網(wǎng)上投稿
2017年4月11日，國家互聯(lián)網(wǎng)信息辦公室發(fā)布了關(guān)于《個人信息和重要數(shù)據(jù)出境安全評估辦法（征求意見稿）》（以下簡稱“《數(shù)據(jù)出境辦法（征求意見稿）》”）公開征求意見的通知。根據(jù)我國既往的立法實踐，規(guī)范性文件的征求意見稿往往與最后實施的正式文件在內(nèi)容上差異不大，故而通過對《數(shù)據(jù)出境辦法(征求意見稿)》條文的梳理與探討，有助于企業(yè)及時預(yù)判立法與執(zhí)法動態(tài)、提前做好合規(guī)工作。《數(shù)據(jù)出境辦法(征求意見稿)》共計十八條，結(jié)合其具體內(nèi)容，我們認(rèn)為有以下幾個方面值得關(guān)注。
一、上位法的依據(jù): 《國家安全法》、《網(wǎng)絡(luò)安全法》
《數(shù)據(jù)出境辦法(征求意見稿)》第一條明確指出其依據(jù)為《中華人民共和國國家安全法》(以下簡稱“《國家安全法》”)《中華人民共和國網(wǎng)絡(luò)安全法》(以下簡稱“《網(wǎng)絡(luò)安全法》”)等法律法規(guī)，《數(shù)據(jù)出境辦法(征求意見稿)》將出境數(shù)據(jù)須評估的范圍界定為個人信息以及重要數(shù)據(jù)具有上位法依據(jù)?！秶野踩ā返谑鶙l規(guī)定國家“保障公民的生命財產(chǎn)安全和其他合法權(quán)益”，個人信息具有數(shù)據(jù)和公民權(quán)益雙重屬性：第二十五條明確規(guī)定國家“實現(xiàn)網(wǎng)絡(luò)和信息核心技術(shù)、關(guān)鍵基礎(chǔ)設(shè)施和重要領(lǐng)域信息系統(tǒng)及數(shù)據(jù)的安全可控”，重要數(shù)據(jù)即對應(yīng)“關(guān)鍵基礎(chǔ)設(shè)施和重要領(lǐng)域信息系統(tǒng)及數(shù)據(jù)”。因此，《數(shù)據(jù)出境辦法(征求意見稿)》并非僅僅是《網(wǎng)絡(luò)安全法》第三十七條的細(xì)化配套實施辦法。這一認(rèn)識有助于我們正確解讀數(shù)據(jù)出境的相關(guān)要求。
二、規(guī)范的主體: 網(wǎng)絡(luò)運(yùn)營者的內(nèi)涵
根據(jù)《數(shù)據(jù)出境辦法(征求意見稿)》第二條[1]的內(nèi)容，該辦法規(guī)范的主體系“網(wǎng)絡(luò)運(yùn)營者”。《數(shù)據(jù)出境辦法(征求意見稿)》在“網(wǎng)絡(luò)運(yùn)營者”的定義上與《網(wǎng)絡(luò)安全法》保持了一致，是指“網(wǎng)絡(luò)的所有者、管理者和網(wǎng)絡(luò)服務(wù)提供者”。全國人大法工委經(jīng)濟(jì)法室副主任楊合慶先生在其主編的《中華人民共和國網(wǎng)絡(luò)安全法解讀》中指出，“在本法制定前的法律中，更多的使用網(wǎng)絡(luò)服務(wù)提供者的概念，它包括網(wǎng)絡(luò)接入服務(wù)提供者(ISP)和網(wǎng)絡(luò)內(nèi)容服務(wù)提供者(ICP)兩類。由于網(wǎng)絡(luò)安全法規(guī)定的網(wǎng)絡(luò)除互聯(lián)網(wǎng)外還包括局域網(wǎng)和工業(yè)控制系統(tǒng)，它們很多不向社會提供商業(yè)或公共服務(wù),但其所有者和控制者也必須承擔(dān)相應(yīng)的安全義務(wù)，防范網(wǎng)絡(luò)安全風(fēng)險，保障網(wǎng)絡(luò)安全穩(wěn)定運(yùn)行?！庇纱丝梢?“網(wǎng)絡(luò)運(yùn)營者”的概念比“網(wǎng)絡(luò)服務(wù)提供者”的概念更為寬泛，值得讀者予以關(guān)注。
