论数据出境评估、合同与认证规则的体系化

《数据出境安全评估办法》的施行与《个人信息出境标准合同规定(征求意见稿)》的公布意味着我国数据出境安全制度初步形成。不过，这种制度仍然存在体系程度不足的现实问题：一是内在体系层面的部分制度内容交叉；二是外在体系层面的制度关联性不足；三是现有体系架构有待上位法依据支撑。数据出境安全规则具有鲜明的实践特征，仅以信息自主权等理论难以解释制度实施层面的现实问题，因而有必要按照“识别、评估、缓解、预防”的数据安全风险管理逻辑，将数据出境风险划分为国家安全风险、违约责任风险、技术安全风险、其他未知风险四类，并按照风险水平采用“安全评估单列，其他制度互补”的体系架构解决对应的数据出境安全风险。