编者按

民航业是一个拥有着庞大数据体量的行业，其航班数据、旅客数据、货邮数据、行业监管数据均具有海量化、异构化、快速化等大数据的特征。近日，智慧民航建设领导小组办公室组织编制了《民航数据管理办法》、《民航数据共享管理办法》两部征求意见稿。

从数据分类分级、个人信息保护以及相关数据合规三个方面来看，两部规章可以说已经针对民航数据的特征进行了针对性措施，再加上近些年来，《智慧民航建设数据管理法规规章标准体系》中配套的规章和细则的不断出台，甚至可以说智慧民航数据建设在规范支撑层面上已经足够的完善。本期专题结合两部征求意见稿，针对智慧民航数据管理政策标准体系框架搭建、民航数据分类、数据采集与治理要点以及数据共享机制等重点内容提出专家建议。

目录

一、智慧民航数据管理政策标准体系框架

标准体系架构依照顶层设计引领、分域模块细化的思路，整体呈现为“1+3+4+N”的总体框架（即1部指导意见，3部规章，4项制度，N部细则）。其中，1部指导意见为《关于民航大数据建设发展指导意见》，3部管理办法为《民航数据管理办法》《民航数据共享管理办法》《民航数据安全管理办法》，4项制度为《民航数据分类分级标准规范》《民航数据目录管理制度》《民航数据安全信息通报办法》《民航数据全生命周期管理制度》，N部细则针对民航数据管理的多个维度和具体业务场景进行规则的细化。

与民航数据相关的法规标准数量较多且涵盖多个细分领域，其中与民航数据管理和共享监管更为相关的文件包括：

• 《民航统计数据质量责任管理办法》
• 《民航领域数据分类分级办法（征求意见稿）》
• 《智慧民航数据治理规范——框架与管理机制》
• 《智慧民航数据治理规范——数据架构》
• 《智慧民航数据治理规范——数据质量》
• 《智慧民航数据治理规范——数据安全》
• 《智慧民航数据治理规范——数据服务》
• 《智慧民航数据治理规范——数据共享》
• 《智慧民航数据治理规范——数据治理技术》
• 《民航政务数据共享与交换技术要求》

二、征求意见稿重点条文梳理解读

（一）《民航数据管理办法（征求意见稿）》重点条文解读

1. 适用范围及关键定义

《民航数据管理办法（征求意见稿）》进一步将民航数据分为三类数据，并划分四类民航数据处理主体。

要点解读：

● 《民航数据管理办法（征求意见稿）》对民航数据的处理活动的适用较为宽泛，覆盖了民航数据的收集、存储、使用、加工、传输、提供、公开等全生命周期。从民航数据的定义来看，民用航空活动所能涉及的各类数据都有可能属于民航数据，其中可能也包括民航企业的员工、应聘者、供应商以及服务商个人信息。此类数据也落入《个人信息保护法》（以下简称“《个保法》”）的监管范畴，企业合规工作需注意不要遗漏《个保法》下企业应承担的相关合规义务。

● 实践中，公共数据、企业数据以及个人信息数据之间可能并不是完全互斥的关系，例如：在处理航班延误或事故调查时，相关的报告和记录（根据定义，可能构成公共数据）可能会涉及民航企业信息（企业数据）以及旅客、机组人员或其他个人的信息（个人信息数据）。在进行数据分级分类和资源目录编制工作时应对此特别注意。我们注意到有关部门已颁布了《民航领域数据分类分级办法》（征求意见稿），民航数据资源目录的相关规范在未来也会颁布，企业到时可按照相关规范进行数据盘点。

● 上述四类数据处理主体与《个保法》所规定的个人信息处理者及个人信息受托处理者在实务操作中的界限可能模糊不清，实践中企业可能是一种“身兼数职”的状态。不同的主体所需承担的合规义务也不同，企业需注意不要遗漏《个保法》下个人信息处理者与受托者应承担的相关义务。