|
對應(yīng)的部門
|
規(guī)定的名稱
|
使用的概念
|
|
立法部門
|
《網(wǎng)絡(luò)安全法》(主席令第53號)
|
網(wǎng)絡(luò)運(yùn)營者
|
|
行政部門
|
《信息網(wǎng)絡(luò)傳播權(quán)保護(hù)條例》(國務(wù)院令第634號)
|
網(wǎng)絡(luò)服務(wù)提供者
|
|
《互聯(lián)網(wǎng)信息服務(wù)管理辦法》(國務(wù)院令第588號)
|
互聯(lián)網(wǎng)信息服務(wù)提供者
|
|
|
司法部門
|
《最高人民法院關(guān)于審理利用信息網(wǎng)絡(luò)侵害人身權(quán)益民事糾紛案件適用法律若干問題的規(guī)定》(法釋[2014]11號)
|
網(wǎng)絡(luò)服務(wù)提供者
|
“互聯(lián)網(wǎng)信息服務(wù)提供者”<“網(wǎng)絡(luò)服務(wù)提供者”<“網(wǎng)絡(luò)運(yùn)營者”
此外，《數(shù)據(jù)出境辦法(征求意見稿)》第十六條規(guī)定“其他個人和組織在中華人民共和國境內(nèi)收集和產(chǎn)生的個人信息和重要數(shù)據(jù)出境的安全評估工作參照本辦法執(zhí)行”，因此，除了網(wǎng)絡(luò)運(yùn)營者之外，《數(shù)據(jù)出境辦法(征求意見稿)》將所有主體都“一網(wǎng)打盡”。
三、規(guī)范的適用: 范圍、行為與對象
(一)適用的范圍
依據(jù)《數(shù)據(jù)出境辦法(征求意見稿)》的定義，“數(shù)據(jù)出境”是指網(wǎng)絡(luò)運(yùn)營者將在中華人民共和國境內(nèi)運(yùn)營中收集和產(chǎn)生的個人信息和重要數(shù)據(jù), 提供給位于境外的機(jī)構(gòu)、組織、個人。對于“境內(nèi)”一詞的理解,我們認(rèn)為有以下兩點(diǎn)值得注意：
第二，“境內(nèi)運(yùn)營中收集和產(chǎn)生的個人信息和重要數(shù)據(jù)”的表述沒有明確“境內(nèi)”的涵義，即具體是網(wǎng)絡(luò)運(yùn)營者位于境內(nèi)或“收集和生產(chǎn)”信息或數(shù)據(jù)的服務(wù)設(shè)備位于境內(nèi)，還是被收集信息或數(shù)據(jù)的服務(wù)對象位于境內(nèi)，在《數(shù)據(jù)出境辦法(征求意見稿)》中并未明確定義。我們理解，“運(yùn)營”一詞具有寬泛的含義，同時互聯(lián)網(wǎng)本身具有跨地域的屬性，“境內(nèi)”+“運(yùn)營”的表述在理解上容易引發(fā)歧義，有待《網(wǎng)絡(luò)安全法》正式施行后的司法案例或有關(guān)部門出臺細(xì)則予以釋明。
|
條文表述
|
有待釋明的情形
|
需要探討的原因
|
|
“網(wǎng)絡(luò)運(yùn)營者將在中華人民共和國境內(nèi)運(yùn)營中收集和產(chǎn)生的個人信息和重要數(shù)據(jù)”
|
網(wǎng)絡(luò)運(yùn)營者的辦公地點(diǎn)不在境內(nèi)是否適用
|
目前法律尚未明確“信息”的法律地位，僅側(cè)重保護(hù)個人信息的收集與利用，使得在處理具體問題時， 信息或數(shù)據(jù)是附屬于服務(wù)對象或附屬于存儲介質(zhì)或附屬于歸集主體尚不明確
|
|
網(wǎng)絡(luò)運(yùn)營者的辦公地點(diǎn)在境內(nèi)，收集和生產(chǎn)信息或數(shù)據(jù)的服務(wù)設(shè)備不在境內(nèi)是否適用
|
||
|
網(wǎng)絡(luò)運(yùn)營者的服務(wù)對象不在境內(nèi)是否適用
|
