（一）立法层面

从立法的角度来看，我国关于网络安全及个人信息保护的立法将进一步得到完善。

首先，《数据安全法》和《个人信息保护法》已列入十三届全国人大常委会立法规划，希望该草案可于2020年公布并向社会征求意见。

其次，对于2020年前根据《网络安全法》起草并已向社会公布征求意见稿的数据安全管理办法》、《个人信息出境安全评估办法》、《关键信息基础设施安全保护条例》、《网络安全等级保护条例》。有可能在2020年发布其最终生效版本。

各行业主管部门也可能根据《网络安全法》制定和发布适用于本行业的网络安全、数据安全保护及个人信息保护方面的法规或征求意见稿。

再次，《信息安全技术 个人信息安全规范》修订版已于近日正式公布。在《个人信息保护法》未正式出台前，该国家标准仍将作为指导企业个人信息保 护合规工作的重要参考文件。2020 年也有可能迎来有关网络安全、数据安全保护及个人信 息保护方面的其他国家标准或其征求意见稿。

2020年诸多网络安全与信息安全领域的法律法规及标准规范有望陆续出台，相关法律与制度将日趋健全与完善，我国个人信息保护将进入全新阶段。可能出台的法律法规及标准规范包括：已列入立法规划的《个人信息保护法》、《数据安全法》等；已发布较长时间征求意见稿的条例或办法，如《关键信息基础设施安全保护条例》、《数据安全管理办法》、《个人信息出境安全评估办法》等；配套性标准文件，如《信息安全技术-个人信息告知同意指南》、《信息安全技术-移动互联网应用（App）收集个人信息基本规范》等。

从立法层面来看，《个人信息保护法》、《数据安全法》等基础性法律，以及涉及关键信息基础设施和重要数据的识别与认定、数据安全管理、个人信息和重要数据出境安全评估、跨境监管和网络安全等级保护、密码技术监管和应用等支撑性配套规范性文件和标准有望在2020年正式出台或发布征求意见稿。

（二）执法层面

行政监管将趋向常态化。2019年，网络数据安全领域的行政执法以专项治理为主，基于在APP专项治理、数据供应链上下游治理、爬虫治理等方面的治理经验，今年的执法力度将更加深入，一些新的领域将成为执法重点，行政执法方式将从专项治理式转为常态化。

我们预计相关部门会继续在个人信息保护和网络安全领域的执法态势。在2020年，相关部门将可能延续在个人信息治理上的专项执法行动，对该行为的治理将有可能纳入常态化监管。此外，APP专项治理行动深刻影响了最初发起APP专项治理行动的四部委以外的其他部门，并促使其在网络安全和信息安全方面加大监督及执法力度。2020年，各行业主管部门有可能进一步深化其行业内网络安全及个人信息保护方面的监督和执法。

以网络安全和个人信息保护为重点内容的执法活动仍将活跃，执法活动在实践经验的积累下有可能向更多领域展开，同时呈现专项治理与日常常态化监管并重的态势。金融、医疗健康、教育、人工智能等重点数据相关行业或领域将进一步加强行业内网络安全和信息安全的规范和监管工作。另外在企业合规层面，数据合规边界日益清晰，数据合规将成为企业防范风险和创造价值的必然选择。

（三）跨境监管层面

网络安全与信息安全领域在跨境监管方面的法律与制度空白将会被填补。2020年，《数据安全管理办法》、《个人信息出境安全评估办法》可能正式出台，同时CII相关草案及标准的相继发布将一并改善数据跨境方面无法可依的局面。

2019年，《信息安全技术 云计算服务运行监管框架》等一系列涉及网络产品和服务管理制度的规范性文件和标准以及等保2.0标准的公布实施，为CII规则体系的建立完善提供了制度支持和保障。《信息安全技术 关键信息基础设施安全检查评估指南》（报批稿）国家标准项目试点和《信息安全技术 关键信息基础设施网络安全保护基本要求》（报批稿）试点工作的完成，为后续的标准推广和关键信息基础设施安全保护奠定了基础。目前CII识别工作在相关重点行业也在逐步开展，我们认为实施CII条例的条件日渐成熟，CII条例有望在今年正式出台。CII条例涉及经营者安全保护责任（包括个人信息和重要数据的存储和跨境传输管理）、产品和服务安全管理、监测预警、应急处置、检测评估等多方面内容，将为公共通信、广播电视、能源、金融、交通、水利、卫生、社会保障等相关领域明确合规边界和要求，推动行业网络安全和信息安全的保护工作。