2. 数据资源目录

《民航数据管理办法（征求意见稿）》对数据资源目录的相关要求包括：

要点解读：

● 编制数据资源目录，会对之前从未开展过相关数据资源/资产调研或盘点的企业带来挑战。通常而言，企业所掌握的数据可能散见于各个部门，部门之间对企业全业务场景数据处理的情况了解比较有限，因此有必要成立跨部门工作小组并指定专门管理人员，由其负责推进、管理目录编制工作以及后续目录维护工作。企业可参考《民航领域数据分类分级办法》《智慧民航数据治理-数据架构规范》《智慧民航数据治理-数据安全规范》《智慧民航数据治理-数据共享》中的相关指引展开内部梳理。

● 数据资产入表登记的要求与《企业数据资源相关会计处理暂行规定》的相关规定（企业可将数据资源作为资产并在相关报表中进行体现）进行了衔接，企业还需对该规定的相关要求一并予以考虑。

3. 数据采集与治理

数据提供方需满足数据采集和治理的要求，具体包括：

要点解读：

● 一数一源、一次采集落实的难度比较大。现实中可能出现较多“一数多源”“多次采集”的情况，企业需要平衡好征求意见稿的要求以及实际业务安排。“单位内数据”的含义尚不明确，也会为企业的采集工作带来困难。需注意，《民航数据共享办法（征求意见稿）》已将“重复采集、多头采集数据”视为了违规行为。我们期待正式版本能对一数一源的实质要求进行明确或至少为相关企业提供判断标准。

● 数据来源信息系统。“向外提供数据时应明确数据来源信息系统”这一要求目前还不清楚对信息系统描述的颗粒度要求，由于信息系统是数据提供方的内部信息，如要求过多信息，数据提供方可能会有信息安全或保密方面的顾虑。

● 数据质量管理要求较高。民航企业通常具有数据量大且数据来源复杂的特点，确保准确性、完整性、时效性和一致性比较有挑战，企业可能需要考虑使用技术工具以辅助监测和管理。《智慧民航数据治理-数据质量规范》也含有相关指引，企业可作为参考。

● 公共数据无条件共享。如第1小节所述，公共数据也可能含有个人信息，而《个保法》要求向其他个人信息处理者提供个人信息时，需取得个人的单独同意且个人有权拒绝提供，在未取得单独同意或个人拒绝提供的情况下，企业需要考虑将公共数据进行匿名化处理后进行共享，但这样一来，将无法实现“确保所提供数据与所掌握数据的一致性”。而如果征求意见稿的本意是公共数据并不包括个人信息，应对此予以明确。

4. 数据应用

《民航数据管理办法（征求意见稿）》对三类数据的应用分别作出了规定，具体如下：

要点解读：

● 如前述分析，公共数据和企业数据与个人信息可能不是完全互斥的关系（而如果征求意见稿的本意是公共数据并不包括个人信息，应对此予以明确）。企业对上述数据进行应用时，应注意对其是否包含个人信息进行识别，若涉及个人信息的处理（包括收集、使用、提供等行为），应按照《个保法》相关要求在隐私政策等文件中明确告知处理情况以及取得个人的同意，涉及对外提供的，还应取得个人的单独同意。

5. 数据安全

《民航数据管理办法（征求意见稿）》提出了建立安全制度、试行分类分级保护、建立全生命周期保护机制、定期进行数据安全评估等要求，具体规定如下：

要点解读：

● 民航局数据安全工作领导小组（民航局人事科教司）曾于2022年公布了《民航领域数据分类分级办法（征求意见稿）》，但目前该办法正式版似乎尚未公布。

● 重要数据。《民航数据管理办法（征求意见稿）》与《数据安全法》（以下简称“《数安法》”）建立的重要数据目录制度进行了衔接（国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护），涉及重要数据处理的企业还需注意遵守《数安法》对重要数据的一般合规要求，包括明确数据安全负责人和管理机构、开展数据安全风险评估等。

● 民航数据中的个人信息跨境需遵守的主要规定包括《个保法》《数据出境安全评估办法》（以下简称“《安全评估办法》”）《个人信息出境标准合同办法》。民航企业若出境重要数据，也会落入《安全评估办法》的管辖范围，此种情况下，企业可能需开展的数据合规工作包括：《数安法》下的重要数据安全风险评估、《民航数据管理办法（征求意见稿）》下的民航数据安全评估以及《安全评估办法》下的数据出境风险自评估等。这些工作较为费时费力，企业应尽早了解相关细节要求，以便尽早进行准备。

