为促进数据跨境安全有序流动，发挥临港新片区先行先试作用，依据《国务院关于进一步优化外商投资环境 加大吸引外商投资力度的意见》《全面对接国际高标准经贸规则推进中国（上海）自由贸易试验区高水平制度型开放总体方案》《促进和规范数据跨境流动规定》《中国（上海）自由贸易试验区临港新片区数据跨境流动分类分级管理办法（试行）》等规定，中国（上海）自由贸易试验区临港新片区管委会研究形成的智能网联汽车、公募基金以及生物医药3大领域11个数据跨境场景化一般数据清单，主要包括跨境场景、数据类别、典型示例和说明、传输要求等内容，2024年5月16日印发并试行。
数据处理者可向临港新片区管委会申请咨询一般数据清单各数据类别项下的数据字段，并按照《中国（上海）自由贸易试验区临港新片区数据跨境流动一般数据清单操作指南（试行）》的管理要求开展数据跨境流动。本清单试行期限为自发布之日起后一年整，试行结束后将依据实际情况作出调整更新。
其中，涉及智能网联汽车跨国生产制造、医药临床试验和研发、基金市场研究信息共享等11个场景，划分成64个数据类别600余个字段。智能网联汽车领域包括跨国生产制造、全球研发测试、售后服务、二手车全球贸易4个场景23个数据类158个数据字段。公募基金领域包括市场研究、内部管理2个场景11个数据类344个数据字段。生物医药领域包括临床试验和研发、药物警戒和医疗器械不良事件监测、医学问询、产品投诉、商业合作伙伴管理5个场景30个数据类148个数据字段。
根据《临港新片区数据跨境流动分类分级管理办法（试行）》，跨境数据分为核心数据、重要数据、一般数据3个级别进行分级管理。其中，一般数据清单是针对企业数据跨境需求最紧迫的场景，在评估论证的基础上进行归纳，明确无需纳入数据出境安全评估的数据形成的。重要数据目录是经论证明确需要纳入数据出境安全评估的数据形成的。核心数据禁止跨境。
同时，清单明确不适用于相关领域关键信息基础设施运营者，以确保国家关键信息基础设施的安全稳定。在数据跨境流动过程中，数据处理者需按照相关管理要求完成备案登记、备份存证等工作，确保数据合规、安全、有序流动。文末附一图读懂数据跨境场景化一般数据清单操作指南。
一、智能网联汽车领域
1. 数据跨境场景化一般数据清单说明
一、“一般数据清单”适用于在中国（上海）自由贸易试验区及临港新片区范围内登记注册的，且在临港新片区开展智能网联汽车领域数据跨境流动相关活动的从事汽车制造、零部件和软件供应、经销、售后服务、出行和相关服务的企业、事业单位、机构协会和组织等数据处理者，但不适用于智能网联汽车领域关键信息基础设施运营者。
二、数据处理者在使用“一般数据清单”过程中，应符合《中国（上海）自由贸易试验区临港新片区数据跨境流动分类分级管理办法（试行）》中对一般数据的管理要求。
三、“一般数据清单”中涉及的视频、图像数据不应包含人脸、车牌等个人信息。
四、“一般数据清单”中涉及的车辆 VIN 号跨境传输至数据接收方后应无法直接或间接识别到个人。
五、“一般数据清单”中的数据不应通过车辆直接向境外传输。
六、“一般数据清单”遵循最小必要原则。
七、“一般数据清单”不含国家有关部门确定的其他可能危害国家安全、公共利益或者个人、组织合法权益的数据。
八、“一般数据清单”不包含法律、行政法规、部门规章等规定的其他可能危害或影响国家政治、国土、军事、经济、文化、社会、科技、电磁空间、网络、生态、资源、核、海外利益、太空、极地、深海、生物、人工智能等国家利益安全的数据。
2. 跨境场景及一般数据清单内容
场景一：跨国生产制造
场景简介：为实现产品质量一致性，保障产线安全，提升生产效率，降低生产成本，智能网联汽车在跨国生产制造过程中，需要跨境流动的全球生产制造数据，主要包括生产管理、零部件及物料采购、库存管理、质量管理、问题零部件再制造和物流供应链等有关数据。
| 数据类别 | 典型示例和说明 | 传输要求 |