除了上述地域?qū)用娴囊?guī)范適用問題外，《數(shù)據(jù)出境辦法(征求意見稿)》的適用位階問題也值得讀者關(guān)注。根據(jù)《數(shù)據(jù)出境辦法(征求意見稿)》第二條、第十五條[2]、第十六條[3], 就數(shù)據(jù)出境的法律適用，結(jié)合《網(wǎng)絡(luò)安全法》第三十七條[4]，以及《國家安全法》第二十五條, 我們可以得出以下兩點(diǎn)結(jié)論:
第一，對照《數(shù)據(jù)出境辦法(征求意見稿)》第二條與《網(wǎng)絡(luò)安全法》第三十七條以及《國家安全法》第二十五條，我們理解前者對應(yīng)的規(guī)范性文件是后者規(guī)定的具體化，在適用時遵照《數(shù)據(jù)出境辦法(征求意見稿)》修訂生效施行后的正式文件；
第二，我國政府與其他國家或地區(qū)簽署的關(guān)于數(shù)據(jù)出境的協(xié)議、涉及國家秘密信息的具體規(guī)定或其他個人和組織涉及數(shù)據(jù)出境的具體規(guī)定，在適用時會優(yōu)位于《數(shù)據(jù)出境辦法(征求意見稿)》修訂生效后的正式文件。
|
適用性(先)
|
適用性(中)
|
適用性(后)
|
|
我國政府與其他國家或地區(qū)簽署的關(guān)于數(shù)據(jù)出境的協(xié)議
|
《數(shù)據(jù)出境辦法(征求意見稿)》修訂生效后的正式文件【操作性較強(qiáng)】
|
《網(wǎng)絡(luò)安全法》第三十五條以及《國家安全法》第二十五條【原則性較強(qiáng)、操作性較弱】
|
|
涉及國家秘密信息的具體規(guī)定
|
||
|
其他個人和組織涉及數(shù)據(jù)出境的具體規(guī)定
|
(二)適用的行為
依據(jù)《數(shù)據(jù)出境辦法(征求意見稿)》的定義，網(wǎng)絡(luò)運(yùn)營者在“提供”相關(guān)信息或數(shù)據(jù)時，將適用該辦法。實踐中，“提供”在形態(tài)上區(qū)分為主動提供與被動提供，在模式上區(qū)分為線上提供與線下提供。對于“提供”一詞的理解，我們認(rèn)為有以下兩點(diǎn)值得注意:
第一, 我們理解, 網(wǎng)絡(luò)運(yùn)營者直接通過網(wǎng)絡(luò)將相關(guān)信息或數(shù)據(jù)傳輸給境外機(jī)構(gòu)、組織或個人的情形，顯而易見系屬于“提供”行為，網(wǎng)絡(luò)運(yùn)營者允許前述境外主體通過網(wǎng)絡(luò)訪問、讀取相關(guān)信息或數(shù)據(jù)，在行為效果上與主動提供一致，故而類似“被動提供”的行為受到該辦法的規(guī)范也應(yīng)是題中之義；
第二，盡管“數(shù)據(jù)出境”的措辭容易使讀者聯(lián)想到網(wǎng)絡(luò)，但《數(shù)據(jù)出境辦法(征求意見稿)》的第一條[5]明確了該辦法的立法依據(jù)除了《網(wǎng)絡(luò)安全法》之外，還包括《國家安全法》，我們理解，盡管《數(shù)據(jù)出境辦法(征求意見稿)》修訂生效后的正式文件適用于數(shù)據(jù)被線下帶出境的情形在實踐中可操作性較低(例如:民航在安檢時核查乘客攜帶的信息或數(shù)據(jù)存儲介質(zhì)的合理性及合法性可能存在爭議)， 但在文義理解上, 依然無法排除該辦法不適用于線下的數(shù)據(jù)出境。
【注】箭頭方向代表《數(shù)據(jù)出境辦法(征求意見稿)》修訂生效后的正式文件的適用性由強(qiáng)到弱。
(三)適用的對象
在這里，“適用的對象”是個廣義的概念，包括“個人信息和重要數(shù)據(jù)”(標(biāo)的)，也包括“位于境外的機(jī)構(gòu)、組織、個人”(對象)。關(guān)于對“個人信息和重要數(shù)據(jù)”的理解，我們認(rèn)為有以下兩點(diǎn)值得注意:
