足本地产业、各自编制、各自适用，地方创新成果的外溢性相对有限。而北京这次一方面自主编制第二批清单，补齐本地重点产业领域的制度供给；另一方面，又按照“一地制定、多地适用”的思路，对于企业确有使用需求的外省市负面清单，履行必要报审程序后适时纳入管理体系。这一机制的真正创新点，在于它不再把地方清单视为孤立政策，而是把全国先行先试的规则成果整合成北京可以直接调用的制度资源。对于企业来说，这相当于在北京就能更低成本地对接全国范围内已经形成的高水平制度成果；对于全国改革来说，这也有助于加快不同地区规则趋同，推动负面清单从地方探索走向更高层级的标准化、协同化。

从行业覆盖看，北京这轮改革围绕首都重点产业布局进行了一次有针对性的结构性补位。新增的医疗器械、自动驾驶（智能网联汽车）、贸易物流、银行业4张清单，再加上原有的汽车、医药、民航、零售、人工智能，形成9个行业板块的本地清单体系。这样的布局，与北京当前产业开放方向高度一致：医疗器械回应的是生物医药与高端器械协同发展的现实需求，自动驾驶对应的是高级别自动驾驶示范区建设和“车路云网图”一体化发展，贸易物流呼应的是首都机场、大兴机场“双枢纽”带来的国际物流数据流通需求，银行业则对接国际金融服务、高端资管、跨境支付等高频业务场景。更值得注意的是，这些清单并非泛泛而谈，而是继续沿用北京此前“场景化、字段级、分量级”的做法，对不同主体、不同数据类型、不同业务场景分别设定边界。例如，自动驾驶清单专门对车主、驾驶人、乘车人、车外人员等不同主体信息进行差异化安排，并写入高级别自动驾驶示范区的便利化适用条款；贸易物流清单则针对地理信息、关键物流枢纽运营数据、海关业务运行数据等高敏感内容明确边界；银行业清单则聚焦身份鉴别、关键信息基础设施安全、中央金融管理部门认定的重要数据等高风险领域作出细化要求。由此可见，北京这次不是在做粗放式放宽，而是在做更精细、更可执行的规则供给。

此次升级中另一个非常重要的看点是北京完成了从试点管理向全市治理的明显升级。北京将建立“5+17”市区两级管理体系，由市委网信办、市商务局、市政务和数据局等市级部门牵头，17个区（含经开区）具体实施；在申报机制上，则进一步采用企业承诺制，并把材料压缩为“一表一书”，即使用申请表和企业承诺书，其余申报材料原则上取消。同时明确，企业完成备案后可依备案结果开展数据出境活动，备案结果有效期为三年，区级审核和市级联评联审均设有明确时限。对企业来说，这意味着制度重心正在从繁复材料审查转向场景识别、信用约束和风险研判；对政府来说，则意味着管理逻辑正在由试点式、园区式管理转向可复制、可推广、可持续运行的常态化治理。也正是在这个意义上，北京此次改革不只是“便民利企”层面的流程优化，而是一套面向超大城市开放治理的制度重构。

从更宏观的视角看，北京此次改革的价值，不仅在于为企业节约合规成本，更在于它为首都制度型开放注入了新的可感知内容。近期北京官方公开信息显示，北京持续推进服务业扩大开放、数字经济标杆城市建设和数据要素市场化配置改革，过去一年新设外资企业超过2400家，服务出口增长11%，一批跨国企业、金融机构和数字化项目持续落地。在这种背景下，数据出境制度的稳定性、清晰度和便利度，已经越来越成为企业评价城市国际化营商环境的重要指标。对跨国研发中心、国际资管机构、智能网联汽车企业、医疗健康企业以及平台型数字企业而言，是否拥有一套可预期、可操作、可扩展的数据出境制度，往往直接关系到它们是否愿意把更高端的研发、运营、数据处理和区域管理功能布局在本地。北京这轮改革，正是在通过更高水平的数据制度供给，增强首都对全球创新资源和高端要素的吸引力。

当然，也应看到北京此次改革的开放导向，并不是对安全边界的弱化，而是在更清晰边界内实现更高效率流动。负面清单明确，关系国家安全、国民经济命脉、重要民生、重大公共利益的数据属于国家核心数据，不纳入负面清单管理；同时，涉及出口管制法、对外贸易法、人类遗传资源、生物安全等其他特别制度要求的数据，仍须按照相关法律法规执行。这意味着负面清单的作用，并不是把所有出境问题“一揽子豁免”，而是在国家总体安全框架下，为风险相对可识别、路径相对可明确、产业需求相对迫切的场景打开一条高效便利的合规通道。对企业而言，真正需要把握的不是“有没有放开”，而是“边界是否更清楚、路径是否更明确、成本是否更可控”。从这个意义上说，北京此次改革体现的并不是简单放宽，而是高水平开放和高水平安全的更精准统筹。

总体来看，北京此次数据出境负面清单升级，最值得概括为三句话：第一，它把自贸试验区的先行先试经验，升级为面向全市企业的普惠性制度安排；第二，它把地方分散探索，升级为“自主扩容+按需跨省应用”的规则供给机制；第三，它把单张清单，升级为清单、办法、分类分级、政务服务、专业生态和基础设施协同支撑的制度体系。若说2024年的北京，为全国率先蹚出了一条数据出境负面清单的可行路径；那么这一次，北京则是在进一步回答：一张清单如何演化成一套体系，一项试点如何成长为一种能力。可以预期，随着负面清单政策落地实施，北京不仅将进一步提升本地企业享受数据跨境政策红利的获得感，也有望为全国数据跨境流动制度建设提供更成熟、更系统的“北京方案”。

来源：北京市网信办

主题：北京