| 生产制造管理 | 车企对生产线、零部件、质量、安全生产等的管理产生的数据和数据分析的报表，如生产计划、排班计划、零部件库存数据、生产设备日志信息、产线监控数据、生产安全信息、质量管理报表等。 | 1. 库存信息和物流供应链数据应不能反映国家经济运行情况； 2. 生产安全信息、产线监控涉及的个人信息应脱敏； 3. 生产安全信息不涉及重大事故和特别重大事故 （事故等级划分参见《生产安全事故报告和调查处理条例》）； 4. 场景中 VIN 号属于企业内部生产制造阶段的数据，未与个人信息关联。 |
| 库存信息 | 物料、零部件、生产设备备件的库存信息，如零部件编号、成本、出入库记录、数量等。 | |
| 零部件 | 零部件的物料、成本和问题追踪信息，如零部件的规格、零部件功能、问题零部件的原因、问题零部件的解决方案等。 | |
| 再制造 | 问题零部件的再制造信息，如对问题零部件的测试信息，检修影像、再制造工单等。 | |
| 物流供应链 | 零部件、物料和设备供应、物流信息，包含对供应商和物流的评价，如物流供应商名称、物流成本、物流收发运输信息、物流问 |
| 数据类别 | 典型示例和说明 | 传输要求 |
| 题及问题处理记录、供应商评分等。 |
场景二：全球研发测试
场景简介：为实现全球协同研发，提高研发效率，优化汽车设计，加快汽车产品开发迭代需要跨境流动的研发测试数据，主要包括产品设计、产品测试和研发管理等企业内部有关数据。
| 数据类别 | 典型示例和说明 | 传输要求 |
|
研发设计数据 |
产品研发设计的阶段性产物和结果，如产品名称编号、产品油泥模型、图纸、软件代码、技术规范文件、市场调研报告等。 | 1. 不涉及企业承担的国家重大攻关项目的关键核心技术、未公开的知识产权和其他需要保密的信息等； 2. 不涉及汽车研发中影响国家关键技术自主性安全的数据； 3. 场景中 VIN 号来源于企业研发过程中的试制或试验车辆，未与个人信息关联。 |
| 测试数据 | 在工厂内部、实验室、封闭试验场获取的材料、物料和设备的性能、质量、可靠性测试等相关数据，设备、零部件、系统及整车可靠性、安全性、人机交互和软件测试等相关数据，如 XX 型号铝合金测试报告、XX 机械臂测试报告、车辆可靠性测试报告、车联网软件测试报告等。 | |
| 研发管理数据 | 管理研发设计过程中产生的数据，如研发标准流程文件、校核文件、认证报告、设计变更文件、试制物料清单（BOM）数据等。 |
场景三：全球售后服务
场景简介：为满足国家法律规定的三包、召回要求，以及车辆维修升级等确需跨境流动的售后服务数据，主要包括车辆基本信息、售后过程记录、故障分析、售后服务报表等有关数据。
| 数据类别 | 典型示例和说明 | 传输要求 |
| 车辆信息 | 维修所需的车辆基本数据，如 VIN 号、车辆配置信息、零部件软件编号、零部件硬件编号等。 | 1. IN 号在本场景中应无法直接或间接识别到个人； 2. 企业跨境数据字段名称参照 JT/T1132 系列标准。 |
| 故障状态数据 | 故障发生时故障相关的空调、车窗、座椅、音量、挡位等设置和状态信息，如（电子）手刹状态、座舱温度、安全带状态、风量、播放器音量等。 | |
| 诊断数据 | 车载电子电气设备记录的故障信息、故障相关的照片或视频等，如通过诊断设备读取的故障原因、故障代码、故障时间等。 | |
| 客户服务 | 服务网点记录的客户维修要求和网点服务过程、结果，如车辆从进入网点到离开网点的过程记录、客户要求的服务内容及变更信息等。 | |
| 售后服务记录 | 网点对售后服务的记录，如所在网点、问题分类（标签）、问题关联的设计和制造部门、维修历史、工单等。 | |
| 售后订单 | 售后网点购买配件、索赔、配件检验等产生的数据，如订单信息、配件物流信息、配件检验信息等。 | |
| 售后配件 | 鉴定、分析消费者更换的非正常损坏的配件产生的数据，如问题 |
| 数据类别 | 典型示例和说明 | 传输要求 |
| 配件状态描述、问题配件鉴定审核信息等。 | ||
| 售后跟踪 | 对车辆售后（故障是否解决）的跟踪，如故障的详细信息、原因分析、维修方案、维修结果反馈等。 | |