6. 监督与保障

以下合规义务仍值得企业注意：

要点解读：

● 每年自查，次年2月上报。考虑到满足相关要求所需开展的工作（盘点数据资产、制定和更新规章制度的工作等）均需要耗费相当长的时间，因此企业应尽早启动必要的准备工作，以确保按时完成自查和上报任务，避免因时间紧迫而导致的工作延误。

● 信息化项目数据要求与《银行保险机构信息科技外包风险监管办法》的相关要求类似，均强调了对此类项目中数据管理工作的重视；《民航数据管理办法（征求意见稿）》对数据权属要求进行明确的规定与《企业数据资源相关会计处理暂行规定》要求企业披露数据权属信息的要求也较为类似。至此，《民航数据管理办法（征求意见稿）》已规定了两类数据资源目录登记前置义务，分别是数据资产入表登记前置以及信息化项目验收前登记前置。

（二）《民航数据共享管理办法（征求意见稿）》重点条文解读

1. 共享类型

要点解读：

● 三类共享数据的具体内容有待进一步明确，尤其是，从无条件共享数据定义来看，其可能无法包含个人信息（共享行为要取得个人单独同意）。对于不予共享数据涉及个人信息的，企业若以未取得单独同意为理由不予共享，是否会被视为违反相关规定而遭致处罚还不明确。

● 在无条件共享类数据以及有条件共享类数据外，还有一类数据企业应予注意，即列入民航公共数据资源目录的数据，作为数据提供方的企业应按照相关要求，无条件提供数据并向行业数据共享与服务平台归集，由此来看，民航公共数据资源目录中的数据应属于无条件共享数据。民航公共数据资源目录数据似也无法含有个人信息，理由同前。

2. 共享数据资源目录与共享采集任务清单

● 虽然二份征求意见稿均强调了目录和数据共享采集任务清单统一管理的原则，但其落实到具体规则设计上似乎又与该原则不太一致。这种分领域、分地域制定各自数据目录的做法，可能会导致不同业务部门和地区的资源目录中对于同一数据的分类、分级、管理要求等不一致，从而导致规则之间的冲突，并可能使跨地区、跨领域的企业需面对多方不同的要求、难以有效开展数据治理工作。值得探讨的是，是否可以由民航局制定一份全国统一适用的目录，且对任务清单进行合理定位，明确企业统一仅按照目录进行数据采集、归集/共享，各业务部门、各地区管理局仅负责根据本领域和本辖区的情况提出意见和建议。《民航数据目录管理制度》应对各目录和清单进行统一或至少明确层级关系，否则企业难以有序地开展相关数据采集、归集以及共享工作。

● 共享数据资源目录是企业数据资源目录的特殊子目录，数据资源目录相关规定企业亦应一并遵守，详情请见第二节2.数据资源目录中的分析。

3. 数据归集

要点解读：

● 企业开展数据归集工作的依据是数据共享采集任务清单，如前一节所介绍，不同业务部门以及地区管理局均可自行制定数据共享采集任务清单，由此可能会导致清单的统一性无法得到有效保证。此外，提供方企业还被要求对其归集行为负责，但若无法保证清单是统一且互不冲突的，能否达到归集数据的完整性、准确性、时效性的政策目标也将存疑。

● 《民航数据管理办法（征求意见稿）》还规定了民航公共数据资源目录的数据，数据提供方企业应按要求无条件提供数据并向行业数据共享与服务平台归集；企业应注意，同样需在行业数据共享与服务平台登记、审核、汇总的，还有企业数据资源目录。

4. 数据获取与使用

要点解读：

● 履职或提供公共服务需要获取数据的行为应明确上位法依据、授权来源并应严格限定获取内容以及设立公开、透明、合理的获取程序机制，否则该项举措可能会降低相关企业对平台的信任度，从而打击企业落实数据共享的积极性。