第一，這里的“個人信息”并非指所有與個人有關(guān)的信息，而是指與個人有關(guān)且可以識別身份的信息，屬于相對狹義的概念。具體而言，《數(shù)據(jù)出境辦法(征求意見稿)》在定義上，沿用了《網(wǎng)絡(luò)安全法》的相關(guān)規(guī)定，明確“個人信息”是指以電子或者其他方式記錄的能夠單獨(dú)或者與其他信息結(jié)合識別自然人個人身份的各種信息，包括但不限于自然人的姓名、出生日期、身份證件號碼、個人生物識別信息、住址、電話號碼等。故而，經(jīng)過脫敏處理的個人信息不屬于該辦法中定義的個人信息。但值得注意的是, 如果巨量的脫敏信息使得信息獲得方可以通過該類脫敏信息獲得與國家安全、經(jīng)濟(jì)發(fā)展，以及社會公共利益密切相關(guān)的數(shù)據(jù)，則可能屬于“重要數(shù)據(jù)”。
第二，這里的“重要數(shù)據(jù)”的具體內(nèi)涵有賴于后續(xù)頒布的“國家有關(guān)標(biāo)準(zhǔn)和重要數(shù)據(jù)識別指南”。我們理解，《網(wǎng)絡(luò)安全法》中關(guān)于“重要數(shù)據(jù)”的規(guī)定確立了處置數(shù)據(jù)出境問題的基本原則，《數(shù)據(jù)出境辦法(征求意見稿)》修訂生效后的正式文件將在基本原則上進(jìn)一步明確處置的程序(評估、報告等)，而“重要數(shù)據(jù)”的內(nèi)涵可能會先在政府層面的政策方針中予以明確，再具體落實到法律法規(guī)中。在相關(guān)規(guī)定沒有出臺前，讀者可關(guān)注中國網(wǎng)信網(wǎng)(中共中央網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組辦公室官方網(wǎng)站, 鏈接地址：
http://www.cac.gov.cn/)中的相關(guān)時評以及國際慣例。
|
《網(wǎng)絡(luò)安全法》
(已頒布)
|
《個人信息和重要數(shù)據(jù)出境安全評估辦法》
(征求意見中)
|
“重要數(shù)據(jù)識別指南”
(待頒布)
|
|
確立處置數(shù)據(jù)出境問題的基本原則
|
明確處置數(shù)據(jù)出境問題的程序(評估、報告等)
|
明確“重要數(shù)據(jù)”的內(nèi)涵(即政府監(jiān)管的信息邊界)
|
對于“位于境外的機(jī)構(gòu)、組織、個人”的理解，我們認(rèn)為值得注意的是“機(jī)構(gòu)”一詞?！皺C(jī)構(gòu)”從廣義角度而言，包括政府機(jī)構(gòu)。在實踐中，如果網(wǎng)絡(luò)運(yùn)營者需要向境外政府機(jī)構(gòu)提供相關(guān)信息或數(shù)據(jù)，可能涉及兩部乃至多部法律的適用。前文所述的數(shù)據(jù)出境的雙邊或多邊協(xié)議會在一定程度上解決該問題，但在具體的協(xié)議出臺前，依據(jù)屬地原則，網(wǎng)絡(luò)運(yùn)營者仍需適用我國關(guān)于數(shù)據(jù)出境的管理辦法。如果境外對數(shù)據(jù)傳輸另有規(guī)定且與我國的規(guī)定有所沖突，我們建議相關(guān)網(wǎng)絡(luò)運(yùn)營者及時與我國網(wǎng)信主管部門溝通，明確相關(guān)規(guī)定或評估程序豁免適用的條件或情形。
四、外部評估的前提: 禁止規(guī)定以及啟動條件
