上海自贸区数据出境负面清单：国际航运领域的适用与参考

引言

2025年2月8日，上海市互联网信息办公室、上海市数据局、上海市发展和改革委员会、中国（上海）自由贸易试验区管委会、中国（上海）自由贸易试验区临港新片区管委会会同有关部门制定了《中国（上海）自由贸易试验区及临港新片区数据出境负面清单管理办法（试行）》（"管理办法"）、《中国（上海）自由贸易试验区及临港新片区数据出境管理清单（负面清单）（2024版）》（"负面清单"），以及《中国（上海）自由贸易试验区及临港新片区数据出境负面清单实施指南（试行）》（"实施指南"）（前述三文件以下统称"负面清单制度"，自由贸易试验区及临港新片区以下简称"自贸区"）。

负面清单制度是对《促进和规范数据跨境流动规定》第6条 ^[1]的落实，上海自贸区自此成为继中国（天津）自由贸易试验区、中国（北京）自由贸易试验区之后，我国第三个发布数据出境负面清单的自贸区。

本文将聚焦国际航运领域，总结归纳负面清单制度在该领域的适用范围、敏感个人信息示例、重要数据特征描述以及数据处理者的报备义务，分析负面清单制度在何种程度上降低了企业合规义务以及负面清单相较其他规范性文件的效力层级，以期为自贸区内的国际航运企业提供合规指引，同时为自贸区外的国际航运企业提供重要参考。

一、适用范围

负面清单制度适用于在上海自贸试验区及临港新片区内注册且在上海自贸试验区及临港新片区内开展数据出境活动的数据处理者，关键信息基础设施运营者不适用本清单。在上海自由贸易试验区及临港新片区注册的数据处理者，属于已公布负面清单的行业、领域，向境外提供负面清单外的数据可以免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。