● 对于有条件共享类数据，即使满足相关条件，企业需注意仍应履行备案义务。履行备案义务的具体要求及实施流程未进行明确，未来需待有关部门颁布相应实施细则。

● 如前一节所述，企业需按照任务清单将数据归集至相应数据中心，但《民航数据共享办法（征求意见稿）》第二十四条是针对纳入《民航共享数据资源目录》的数据做出的共享终止限制。那么对于企业按清单归集数据的行为，是否也应受到同样约束？这也是由于目录与清单之间的层级关系不明确、归集数据的依据不统一所导致的问题之一。

5. 保障监督

要点解读：

● 与《民航数据管理办法（征求意见稿）》提出的每年自查数据管理情况的要求相比，《民航数据共享办法（征求意见稿）》第二十六条要求的频率更高一些。另一方面，数据管理情况自查可能本就包含数据共享工作自查，如此高频率且有可能涉及重复工作的自查要求在实践中会给企业带来不必要的合规负担，从而影响企业落实相关实质工作。

三、民航数据的界定

➟ 公共数据：民航各级行政机关、具有管理行业公共事务职能的单位和民航公共服务运营单位，在依法履行职责或者提供公共服务过程中收集、产生的用于行业监管、安全保障、宏观调控、市场管理、运行监测等的数据，例如飞行记录数据、持续适航报告数据、运行绩效监控数据、事故及事故征候调查数据等；

➟ 企业数据：包括从事民用航空活动的各运行主体（例如各类型的航司，机场）、教育和科研机构、社会团体、企业等法人单位（简称“民航企事业单位”）在生产经营活动中采集加工的不涉及个人信息和公共利益的数据，例如飞机及相关设备数据，航班相关数据等；

➟ 个人信息数据：承载个人信息的数据，不包括匿名化处理后的信息，例如旅客证件号、行李号、手机号及姓名数据等。

四、民航数据分类定级及工作流程

1. 数据分类

民航领域数据主要有两级类别，一级类别九个域：

宏观调控域、安全监管域、市场管理域、航空安全保卫域、生产运行域、航空服务域、机场工程域、空中交通管理域、国际交流合作域。

二级类别是在一级类别上依据业务特点进行细分，详细分类参见办法征求意见稿的附件1。

2. 数据分级

这里的分级就是将民航数据分成核心数据、重要数据和一般数据。定级的因素主要考虑数据的规模、精度、深度、采用定性定量相结合的方式，综合判定影响对象、危害程度。

规模是指民航领域数据描述对象覆盖的群体、区域的范围或数量大小。精度是指民航领域数据的精确程度，数据精度越高，表示采集的数据和真实数据的误差越小。深度是指民航领域数据描述对象的隐含信息挖掘触达程度，或多维度细节信息的刻画程度。

所以，数据处理者在定级的时候，应当将这些因素都考虑上，定性定量相结合的方式综合判断级别。比如航司希望出境旅客数据，就需要看多少人的旅客数据，都有哪些类型，是否采取了匿名化措施或去标识化措施减少了精度，是否采取了最小化措施减少了类型从而影响深度？从目前的局方的办法征求意见稿中，规模角度，100万以及一个亿看来是两个门槛，虽然目前还是征求意见稿，在没有其他可参考的文件时还是能参考用的。

3. 实施流程

实施流程如下：

盘点梳理资产——先分类——再定级——上报地区管理局——初审——汇总上报数安办——审核确认——汇总目录——确定级别，分级保护。当然，局属单位就没有地区管理局初审和上报这个步骤，而是直接向数安办报，其余的还是一致的。

在实践中，各数据处理者就出现了问题：局方想建立重要数据目录，但是采取了自下而上的方式构建重要数据目录，而非自上而下的方式，但是又反向地出现一个问题：各单位各航司对于什么信息属于重要数据无从判断，虽然办法征求意见稿给出了定义以及分级的识别方式，但是仍然会有拿不准的地方，按照下面的实施流程的话，最好的方式也就是各单位先把值得怀疑的数据都报上去，局方审核，审核完了汇总，各单位再按照目录定位自己的。