《數(shù)據(jù)出境辦法(征求意見稿)》的第十一條[6]明確了數(shù)據(jù)禁止出境的情形，主要包括: 第一，個人信息出境未經(jīng)個人信息主體或作為未成年人的信息主體的監(jiān)護(hù)人的同意，或可能侵害個人利益；第二，數(shù)據(jù)出境給國家政治、經(jīng)濟(jì)、科技、國防等安全帶來風(fēng)險, 可能影響國家安全、損害社會公共利益。圍繞個人信息，最近公布的《中華人民共和國民法總則》(以下簡稱“《民法總則》”)第一百一十一條明確規(guī)定，自然人的個人信息受法律保護(hù)；任何組織和個人需要獲取他人個人信息的，應(yīng)當(dāng)依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息, 不得非法買賣、提供或者公開他人個人信息。結(jié)合《中華人民共和國合同法》關(guān)于格式條款的規(guī)定，我們理解網(wǎng)絡(luò)運(yùn)營者在信息收集和產(chǎn)生的過程中，通過電子方式擬定授權(quán)條款時應(yīng)當(dāng)符合相關(guān)法律的規(guī)定。此外，“影響國家安全、損害社會公共利益”是個相對寬泛的概念，網(wǎng)絡(luò)運(yùn)營者在簽訂數(shù)據(jù)出境協(xié)議時于風(fēng)險提示與承擔(dān)的條款中應(yīng)對有關(guān)情形予以明確約定。
|
數(shù)據(jù)禁止出境的情形
|
涉及的主要法律法規(guī)
|
網(wǎng)絡(luò)運(yùn)營者需關(guān)注的合同條款
|
|
個人信息出境未經(jīng)個人信息主體同意, 或可能侵害個人利益
|
《網(wǎng)絡(luò)安全法》
《民法總則》
|
授權(quán)許可類格式條款
|
|
數(shù)據(jù)出境影響國家安全、損害社會公共利益
|
《網(wǎng)絡(luò)安全法》
《國家安全法》
|
風(fēng)險提示與分擔(dān)條款
|
《數(shù)據(jù)出境辦法(征求意見稿)》的第九條[7]規(guī)定了安全評估的啟動程序，從擬出境數(shù)據(jù)涉及的規(guī)模、領(lǐng)域與重要性等方面明確數(shù)據(jù)出境前實施前置安全評估的條件。
|
類型
|
條件
|
要求
|
|
數(shù)據(jù)對應(yīng)的對象規(guī)模
|
含有或累計含有50萬人以上的個人信息
|
符合條件之一即需要申報安全評估
|
|
數(shù)據(jù)對應(yīng)的容量規(guī)模
|
數(shù)據(jù)量超過1000GB
|
|
|
數(shù)據(jù)對應(yīng)的相關(guān)領(lǐng)域
|
核設(shè)施、化學(xué)生物、國防軍工、人口健康等領(lǐng)域數(shù)據(jù)
|
|
|
數(shù)據(jù)對應(yīng)的環(huán)境信息
|
大型工程活動、海洋環(huán)境以及敏感地理信息數(shù)據(jù)
|
|
|
關(guān)鍵信息基礎(chǔ)設(shè)施的安全技術(shù)與實體內(nèi)容
|
關(guān)鍵信息基礎(chǔ)設(shè)施的系統(tǒng)漏洞、安全防護(hù)等網(wǎng)絡(luò)安全信息
|
|
|
關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者向境外提供個人信息和重要數(shù)據(jù)
|
五、評估的內(nèi)容: 國家與個人的兩個層面
《數(shù)據(jù)出境辦法(征求意見稿)》的第八條[8]規(guī)定了數(shù)據(jù)出境安全評估的重點(diǎn)評估內(nèi)容。該條第一款第一項指出了“數(shù)據(jù)出境的必要性”。目前，該辦法尚在征求意見的立法步驟中，我們尚不清楚立法者對于“必要性”的態(tài)度，即沒有必要出境的數(shù)據(jù)是否就無法通過安全評估。依據(jù)《數(shù)據(jù)出境辦法(征求意見稿)》第三條的規(guī)定，數(shù)據(jù)出境安全評估應(yīng)遵循公正、客觀、有效的原則，保障個人信息和重要數(shù)據(jù)安全，促進(jìn)網(wǎng)絡(luò)信息依法有序自由流動。故而，我們理解立法者對于數(shù)據(jù)出境的態(tài)度依然是中性的，側(cè)重于數(shù)據(jù)安全與信息自由的平衡。同時，對于評估后的處置程序亦未明確，從評估的立法本意來看，對于評估后的處置并非僅有可以出境與否的兩種答案，是否可以根據(jù)評估狀況，由網(wǎng)絡(luò)運(yùn)營者輔之以相應(yīng)措施后亦可出境，期望在后續(xù)的立法進(jìn)程中予以明確。
