4月24日，上海市网信办和上海市数据局联合发文，正式发布了《中国（上海）自由贸易试验区及临港新片区、国家服务业扩大开放综合试点地区（上海）数据出境负面清单管理办法（试行）》，率先将该负面清单的覆盖范围从自贸区扩展至整座城市。此前，上海曾在2025年2月发布数据出境负面清单，在自贸试验区及临港新片区落地应用。
此项政策为上海企业数据出境划定了场景化的“负面清单”，为在沪外资企业全球协同运营、上海本土企业开展海外业务提供了合规便利，有助于企业以更便捷、更低成本的方式完成数据跨境传输。
企业日常经营中，涉及出境的数据主要分为两类：一类是“重要数据”，即一旦遭到篡改、破坏、泄露或非法获取、非法利用，可能危害国家安全、经济运行、社会稳定、公共健康和安全的数据；另一类是“个人信息”，即以电子或其他方式记录的、与可识别的自然人相关的各类信息，如消费者姓名、手机号码等，这类信息无论是跨国企业在华运营，还是本土企业出海拓展，都可能涉及，通常体量庞大。
此前，企业只要出境重要数据，或出境个人信息达到规定量级，就必须完成数据出境的申报、审批。例如，企业当年跨境传输个人信息累计达10万人以上的，需向省级网信部门备案个人信息出境标准合同；当年累计达100万人以上的，需向省级、国家两级网信部门申报数据出境安全评估。
勃林格殷格翰大中华区数据合规负责人任敏敏告诉记者，虽然2024年《促进和规范数据跨境流动规定》的出台大幅减轻了企业合规负担，但外资生物医药公司往往个人信息出境量较大，超过一定量级仍需要通过数据出境安全评估。
为继续给企业减负，网信部门开始探索“负面清单”监管机制。一般来说，负面清单会明确相关场景的适用情形，列明需履行合规程序的数据清单。在这些相关场景里，未达到合规门槛的数据将免予申报，手续大大简化。
负面清单内的数据也不是不能出境，而是需通过申报数据出境安全评估、订立个人信息出境标准合同和通过个人信息保护认证这三种主要的合规路径出境。
同时，负面清单适度放宽了数据出境的合规条件。任敏敏举例介绍，生物医药行业药物警戒场景的敏感个人信息评估阈值，从此前的1万人提升至10万人，大幅降低了企业在华开展药物研发的合规门槛，有助于企业将更多精力投入新药研发与全球市场布局。“如今，我们在张江本地受理窗口申请数据出境材料预审后，仅需到省级网信部门完成个人信息出境标准合同备案，即可履行数据出境合规手续。”任敏敏说。
此次新政最重要的意义在于政策扩围，因为上海市对数据出境的需求十分迫切。据统计，上海累计完成的数据出境安全评估和个人信息出境标准合同备案数量，均占全国总量的约四成，位居全国首位。
高需求背后是庞大的国际经济市场主体：上海市现有近8万家外资企业，约1700家跨国公司地区总部和研发中心，这些市场主体从市场分析、产品研发到客户服务，都离不开全球范围内的数据流动。本土企业出海，跨境数据流动需求也在增长。
此前，负面清单便利政策仅适用于自贸试验区范围内，大量注册在静安、黄浦等中心城区以及浦东非自贸片区的外企总部、研发中心以及出海企业，都无法享受政策红利。“很多区都来对接咨询，能不能开展区与区之间的联动创新，让辖区企业尽快用上这项政策。”上海市网信办相关负责人表示。此次负面清单全域扩围，为企业打通了数据跨境流动的“快车道”，让企业能以更低的合规成本、更短的办理周期，完成数据出境合规工作。
因此，2025年国家发文支持服务业扩大开放综合试点示范地区先行先试后，上海迅速行动，成为首批申请将政策扩围至全市的地区。
一家位于静安区的国际奢侈品牌相关负责人告诉记者，其会员信息出境原本可能触发较高层级的合规要求，但根据负面清单的新规，其数据量级未达到数据出境安全评估门槛，未来仅需完成个人信息出境标准合同备案即可，负担轻了不少。
有关负面清单的具体使用流程，上海市网信办相关负责人介绍，企业使用负面清单需向所在区提交备案申请，各区在收到数据处理者提交的备案材料后，提出出境数据是否适用负面清单的初审意见，报市网信办审核后，向数据处理者反馈备案审核结果。出境数据在负面清单内的，指导数据处理者申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证；出境数据在负面清单外的，告知数据处理者可依法有序自由流动；出境数据不适用负面清单的，按照现行法律法规执行。
值得关注的是，此次发布的负面清单涵盖再保险、国际航运、商贸、气象4大行业领域，共涉及9个具体场景、29个数据子类、109个数据项，较2025年自贸试验区及临港新片区发布的3个行业、84个数据项又有扩大。
为何是这4个行业？国际金融、航运、贸易中心建设是上海五个中心建设的重要内容，一定会涉及到跨境数据的流通。例如，一家再保险公司要发展国际业务，必然要与海外总部频繁交换承保与理赔数据；一家大型船运公司要调度全球船舶、跨国派遣船员，也依赖数据的实时跨境流转；一家跨国奢侈品企业要在上海开设分公司，也需要把国内会员信息同步至集团总部。
在气象领域，单一国家或地区的观测数据难以支撑精准、全面的天气预报、气候预测和灾害预警，融合全球气象观测数据，能够有效提升气象预测预报的精准度与时效性，也能为出海企业的海外业务布局、跨境物流运输提供更全面的气象服务支撑。
所以，在这4个领域设立数据出境“负面清单”是上海的“刚需”。这些领域的数据跨境流动如同血液，是企业维持国际业务生命力的基础。
此次清单的突破性意义，正在于它为这些高频需求场景提供了清晰的“操作说明书”。一方面，明确了哪些是重要数据。例如对于再保险领域，负面清单明确，影响国家安全、经济运行的承保、理赔等相关数据，涉及“重要数据”。另一方面，个人信息的数据出境也可以“降级管理”。这好比给消费类外企吃了“定心丸”，其日常会员信息跨境处理负担将大幅减轻。
值得关注的是，上海不仅能使用自己区域的“负面清单”，还可以适用其他地区的“负面清单”。根据国家网信办“一地制定、多地适用”的原则，其他自贸区、自贸港、改革开放先行区、国家服务业扩大开放综合试点示范地区正式发布的数据出境负面清单，上海市可参照执行。
这张清单仅仅是深化开放的起点。上海市网信办已明确，将基于行业需求持续调研，积极推动更多行业主管部门参与负面清单制定工作。不断优化的“负面清单”，将成为上海统筹数据安全与高水平开放、高质量发展的重要支撑。