| 售后报表 | 网点、企业对售后服务涉及的车辆故障、问题零部件、索赔、工单、客户满意度等工作的分析报表和报告，如门店月度维修工单统计、索赔处理率统计、客户满意度分析等。 | |
| 售后网点 | 售后系统中关于网点的信息记录，如设立时间、地址、电话、营业时间等。 | |
| 召回管理 | 企业按照法规和主管部门要求对车辆进行召回的相关信息，如召回公告、召回时间表等。 | |
| 质保与索赔 | 企业为车辆提供延保和索赔相关服务的信息，如延保合同、保修范围、保修内容、索赔内容、索赔状态等。 |
场景四：二手车全球贸易
场景简介：为促进国内二手车国际贸易，支撑车辆定价和汽车销售需要跨境流动的车辆数据，主要包括车辆基本信息、维修保养和保险等有关历史数据。
| 数据类别 | 典型示例和说明 | 传输要求 |
| 车辆信息 | 车辆的基本数据，如 VIN 号、发动机号、年款型号、外部颜色、生产日期、是否营运车辆、车主变更次数等。 | 1.VIN 号在本场景中应无法直接或间接识别到个人。 |
| 维保信息 | 车辆历史维修和保养信息概况， 如历次保养时间、历次保养里程、车辆故障记录、车辆维修记录、气囊是否更换等。 | |
| 保险信息 | 车辆历史保险信息概况，如商业险连续性、交强险连续性、出险次数、是否有过水淹、是否有过火烧、受损部位、维修费用等。 |
二、公募基金领域
1. 数据跨境场景化一般数据清单说明
一、“一般数据清单”适用于在中国（上海）自由贸易试验区及临港新片区范围内登记注册的，且在临港新片区开展数据跨境流动活动的公开募集证券投资基金管理公司等数据处理者，但不适用于公募基金领域关键信息基础设施运营者。
二、数据处理者在使用“一般数据清单”过程中，应符合《中国（上海）自由贸易试验区临港新片区数据跨境流动分类分级管理办法（试行）》中对一般数据的管理要求。
三、“一般数据清单”不涉及影响或危害国家经济秩序和金融安全的数据，以及通常主要用于金融业大型或特大型机构、金融交易过程中重要核心节点类机构的关键业务使用，一般针对特定人员公开，且仅为必须知悉的对象访问或使用的数据。
四、数据处理者向境外提供个人信息的，应当按照法律、行政法规的规定履行告知、取得个人单独同意、进行个人信息保护影响评估等义务。
五、“一般数据清单”中涉及个人信息的，应满足数据处理者自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）。
六、“一般数据清单”不包含法律、行政法规、部门规章等规定的其他可能危害或影响国家政治、国土、军事、经济、文化、社会、科技、电磁空间、网络、生态、资源、核、海外利益、太空、极地、深海、生物、人工智能等国家利益安全的数据。
2. 跨境场景及一般数据清单内容
场景一：市场研究
场景简介：为提高境内研究效率和品质，以及吸引外资投资中国市场，需要跨境流动的市场研究数据，主要包括产业研究报告和宏观经济分析报告有关数据。
| 数据类别 | 典型示例和说明 | 传输要求 |
| 产业研究报告 | 产业研究报告相关数据，如产业名称、产业分析。 | 1.不涉及证券价值分析和市场走势数据。 |
| 宏观经济分析报告 | 宏观经济分析报告相关数据，如报告名称、宏观经济分析。 |
场景二：内部管理
场景简介：为实现跨国企业全球化内部统一管理，需要跨境流动的内部管理数据，主要包括结算管理、供应商管理、投资者管理和风险管理等有关数据。
| 数据类别 | 典型示例和说明 | 传输要求 |
| 结算管理数据 | 基金结算管理的相关数据，如产品名称、产品资产单位净值等。 | |
| 供应商管理数据 | 已经或有可能通过企业采购行为，为企业提供物资或服务等资源的企业或机构的数据，如供应商信息、供应商联系方式等。 | |
| 投资者管理数据 | 投资者的汇总统计数据，不涉及具体某个投资者的信息，如每日客户总数、客户留存率等。 | |
| 营销服务管理数据 | 企业对客户进行营销推广活动中产生的数据，如活动名称、活动总结等。 | |
| 产品管理数据 | 企业发行基金产品产生的产品相关信息，如产品发行数据、产品合同数据等。 | |