这样的方式有利于全面掌握各单位的重要数据和核心数据情况，但是对于航司目前有一个非常棘手的问题：上报的重要数据可能不准，现在又要根据《数据出境安全评估办法》对重要数据出境进行评估，如果不能确定重要数据的范围的话，就会涉及到申报的范围不确定，等以后确定了，可能会导致另外一种不合规的问题出现。而且航司提交重要数据出境的安全评估至网信办，也会导致网信办再与局方沟通，也增加了局方的负担。所以这一问题仍然需要考虑。

五、民航数据的处理

（一）民航数据资源目录

民航数据资源目录的管理权责分配为：

➟ 民航局数据统筹管理部门（即智慧办和民航数据安全工作领导小组办公室（简称“数安办”））负责编制并更新总的民航数据资源目录；

➟ 民航局各业务主管部门和地区管理局负责各自主管领域或辖区的数据资源目录的审核、管理和更新维护。

《民航数据资源目录管理制度》已经被列入“4项制度”之一，我们理解该制度将进一步规定民航资源目录的管理细则。

另外，民航数据资源目录可以按照属性筛选划分为多个子目录，如民航共享数据资源目录、民航公共数据资源目录等。

其中，对于民航共享数据资源目录，《民航数据共享管理办法（征求意见稿）》（以下简称“《共享管理办法（征）》”）已有相关规定。根据《共享管理办法（征）》的规定，民航共享数据资源目录中应当明确数据名称、数据内容、数据格式、数据提供方、共享类型、安全等级、使用要求、使用条件、使用范围、更新频率、共享方式等基本信息，其编制流程为：民航各级行政部门及民航企事业单位提出数据需求和可共享数据资源目录，由民航数据统筹管理部门会同相关业务的主管部门进行编制和发布。

（二）数据采集

根据《民航数据管理办法（征求意见稿）》（以下简称“《数据管理办法（征）》”）的规定，民航数据资源目录中所列的各项数据的提供方，应当按照目录中的更新频率要求、格式要求以及该数据相关标准规范组织开展数据采集工作，且需要无条件提供所掌握的全部相关数据，并向行业数据共享与服务平台归集，同时也应当保证数据的准确性、完整性、时效性和一致性。

我们理解上述规定将提高民航数据的采集和利用效率，有利于实现“一次采集，共享使用”。

（三）数据共享

《共享管理办法（征）》根据数据提供方对数据共享的决定权限的不同，将民航数据分为如下三种类型：

➟ 无条件共享：无需数据提供方授权，即可提供给所有部门、单位和个人，民航各级行政部门、民航企事业单位和个人可依法申请使用（如按照《中华人民共和国政府信息公开条例》规定，属于主动公开信息相关的数据）；

➟ 有条件共享：经数据提供方授权，可提供给部分部门或单位共享使用或仅可部分提供给所有部门或单位共享使用，其中又可分为有条件无偿共享和有条件有偿共享；

➟ 不予共享：数据提供方明确不提供用于共享使用，该类数据不宜提供给其他部门、单位或个人共享使用；但列入不予共享范围的，必须有国家和行业相关法律法规等依据。

上述三种类型并非固定不变的，一种类型的民航数据在具备了另一个种类型数据的条件时，民航局及相关业务主管部门应当及时进行转换。对于不予共享的数据，民航局及相关业务主管部门也有义务在法律法规允许的范围内，推动其向有条件共享或无条件共享数据转化。

六、民航数据安全

单位数据安全管理制度并严格执行，落实数据安全管理责任，加强数据安全保护和监督管理工作。

《数据管理办法（征）》还明确了分级分类保护、全生命周期防护、监测预警信息通报等数据安全保护制度。

值得注意的是，“1+3+4+N”中的“3部管理办法”，除了本文讨论的两个办法之外，还有《民航数据安全管理办法》尚未公布。另外，《民航领域数据分类分级办法》《民航数据全生命周期管理制度》和《民航数据安全信息通报办法》，与上文提到的《民航数据资源目录管理制度》一并被列为“1+3+4+N”中的“4项制度”。