|
數(shù)據(jù)出境安全評估的重點(diǎn)評估內(nèi)容
|
|
|
數(shù)據(jù)出境的必要性(第一款第一項)
|
|
|
個人信息的要件(第一款第二項)
|
重要數(shù)據(jù)的要件(第一款第三項)
|
|
數(shù)據(jù)接收方的資質(zhì), 以及所在國家和地區(qū)的網(wǎng)絡(luò)安全環(huán)境(第一款第四項)
|
|
|
數(shù)據(jù)再轉(zhuǎn)移后可能帶來風(fēng)險(第一款第五項)
|
出境數(shù)據(jù)匯聚后可能帶來風(fēng)險(第一款第六項)
|
六、評估的機(jī)制: 主體、模式與要求
《數(shù)據(jù)出境辦法(征求意見稿)》的第五條至第七條、第十二條對安全評估的主體、模式與要求作出了規(guī)定，安全評估的機(jī)制主要包括內(nèi)部評估、外部評估、年度評估、二次評估等。
|
評估機(jī)制
|
相關(guān)條文
|
具體要求
|
|
|
內(nèi)部評估
|
第七條[9]
|
在數(shù)據(jù)出境前自行組織并對評估結(jié)果負(fù)責(zé)
|
|
|
外部評估
|
第五條[10]
第六條[11]
|
國家網(wǎng)信部門
|
統(tǒng)籌協(xié)調(diào)
|
|
行業(yè)主管或監(jiān)管部門
|
組織開展
|
||
|
年度評估
|
第十二條[12]
|
根據(jù)業(yè)務(wù)發(fā)展和網(wǎng)絡(luò)運(yùn)營情況, 每年至少進(jìn)行一次安全評估
|
|
|
二次評估
|
第十二條
|
當(dāng)數(shù)據(jù)接收方出現(xiàn)變更, 數(shù)據(jù)出境目的、范圍、數(shù)量、類型等發(fā)生較大變化, 數(shù)據(jù)接收方或出境數(shù)據(jù)發(fā)生重大安全事件時, 需要重新評估
|
|
由評估的方式來看，網(wǎng)絡(luò)運(yùn)營者開展內(nèi)部評估、年度評估以及二次評估的系其自我評估，在不涉及《數(shù)據(jù)出境辦法(征求意見稿)》第九條和第十一條規(guī)定情形下，均采取自我評估的方式，因此，網(wǎng)絡(luò)運(yùn)營者自我評估的能力和水平關(guān)乎企業(yè)的正常運(yùn)營。
七、建議
結(jié)合前述對《數(shù)據(jù)出境辦法(征求意見稿)》中相關(guān)條文的梳理與探討，我們就數(shù)據(jù)出境問題給出以下幾點(diǎn)建議:
第一，網(wǎng)絡(luò)安全已經(jīng)成為我國政府高度關(guān)注的問題，并上升到了“空間主權(quán)”的層面予以規(guī)范，網(wǎng)絡(luò)運(yùn)營者或者涉及網(wǎng)絡(luò)運(yùn)營的其他企業(yè)應(yīng)當(dāng)盡快對自身網(wǎng)絡(luò)安全工作進(jìn)行一次合規(guī)性審查，尤其是在近期有投融資規(guī)劃，或者金融資本近期擬進(jìn)入網(wǎng)絡(luò)科技領(lǐng)域的企業(yè)， 我們建議將網(wǎng)絡(luò)安全作為合規(guī)管理、盡職調(diào)查的重要事項之一予以對待。