| 风险管理数据 | 企业为了避免或降低风险、降低风险损失、加强企业内部控制所建立的风险控制制度、实时监控机制、授权管理制度以及事后评价机制等相关数据，如风险事件数量、违法数量等。 | |
| 合规审计管理数据 | 企业为了保证企业及其工作人员的经营管理和执业行为符合法律、法规、规章及其他规范性文件、行业规范和自律规则、企业内部规章制度，以及行业公认并普遍遵守的职业道德和行为准则所产生的相关数据，如内部审计报告、合规培训情况等。 | |
| 财务管理数据 | 企业经营活动和财务结果的相关数据，如资产负债表、利润分配表、现金流量表等。 | |
| 项目管理数据 | 因企业发展需要建立的各类包含基建、信息系统建设等项目相关管理数据，如项目名称、任务名称、状态等。 |
三、生物医药领域
1. 数据跨境场景化一般数据清单说明
一、“一般数据清单”适用于在中国（上海）自由贸易试验区及临港新片区范围内登记注册的，且在临港新片区开展数据跨境流动相关活动的从事研发、生产和销售与生物医学、医药学相关的药品、医疗器械、诊断试剂、生物制剂和相关服务的企业、事业单位、机构协会和组织等数据处理者，但不适用于生物医药领域关键信息基础设施运营者。
二、数据处理者在使用“一般数据清单”过程中，应符合《中国（上海）自由贸易试验区临港新片区数据跨境流动分类分级管理办法（试行）》中对一般数据的管理要求。
三、将人类遗传资源信息向外国组织、个人及其设立或者实际控制的机构提供或者开放使用，不得危害我国公众健康、国家安全和社会公共利益；一般数据清单中，凡是涉及人类遗传资源信息的数据，数据处理者应当按照《中华人民共和国人类遗传资源管理条例》规定，向国务院卫生健康主管部门事先报告并提交信息备份。可能影响我国公众健康、国家安全和社会公共利益的，应当通过国务院卫生健康主管部门组织的安全审查。
四、数据处理者向境外提供个人信息的，应当按照法律、行政法规的规定履行告知、取得个人单独同意、进行个人信息保护影响评估等义务。
五、“一般数据清单”中涉及个人信息的，应满足数据处理者自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）。
六、“一般数据清单”不包含法律、行政法规、部门规章等规定的其他可能危害或影响国家政治、国土、军事、经济、文化、社会、科技、电磁空间、网络、生态、资源、核、海外利益、太空、极地、深海、生物、人工智能等国家利益安全的数据。
2. 跨境场景及一般数据清单内容
场景一：临床试验和研发
场景简介：为开展国际多中心临床试验等研发活动，研究开发创新药物、器械等，需要跨境流动的临床试验和研发数据，主要包括去标识化受试者的个人基本资料、生理健康信息，以及研究者的个人基本资料、教育工作信息等有关数据。
| 数据类别 | 典型示例和说明 | 传输要求 |
| 去标识化受试者个人基本资料 | 药品药械临床试验涉及的受试者去标识化的个人基本资料，如受试者鉴认代码、年龄、性别等。 | |
| 受试者健康生理信息 | 药品药械临床试验涉及的受试者的健康生理信息，如受试者入选/排除标准、用药记录等。 | |
| 研究者个人基本资料 | 药品药械临床试验涉及的研究者的个人基本资料，如姓名、年龄、性别等。 | |
| 研究者教育工作信息 | 药品药械临床试验涉及的研究者的教育工作信息，如学校名称、学历、工作单位名称、职务等。 |
场景二：药物警戒和医疗器械不良事件监测
场景简介：为履行相关法定义务，建立不良事件全球管理体系，监测、识别、评估和控制相关的不良反应情况，需要跨境流动的药物警戒和医疗器械不良事件监测数据，主要包括去标识化患者的个人基本资料、基础生理状况信息、用药记录和不良反应信息等有关数据。
| 数据类别 | 典型示例和说明 | 传输要求 |
| 去标识化患者个人基本资料 | 患者去标识化的个人基本资料，如患者代码、年龄、性别等。 | 1.本场景下跨境数据的使用范围只能用于安全性评价。 |
| 患者基础生理状况信息 | 患者的基础生理状况信息，如身高、体重等。 | |
| 患者用药记录 | 患者生病医治过程中产生的用药记录数据，如用药名称、用法用量、用药时间等。 | |