七、民航数据管理

（一）管理部门职责分工

各管理部门分工情况如下表：

（二）管理措施建议

1. 管理部门评估和检查

根据两个办法的规定，民航局数据统筹管理部门（智慧办和数安办）应当会同民航局相关业务主管部门和各地区管理局，组织开展对各单位数据目录编制、数据质量、数据共享、数据应用、数据安全保障、数据平台建设、数据标准实施等情况的监督检查与工作评估，并将评估结果作为对领导干部考核评价的参考

2. 单位自查

对于管理部门的评估和检查，民航企事业单位应当予以配合。且民航企事业单位应当每年针对本单位数据管理和数据共享情况开展自查，并将情况按规定报送民航局数据统筹管理部门或所在辖区民航地区管理局。

3. 限期整改、通报批评

根据《数据管理办法（征）》第41条《共享管理办法（征）》第27条和的规定，民航企事业单位出现规定的情形的，民航局数据统筹管理部门（智慧办和数安办）可以采取责令改正、通报批评等措施。

八、民航数据出境合规

（一）数据出境安全评估申报

根据国家网信办此前的《数据出境安全评估办法》第四条，数据处理者向境外提供数据，有下列情形之一的，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估：

（一）数据处理者向境外提供重要数据；
（二）关键信息基础设施运营者和处理100万人以上个人信息的数据处理者向境外提供个人信息；
（三）自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者向境外提供个人信息；
（四）国家网信部门规定的其他需要申报数据出境安全评估的情形。

而航空公司在当时的困境在于：航空公司飞国际航线的时候，旅客个人信息不可能不出境，而数据出境就会落入到上述的门槛范畴，因为航空公司多数用户量都是够标准的，并且部分航司已经获得主管机关关于关键信息基础设施的认定，很难免于申报的义务。

航司在这段时间内报了哪些数据出境场景？

以下几个场景：

（1）订座场景以及海外客服场景；
（2）离港及地面代理人场景；
（3）航空联盟业务场景；
（4）航司间数据交换场景；
（5）航司当地公司访问境内存储信息的场景；

为什么申报的通过率低，整改周期长？

航司在数据出境安全评估申报过程中，在旧规下，需要先提交至省级网信办审核完备性，再由省网信办提交至国家网信办做安全评估审查。

然而在第一步，多数航司就停下了脚步，因为提供的材料完备性不足，或无法提供，导致省网信办要求整改。其中一个最重要的材料，就是第39条下的告知和单独同意材料。

在这个问题下，不难发现的是，在订座、离港环节上，航司能够提供旅客单独同意的实际能力基本为0。首先，从实践角度，中航信系统以及外方GDS系统并非航司的，航司只是相关系统的使用者，航司在系统上的设置的能力有限，并且中航信无法实际为某一个航司设置关于数据出境的单独同意。其次，从法律角度，单独同意确实是一种高标准的同意，但是不可否认的是，第三十九条下的单独同意仍然在第十三条“同意”的范畴内，此时，对于第十三条下，可以不获取同意的情形一旦能够适用，比如履行合同所必需是可以适用时，同意是能够被豁免的，而且在履行与个人之间的合同所必需这一合法性基础上，获得单独同意本身在理论上出现了逻辑悖论，即已经是履行合同所必须的信息时获得单独同意与否并非必要，在实践中更是很难操作的，因此部分航司在这一问题上没有与省级网信办达成一致观点，导致项目停留在省级网信办未能向国家网信办一级推进。

（二）航司个人信息出境的合规义务变化

豁免情形包括：

1. 未被相关部门、地区告知或者公开发布为重要数据的，数据处理者不需要作为重要数据申报数据出境安全评估；

2. 数据处理者在境外收集和产生的个人信息传输至境内处理后向境外提供，处理过程中没有引入境内个人信息或者重要数据的，免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。

3. 为订立、履行个人作为一方当事人的合同，如跨境购物、跨境寄递、跨境汇款、跨境支付、跨境开户、机票酒店预订、签证办理、考试服务等，确需向境外提供个人信息的；

4. 按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需向境外提供员工个人信息的；

5. 紧急情况下为保护自然人的生命健康和财产安全，确需向境外提供个人信息的；

6. 关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）的。

而在豁免情形中，需要注意的是，为订立、履行个人作为一方当事人的合同，确需向境外提供个人信息的，比如与笔者此前的建议一致，在订座、离港环节上，确实是在履行与旅客的运输总条件、服务协议的角度上，确需向境外提供个人信息，包括将个人信息提供至境外的系统上处理，以确保航司能够完成信息预报义务、安全检查、登机、地面服务支持、行李找寻等多服务环节上为旅客提供客运服务。