第二，數(shù)據(jù)出境對應(yīng)的安全評估涉及自我評估的環(huán)節(jié)，對于在技術(shù)資質(zhì)、法律合規(guī)環(huán)節(jié)把控能力較弱的企業(yè)，我們建議聘請外部專業(yè)機(jī)構(gòu)進(jìn)行獨(dú)立評估，從而降低企業(yè)風(fēng)險。
第三，2016年10月國家稅務(wù)總局起草并對外發(fā)布了《非居民金融賬戶涉稅信息盡職調(diào)查管理辦法(征求意見稿)》，而此次的《數(shù)據(jù)出境辦法(征求意見稿)》再次提及“與其他國家、地區(qū)簽署的關(guān)于數(shù)據(jù)出境的協(xié)議”。我們理解以數(shù)據(jù)為核心的資產(chǎn)管理觀念正在國家層面形成，建議網(wǎng)絡(luò)運(yùn)營者或者涉及網(wǎng)絡(luò)運(yùn)營的其他企業(yè)應(yīng)積極響應(yīng)，以應(yīng)對外部政治、商業(yè)環(huán)境的實時變化。
【注釋】
[1]《個人信息和重要數(shù)據(jù)出境安全評估辦法(征求意見稿)》第二條規(guī)定，網(wǎng)絡(luò)運(yùn)營者在中華人民共和國境內(nèi)運(yùn)營中收集和產(chǎn)生的個人信息和重要數(shù)據(jù)，應(yīng)當(dāng)在境內(nèi)存儲。因業(yè)務(wù)需要, 確需向境外提供的，應(yīng)當(dāng)按照本辦法進(jìn)行安全評估。
[2]《個人信息和重要數(shù)據(jù)出境安全評估辦法(征求意見稿)》第十五條規(guī)定，我國政府與其他國家、地區(qū)簽署的關(guān)于數(shù)據(jù)出境的協(xié)議， 按照協(xié)議的規(guī)定執(zhí)行。涉及國家秘密信息的按照相關(guān)規(guī)定執(zhí)行。
[3]《個人信息和重要數(shù)據(jù)出境安全評估辦法(征求意見稿)》第十六條規(guī)定，其他個人和組織在中華人民共和國境內(nèi)收集和產(chǎn)生的個人信息和重要數(shù)據(jù)出境的安全評估工作參照本辦法執(zhí)行。
[4]《中華人民共和國網(wǎng)絡(luò)安全法》第三十七條規(guī)定，關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營者在中華人民共和國境內(nèi)運(yùn)營中收集和產(chǎn)生的個人信息和重要數(shù)據(jù)應(yīng)當(dāng)在境內(nèi)存儲。因業(yè)務(wù)需要，確需向境外提供的，應(yīng)當(dāng)按照國家網(wǎng)信部門會同國務(wù)院有關(guān)部門制定的辦法進(jìn)行安全評估；法律、行政法規(guī)另有規(guī)定的，依照其規(guī)定。
[5]《個人信息和重要數(shù)據(jù)出境安全評估辦法(征求意見稿)》第一條規(guī)定，為保障個人信息和重要數(shù)據(jù)安全，維護(hù)網(wǎng)絡(luò)空間主權(quán)和國家安全、社會公共利益，保護(hù)公民、法人和其他組織的合法利益，根據(jù)《中華人民共和國國家安全法》《中華人民共和國網(wǎng)絡(luò)安全法》等法律法規(guī)，制定本辦法。
[6]《個人信息和重要數(shù)據(jù)出境安全評估辦法(征求意見稿)》第十一條規(guī)定，存在以下情況之一的，數(shù)據(jù)不得出境: (一)個人信息出境未經(jīng)個人信息主體同意，或可能侵害個人利益；(二)數(shù)據(jù)出境給國家政治、經(jīng)濟(jì)、科技、國防等安全帶來風(fēng)險，可能影響國家安全、損害社會公共利益；(三)其他經(jīng)國家網(wǎng)信部門、公安部門、安全部門等有關(guān)部門認(rèn)定不能出境的。