| 患者医疗记录 | 患者生病医治过程中产生的医疗记录数据，如病症、诊治情况等。 | |
| 患者不良反应信息 | 患者在用药或使用医疗器械过程中产生的不良反应情况。 | |
| 去标识化报告人的个人基本资料 | 药物警戒和医疗器械不良事件报告人的去标识化个人基本资料，如报告人代码、与患者的关系等。 | |
| 事件总结描述 | 基于上述信息汇总的描述性信息，以按照本地法规要求构成完整的不良反应报告。 |
场景三：医学问询
场景简介：为依托全球资源有效解答公众就相关疾病领域和产品的大量医学问询，需要跨境流动的医学问询数据，主要包括去标识化问询人的个人基本资料、问询信息等有关数据。
| 数据类别 | 典型示例和说明 | 传输要求 |
| 去标识化问询人的个人基本资料 | 问询人去标识化的个人基本资料，如问询人代码、性别、是否为医疗卫生专业人士等。 | |
| 问询人的工作信息（要求问询人为医疗卫生专业人士） | 问询人的工作信息，如工作单位名称及科室、职务等。（如果问询人为医疗卫生专业人士，则需提供，否则不允许提供。） | |
| 问询人的问询信息 | 问询人的问询记录信息，如问询时间、问询记录及内容等。 |
场景四：产品投诉
场景简介：为准确、及时、高效地解决有关产品投诉的质量问题和退换货要求等，需要跨境流动的产品投诉数据，主要包括去标识化投诉人的个人基本资料、投诉信息和投诉汇总信息等有关数据。
| 数据类别 | 典型示例和说明 | 传输要求 |
| 去标识化投诉人的个人基本资料 | 投诉人的去标识化个人基本资料，如投诉人代码、投诉人类型、投诉人与患者的关系等。 | |
| 投诉人的工作信息（要求投诉人为医疗卫生专业人士） | 投诉人的工作信息，如工作单位名称、专业等。
（如果投诉人为医疗卫生专业人士，则需提供，否则不允许提供。） |
|
| 投诉中涉及的去标识化患者个人基本资料（如投诉人/患者主动提供） | 投诉人/患者在投诉过程中主动提供的患者的去标识化个人基本资料，如患者代码、性别等。 | |
| 投诉人的投诉信息 | 投诉人的投诉记录信息，如投诉时间、投诉中的信息内容等。 | |
| 投诉汇总信息 | 基于产品投诉汇总的投诉信息，如产品名称、投诉类型、投诉数量等。 |
场景五：商业合作伙伴管理
场景简介：为实现跨国企业全球供应商统一管理，需要跨境流动的商业合作伙伴管理数据，主要包括组织商业合作伙伴的背景信息、建档信息、合同管理信息，以及个人商业合作伙伴的个人基本资料、银行账户信息、资质信息等有关数据。
| 数据类别 | 典型示例和说明 | 传输要求 |
| 组织商业合作伙伴的背景信息 | 组织商业合作伙伴的背景信息，如商业合作伙伴名称、供应商资质、经营业务范围等。 | |
| 组织商业合作伙伴的建档信息 | 组织商业合作伙伴的建档信息，如建档名称、税号等。 | |
| 组织商业合作伙伴的合同管理信息 | 组织商业合作伙伴的合同管理信息，如合同编号、合同金额等。 | |
| 组织商业合作伙伴的支付信息 | 组织商业合作伙伴的支付信息，如支付日期、支付金额、支付项目名称等。 | |
| 组织商业合作伙伴的联系人信息 | 组织商业合作伙伴的联系人信息，如联系人姓名、职位等。 | |
| 组织商业合作伙伴的关键项目成员信息 | 组织商业合作伙伴的关键项目成员信息，如关键项目成员的姓名、职务等。 | |
| 组织商业合作伙伴的高管信息 | 组织商业合作伙伴的高管信息，如高管的姓名、职务等。 | |
| 个人商业合作伙伴的个人基本资料 | 个人商业合作伙伴的个人基本资料，如姓名、性别等。 | |
| 个人商业合作伙伴的个人工作信息 | 个人商业合作伙伴的个人工作信息，如工作单位名称、职务等。 | |
| 个人商业合作伙伴的个人银行账户信息 | 个人商业合作伙伴的个人银行账户信息，如开户行名称、银行账号等。 | |
| 个人商业合作伙伴的个人资质信息 | 个人商业合作伙伴的个人资质信息，如资质名称、取得资质日期等。 |
附：一图读懂数据跨境场景化一般数据清单操作指南
