5月27日，上海商会发布了最新的视点关于中国“网络安全法”下的个人数据规定如何影响会员公司的报告。报告被翻译成中文，并送交上海市商务委员会。主要调查结果如下：
执行摘要
在2019年2月和3月，我们采访了17家外国公司的网络安全、数据和IT专业人士，了解他们如何管理收集的数据，他们如何理解中国的数据制度，以及中国的数据监管如何影响他们在中国的业务运作。这些公司表示，虽然它们认识到加强数据管理和保护个人信息的重要性，但它们关切的是，本地化要求繁重、语言含糊、法律要求含糊不清、执行不一致、在起草过程中缺乏投入，以及中国“网络安全法”(CSL)的安全评估费用过高。
关键问题
繁重的本地化要求。数据本地化要求是我们大多数答复公司面临的最大障碍。已经遵守规定但仍在进行跨境转移的公司也必须花费大量资金，在将数据发送到国外之前将其匿名化。从外部来源购买数据的公司也必须花费时间和金钱来确保数据符合CSL。
法律中的模糊语言。企业仍不确定什么是“重要数据”，哪些公司将被归类为“关键信息基础设施运营商”。跨境转移规则中的措辞不明确，也存在特定行业的含糊不清之处，比如在医疗保健领域，法律在如何匿名医疗病人数据方面存在差距。
对法律要求和建议含糊不清。许多公司不确定什么是标准规定的法律规定，什么只是一项建议。这种模棱两可的含糊不清造成了企业的竞争劣势，这些企业采用全公司范围的流程来完全遵守那些“风险”而不严格遵循这些标准的流程。
该法的实施不一致。公司抱怨政府机构之间缺乏合作，导致CSL的实施不一致。在某些情况下，不同的部委突然颁布了与以前的条例相抵触的法律。同样，公司还抱怨国家和地方执行之间的不一致。
起草法律没有发言权。我们很多议员觉得政府在草拟和执行这些法例时，忽略了他们的声音。虽然外国公司能够单独或集体地向条例草案提出公开意见，但它们认为，“有时外国公司被排除在外或被遗忘”，“国内公司比[外国公司]更早了解和更多地了解条例的变化。”然而，这种看法在我们的受访者中并不普遍-一些更大、更成熟的跨国公司报告说，有充分的机会与监管机构接触并参与条例起草进程。
定价过高的安全评估。“网络安全分类保护分级准则”所要求的年度安全评估费用太高。滥用行政权力作为牟取暴利的工具，有违公共服务的原则，在经济已趋疲弱的情况下，加重了公司的财政负担。
建议
为政府
在起草法规时，除了公开评论期外，还提供更多渠道，以便从国内外公司获得反馈。
改善不同机构之间的协调，以确保有效地推出法律和规章，并使大型跨国公司有充足的时间遵守。
使地方一级的法律执行标准化，以确保与国家法律的一致性。
为CSL或其支持措施所要求的任何安全评估设置明确的收费结构，不要滥用行政权力作为牟利工具。
为公司