[7]《個人信息和重要數(shù)據(jù)出境安全評估辦法(征求意見稿)》第九條規(guī)定，出境數(shù)據(jù)存在以下情況之一的，網(wǎng)絡(luò)運(yùn)營者應(yīng)報請行業(yè)主管或監(jiān)管部門組織安全評估: (一)含有或累計含有50萬人以上的個人信息；(二)數(shù)據(jù)量超過1000GB；(三)包含核設(shè)施、化學(xué)生物、國防軍工、人口健康等領(lǐng)域數(shù)據(jù)，大型工程活動、海洋環(huán)境以及敏感地理信息數(shù)據(jù)等；(四)包含關(guān)鍵信息基礎(chǔ)設(shè)施的系統(tǒng)漏洞、安全防護(hù)等網(wǎng)絡(luò)安全信息；(五)關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者向境外提供個人信息和重要數(shù)據(jù)；(六)其他可能影響國家安全和社會公共利益，行業(yè)主管或監(jiān)管部門認(rèn)為應(yīng)該評估。行業(yè)主管或監(jiān)管部門不明確的，由國家網(wǎng)信部門組織評估。
[8]《個人信息和重要數(shù)據(jù)出境安全評估辦法(征求意見稿)》第八條規(guī)定，數(shù)據(jù)出境安全評估應(yīng)重點(diǎn)評估以下內(nèi)容: (一)數(shù)據(jù)出境的必要性；(二)涉及個人信息情況，包括個人信息的數(shù)量、范圍、類型、敏感程度，以及個人信息主體是否同意其個人信息出境等；(三)涉及重要數(shù)據(jù)情況，包括重要數(shù)據(jù)的數(shù)量、范圍、類型及其敏感程度等；(四)數(shù)據(jù)接收方的安全保護(hù)措施、能力和水平，以及所在國家和地區(qū)的網(wǎng)絡(luò)安全環(huán)境等；(五)數(shù)據(jù)出境及再轉(zhuǎn)移后被泄露、毀損、篡改、濫用等風(fēng)險；(六)數(shù)據(jù)出境及出境數(shù)據(jù)匯聚可能對國家安全、社會公共利益、個人合法利益帶來的風(fēng)險；(七)其他需要評估的重要事項。
[9]《個人信息和重要數(shù)據(jù)出境安全評估辦法(征求意見稿)》第七條規(guī)定，網(wǎng)絡(luò)運(yùn)營者應(yīng)在數(shù)據(jù)出境前，自行組織對數(shù)據(jù)出境進(jìn)行安全評估，并對評估結(jié)果負(fù)責(zé)。
[10]《個人信息和重要數(shù)據(jù)出境安全評估辦法(征求意見稿)》第五條規(guī)定，國家網(wǎng)信部門統(tǒng)籌協(xié)調(diào)數(shù)據(jù)出境安全評估工作，指導(dǎo)行業(yè)主管或監(jiān)管部門組織開展數(shù)據(jù)出境安全評估。
[11]《個人信息和重要數(shù)據(jù)出境安全評估辦法(征求意見稿)》第六條規(guī)定，行業(yè)主管或監(jiān)管部門負(fù)責(zé)本行業(yè)數(shù)據(jù)出境安全評估工作，定期組織開展本行業(yè)數(shù)據(jù)出境安全檢查。
[12]《個人信息和重要數(shù)據(jù)出境安全評估辦法(征求意見稿)》第十二條規(guī)定, 網(wǎng)絡(luò)運(yùn)營者應(yīng)根據(jù)業(yè)務(wù)發(fā)展和網(wǎng)絡(luò)運(yùn)營情況, 每年對數(shù)據(jù)出境至少進(jìn)行一次安全評估, 及時將評估情況報行業(yè)主管或監(jiān)管部門。當(dāng)數(shù)據(jù)接收方出現(xiàn)變更, 數(shù)據(jù)出境目的、范圍、數(shù)量、類型等發(fā)生較大變化, 數(shù)據(jù)接收方或出境數(shù)據(jù)發(fā)生重大安全事件時, 應(yīng)及時重新進(jìn)行安全評估。
滬公網(wǎng)安備 31010402007129號
