DEPA框架下自贸区数据分类分级标准的差异化配置 ——论“重要数据”认定的地方立法空间

摘要

在我国推进制度型开放并申请加入数字经济伙伴关系协定的情势下，跨境数据治理面临权责配置、标准精度与国际对接的多重考验。2024 年出台的数据跨境新规以豁免与阈值重绘合规版图，自由贸易试验区获准在国家分类分级框架之内编制负面清单，由此形成国家统一与地方细化并行的治理结构。与之并行的是数据安全法与国家标准的衔接路径，前者提供分类分级的法律位阶，后者给出识别维度与操作术语，二者共同构成“原则与方法”的规范底座。从外部观察看，DEPA在电子方式跨境信息传输与计算设施所在地等条款中嵌入必要性与非歧视要求，成员构成在2024 年继续扩容，区域对接的时点压力随之上升。本文以自贸试验区为制度载体，限定研究边界于一般数据与重要数据的划界及其出境管理，围绕“谁能认、认多细、与谁对接”三问展开分析。文章在评估中央与地方权限接口的同时，选取北京负面清单、天津负面清单与上海临港一般数据清单为样本，比较条目颗粒度、阈值写法与程序衔接的差异与收敛，进而提出三张清单协同与证据化必要性评估的操作路径，并辅以听证与复核、年度滚动更新与区域互认试点的程序设计。研究结论指向一条可检验与可复制并重的治理路线，强调在国家终局裁量下充分利用地方条目化识别的制度优势，同时以程序透明与对外兼容稳定跨境流动的预期。