《关键信息基础设施安全保护条例（征求意见稿）》自2017年发布，至今已近三年，CII保护工作试点也开展了较长时间。经历了充分的时间和实践检验，《关键信息基础设施安全保护条例》今年正式出台的可能性较大。

划定CII的目的是在网络安全等级保护制度的基础上对可能严重危害国家安全、国计民生、公共利益的重要系统加强保护，因此CII仅限于重要部门、重要领域、重要行业的重要系统，绝大多数企业的信息系统并不构成CII。该条例的正式出台对非CIIO企业造成的直接影响有限，但很多企业会受到间接影响。这是因为，CIIO可能会将相应的监管压力转移至与他们有密切业务来往的企业。同时，随着《关键信息基础设施安全保护条例》的出台以及等保2.0体系的完善，提供网络安全与数据保护服务的企业会迎接更多的业务机遇，整个网络安全产业会进入新的发展阶段。

2019年12月1日，以GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》为代表的三项网络安全等级保护核心国家标准正式生效，意味着“等保2.0”时代的新里程正式启航。目前尚不清楚《关键信息基础设施安全保护条例》何时正式出台，但我们的客户普遍比较关注该条例，其中关键信息基础设施的范围、认定标准和具体义务将对企业后续安排信息保护及网络安全工作产生比较重要的影响。我们希望《关键信息基础设施安全保护条例》能够为主管部门和各行业企业展开CII保护工作提供更加明确的指引。

现有已生效的法律法规中对跨境信息传输的规定较少。除《保守国家秘密法》中对国家秘密的跨境提供限制外，主要是《网络安全法》中对关键信息基础设施数据本地化的要求，以及一些特定行业主管部门对其行业涉及的敏感数据有专门的本地化存储或跨境传输限制（例如地图信息、遗传资源信息等）。

国家网信办于2017年和2019年先后发布了《个人信息和重要数据出境安全评估办法》（征求意见稿）和《个人信息出境安全评估办法》（征求意见稿），对个人信息和重要数据的跨境传输提出了规制路径。但需要注意的是，两稿针对个人信息出境的态度有所变化，即，由以企业进行自评估为主转变为向主管部门申请评估。此变化也折射了监管部门对个人信息出境监管思路的不同。此外，跨境信息传输还涉及“重要数据”的出境问题。在现阶段，“重要数据”这一概念尚无明确的法律定义，与此相关的出境机制（例如批准、安全评估等）也仍未落地。相关问题仍有待相关法律法规的出台。

我们认为，由于数据出境问题的复杂性，相关法律法规可能不会很快落地。在提供跨境信息传输的法律服务时，我们会结合已生效法律法规的原则性规定，并结合相关征求意见稿中的监管态度为客户提供建议和提示风险。但总体而言，因为相关征求意见稿是否能原文落地具有较大的不确定性，在现阶段我们不建议客户采取过于激进的措施。

此外，已出台和未出台的法律法规不可能详尽规定企业数据出境的每一种复杂情况，企业将非常依赖于法律工作者对相关问题进行分析并提出法律合规建议。

数据跨境传输在网络安全和数据合规领域是世界各国都非常关注的问题，欧盟、美国以及其他一些国家和地区也都已经或正在制定相关规定。在这一全球背景下，如何处理不同国家和地区在合规监管方面的冲突并满足不同法域的合规要求是企业，特别是跨国企业，最为关注的问题之一，也是法律服务的主要焦点之一。

我们认为，经过两年多的设计，我国数据跨境传输制度的基本模式已经确定，但目前的数据跨境监管规范仍存在一些需要解决的问题，比如上位法缺失、制度落实还需要设置更具有可操作性的措施等。在我国实施“一带一路”国家战略和进一步加大改革开放力度、不断优化营商环境的过程中，中国企业走出去、外商投资引进来都会涉及数据跨境传输问题。如何平衡数据流动和数据安全是各国都在探讨的问题，我国数据跨境传输制度的出台也宜慎重。为此，除CII运营者的数据跨境传输制度规则外，对一般网络运营者数据跨境传输的监管规范可能还需要时间完善。

