近年来，为了满足数据合规、税务筹划及安全备份等需要，越来越多的跨国公司有跨境数据驻留的需求。随着全球数据安全立法的加速，这一需求变得前所未有的迫切。
在中国，随着《网络安全法》、《数据安全法》、《个人信息保护法》、《汽车数据安全管理若干规定（试行）》、《数据出境安全评估办法（征求意见稿）》等法律法规及配套规则的陆续发布，如何平衡数据本地化与全球业务一致性，确保数据驻留与数据跨境合规，成为摆在众多跨国公司面前的一个重要难题。为了解决这一难题，业界给出了不同的解决方案，其中之一即是以InCountry等为代表的数据驻留解决方案（DRaaS，Data Residency-as-a-Service）。
本文中，结合近期中国立法趋势、行业实践及类似项目经验，汇业律师事务所黄春林律师团队简要分析以InCountry为代表的数据驻留解决方案在中国的主要合规问题，仅供参考。
一、数据驻留之合规需求
中国数据安全监管采取分类分级策略，因此，不同类型和不同级别的数据往往有不同的数据驻留合规需求。
1 数据备份驻留
该场景下合规需求是，在中国境内收集和产生的数据可以自由出境，在中国境内驻留数据备份即可，无需满足安全评估备案等其他合规要求，亦不管数据出境与境内驻留的先后顺序。
例如，根据《企业会计信息化工作规范》规定，“数据服务器部署在境外的，应当在境内保存会计资料备份”。
2 数据受限驻留
这是当前中国数据合规中最常见的场景，其合规要求是，在中国境内收集和产生的数据应当驻留境内，确因业务等需要向境外提供的，应当满足安全评估备案等必要程序。该场景下要求数据本地驻留，并不绝对禁止数据出境，但是设置了数据出境的前置条件。
例如，下列数据应当在中国境内受限驻留：
（1）根据《网络安全法》及《数据安全法》等规定，CIIO在中国境内收集和产生的重要数据；
（2）根据《网络安全法》及《个人信息保护法》等规定，CIIO及特定PIP在中国境内收集和产生的个人信息；
（3）根据《汽车数据安全管理若干规定（试行）》、《国家健康医疗大数据标准、安全和服务管理办法（试行）》等规定的特殊行业数据；
（4）参照《互联网个人信息安全保护指南》等内容，在境内运营中收集和产生的个人信息；等等。
值得注意的是，目前业界对如下问题仍然还有不少争议：经安全评估可以合规出境的数据是否还必须在境内驻留数据？以及，关于本地驻留与出境谁先谁后的时序问题。汇业律师事务所黄春林律师认为，实际上，这个问题的争议者没有理解我国数据驻留合规要求的双重价值属性，即数据留驻立法是基于数据国家安全（或数据主权）和数据主体权益保护的双重价值选择。
3 数据绝对驻留
在一些特殊场景下，考虑到数据的高敏感性和高安全性要求，法规要求数据绝对驻留本地，不得出境。
例如，根据《生物安全法》、《人类遗传资源管理条例》等规定，我国人类遗传资源不得向境外提供。此外，《网络出版服务管理规定》、《互联网域名管理办法》等也规定了应当在境内设置服务器的要求。
二、数据驻留解决方案
为了解决当地数据合规问题，业界给出了不同的解决方案，例如数据本地化方案、数据驻留方案等。纯粹的数据本地化方案，因数据不互通、全球管理不便、部署成本较高等原因，很多公司一直持观望态度。但是，因为能够较好的平衡当地数据合规及全球业务一致性、互通性的需求，数据驻留解决方案得到了部分咨询机构（例如埃森哲、IBM咨询等）、安全公司、云服务商（例如InCountry、Odaseva等）的广泛推崇。
InCountry就是其中的后起新秀。InCountry近期开始通过与国内阿里云合作，试水中国市场。在中国经营的跨国公司中，绝大多数使用全球统一部署的SaaS服务，例如SAP、ServiceNow、WorkDay、Salesforce等。但是，往往这些SaaS服务因为电信业务牌照等原因，未能落地中国，因此使用这些SaaS服务的跨国公司天然面临数据驻留合规的问题。InCountry也正是敏锐的看到了这一点，本文中，汇业黄春林律师团队以InCountry的Salesforce解决方案为例，简要介绍InCountry针对不同数据驻留需求的几种常见解决方案：
1 数据备份驻留方案
（1）延时备份方案（legacy replication model）
（2）实时备份方案（UI-based replication model）
2 数据受限驻留方案（restriction model）
3 数据绝对驻留方案（redaction model）
以下是InCountry与阿里云合作在国内的解决方案示意图：
以下是某咨询公司的实施架构图：
三、数据驻留解决方案的主要合规问题
汇业黄春林律师团队经常应客户要求出具类似InCountry的数据驻留解决方案（DRaaS）的合规意见，大家普遍关注的问题包括但不限于：
（1）InCountry是否有在中国直接提供DRaaS服务的资质？答案显然是否定的，也正因此，InCountry才在国内与阿里云合作，客户需要与阿里云签约。
（2）在中国的客户使用InCountry服务需要ICP许可证（来自InCountry意见）？答案也是否定的，需要根据客户的具体业务类型判断，但是ICP备案通常是需要的，因为阿里云需要。
（3）InCountry的数据驻留方案的核心是能够准确区分“规管数据（Regulated Data）”和“非规管数据（Non-regulated Data）”,这个在当前中国法语境下并非易事，这可能会让系统部署成本和合规成本居高不下。
（4）回答上一个问题，还会衍生出来一个问题， InCountry采用“one-way hash”处理个人信息等规管数据后传输至境外，但是按照中国法律，这种技术仅仅是一种去标识化的技术，处理后的个人信息仍然是个人信息，并不能彻底规避“单独同意”、“必要性”审计和出境安全评估等合规责任。当然，这种策略在某种程度能够提高数据安全性，或许有利于后续数据安全评估中的安全性评估。
（5）即便在数据绝对驻留模式（redaction model）中，InCountry介绍说可以从境外执行境内规管数据的验证等撞库操作，并返回“是/否”等逻辑值。如是一来，境外仍然能够通过这个方法实现数据融合及大数据分析，对于数据主权而言仍然是个潜在风险。
（6）InCountry通常把网页、代码、账密等当作非规管数据，但是对于一些特殊行业和特殊网络系统，中国法是要求该等系统也要本地化，甚至运维服务都要本地化。
（7）看起来InCountry与Salesforce是达成了战略合作，但是若在其他非合作SaaS服务或系统的交互界面中插入InCountry的API或SDK，并捕获、编辑和加密相关数据，是否会认为侵犯了该等SaaS服务商的软件著作权或者构成不正当竞争呢？
（8）InCountry的API或SDK，在国内过等保了吗？InCountry的HASH算法在国内开展密评了吗？
（9）之前，InCountry也在俄罗斯当地与Yandex.Cloud合作开展本地数据驻留服务，俄乌冲突发生后，从国家安全角度出发，该模式解决了相关SaaS服务的数据主权问题了吗？
声明：本文来自网络与数据法律实务，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