但是在航司间场景上、航空联盟场景上，可能会出现对于履行合同“确需”的一个争议。在此前我们为客户提供服务的过程中，在申报航空联盟的场景上时，国家网信办认为航空联盟业务在多数服务上，如积分/里程的累计追补、兑换等，本质上并不是一个客运的基本必需业务，应当视为是扩展业务或非必需业务，此时在此类业务上产生的个人信息处理、交换和跨境传输，需要旅客以其自愿进行选择，而非航司默认提供，换言之，在航空联盟业务上，以及航司间的数据交换的场景上，需要先行判断，是否为“为订立、履行个人作为一方当事人的合同”的“确需出境”，而非当然判断其为“确需”。此时就会产生无法落入豁免的可能性，从而有可能进一步涉及到按照新规的要求，达到新规的数据出境安全评估申报或个人信息出境标准合同备案的门槛时进行对应的申报或备案。

对于另外一个问题是，如果一些航司在没有达到申报门槛，也没有落入豁免的，还要进一步分析，是不是需要开展个人信息出境标准合同备案工作，即按照新规的第八条：关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供10万人以上、不满100万人个人信息（不含敏感个人信息）或者不满1万人敏感个人信息的，应当依法与境外接收方订立个人信息出境标准合同或者通过个人信息保护认证。

举例，比如某境内航司，未被主管机关认定为关键信息基础设施运营者，在某场景上比如联盟场景上，如经评估未落入至豁免范畴，在出境所涉人数上未达到安全评估申报门槛，则进一步分析是否落入个人信息出境标准合同备案门槛或认证，如落入，则在这一场景上还应当依法与境外接收方订立个人信息出境标准合同或者通过个人信息保护认证。

九、更多内容推荐

• 《民航数据管理办法（征求意见稿）》及《民航数据共享管理办法（征求意见稿）》要点解读　[杨洪泉、吴雯，北京安杰世泽律师事务所]
• 智慧民航进阶——民航数据管理新规征求意见　[朱俊、秦威，汉坤律师事务所]
• 欲知平直，则必准绳；欲知方圆，则必规矩——《民航数据管理办法（征求意见稿）》《民航数据共享管理办法（征求意见稿）》 解读　[彭晓燕、许丽虹、温尔澈，万商天勤律师事务所]
• 数据出境新规对航空公司个人信息出境带来的变化　[张德昊，斐石律师事务所]
• 《民航领域数据分类分级办法（征求意见稿）》下的重要数据识别　[张德昊，斐石律师事务所]

十、法律法规与新闻

法律法规

• 民航局发展计划司关于征求《民航数据管理办法》《民航数据共享管理办法》意见的通知　[民用航空局][2024-06-04]
• 智慧民航建设领导小组办公室关于征求《民航数据管理办法（征求意见稿）》《民航数据共享管理办法（征求意见稿）》意见的函　[民用航空局][2024-03-11]
• 民航局关于印发《推动新型基础设施建设促进民航高质量发展实施意见》的通知　[民航发〔2020〕62号][2020-12-24印发]
• 促进和规范数据跨境流动规定　[国家互联网信息办公室令第16号][2024-03-22施行]
• 数据出境安全评估办法　[国家互联网信息办公室令第11号][2022-09-01施行]
• 个人信息出境标准合同办法　[国家互联网信息办公室令第13号][2023-06-01施行]
• 中华人民共和国个人信息保护法　[中华人民共和国主席令第91号][2021-11-01施行]
• 中华人民共和国数据安全法　[中华人民共和国主席令第84号][2021-09-01施行]
• 关于印发《企业数据资源相关会计处理暂行规定》的通知　[财会〔2023〕11号][2024-01-01施行]

新闻

• 《民航数据管理办法》等两办法公开征意　[2024-03-12]