目前有迫切跨境信息传输法律服务需求的企业主要有两类，第一类是外商投资企业及跨国公司在华机构，尤其是金融、消费等数据密集领域的企业；第二类是中国出海企业。这两类企业存在大量的跨境信息传输需求。

至于目前是否满足监管规范正式出台的条件，从法律制定层面来看，《数据安全管理办法》、《个人信息出境安全评估办法》等跨境信息传输领域的监管规范征求意见稿已出台，且经过多次审议修改，已基本成熟。但从国际环境来看，我国的数据跨境传输政策路径也受到国际环境、主要国家数据跨境政策和国际博弈的影响，这些都还存在很大变数，故对中国相关规则的正式落地造成一定影响。

随着《网络安全法》相关配套法律法规的逐步完善，《网络安全法》确立的等级保护制度、信息安全和个人信息保护原则将得以细化实施。我们预期，执法关注点除了互联网应用程序对个人信息的收集利用等外，重点还将包括等级保护、数据存储地和跨境转移等。我们建议企业密切关注网络安全和数据合规领域的立法和执法动态，尤其要注意所属行业领域是否新增细化合规要求；未能完成等级保护定级备案的，抓紧完成定级备案，建立及/或及时调整、完善内部数据和外部数据收集利用的合规管理制度和个人信息保护制度；运营线上业务的企业应关注最新发布的新规并适时调整隐私政策内容及其设置；出海企业和在华外资企业关注业务所涉多个法域的数据存储地和跨境传输数据要求相关立法动态，以便及时作出部署。

中国的网络安全和数据合规法律框架虽已初步建立，但仍有部分法律法规及国家标准未落地。在此情况下，我们建议，企业需平衡合规工作中的“变”与“不变”，即对于已有生效法律、法规和国家标准支持的法律要求（例如建立数据处理记录、制定个人信息管理制度、完善隐私政策、APP治理等工作），企业应当重点关注，尽快开展合规工作；对于仍处于制定过程中的法律、法规和国家标准所体现的合规要求，企业则需及时关注立法的新动态，并做到具体问题具体分析：一些新要求充分反映了国际立法趋势和行业呼声，在未来将大概率成为生效的合规要求，企业可以开始相关的合规准备工作；而一些新要求争议较大，企业为满足该要求将花费较高成本（例如实现数据的完全本地化），且未来是否能成为最终生效的合规要求有较大的不确定性，对于此类要求，企业不宜采取过于激进的合规措施试图做到“一步到位”。

此外，我们建议企业将数据合规工作视为一个有机的整体，采取适当的项目管理措施和工作流程，有计划、有步骤地开展合规工作，避免“头痛医头、脚痛医脚”和低效无序的做法。

企业的合规重点应放在落实用户授权和确保数据安全两个方面，企业应切实贯彻法律规定，具体工作包括：

1、搭建网路安全与数据保护部门并配置专业人员，依据企业数据密集程度、产品数量多少等设立适合本企业的数据安全保护部门。

2、梳理企业数据资产清单，掌控产品线、业务线的数据在企业内各部门的流向及对外共享情况。

3、落实用户授权，通过配备和完善隐私政策，优化产品设计，将数据合规落实到产品细节中。

4、规范数据利用方式，采用汇聚融合、用户画像、精准营销、自动化决策等高风险数据使用方式时，进行充分的评估论证，并采取与风险相适应的技术措施和管理措施。

5、加强数据供应链上下游及合作伙伴的管理，在与上下游及合作伙伴签订的相关协议中完善数据保护条款，对业务资质、业务合法性以及数据来源的合法性进行审查，如发现存在合规性风险，及时与其停止合作。

6、加强相关许可、备案管理，企业需仔细甄别所涉业务是否应获得行政许可或进行备案，如电信业务许可、个人征信业务许可、网络文化经营许可、等保备案和测评、联网备案、ICP备案等。