網(wǎng)上投稿
一、 前言
隨著全球數(shù)字化程度的不斷加深，越來越多的企業(yè)涉足數(shù)字產(chǎn)業(yè)，數(shù)據(jù)的跨境流動已成為經(jīng)濟(jì)活動中不可或缺的部分，世界各國也越來越重視本國的數(shù)據(jù)安全，數(shù)據(jù)跨境法律監(jiān)管制度作為維護(hù)數(shù)據(jù)安全的重要一環(huán)也變得愈加重要，我國也在其中之列。2022年7月7日，國家網(wǎng)信辦正式發(fā)布《數(shù)據(jù)出境安全評估辦法》（國家互聯(lián)網(wǎng)信息辦公室令第11號，“《安全評估辦法》”），該安全評估辦法于2022年9月1日起正式施行。2023年2月24日，國家網(wǎng)信辦正式發(fā)布《個人信息出境標(biāo)準(zhǔn)合同辦法》及《個人信息出境標(biāo)準(zhǔn)合同》，該《標(biāo)準(zhǔn)合同辦法》于2023年6月1日正式施行，這就標(biāo)志著《個人信息保護(hù)法》第38條所規(guī)定的個人信息出境三大路徑已基本明晰。2023年9月28日，國家互聯(lián)網(wǎng)信息辦公室又就《規(guī)范和促進(jìn)數(shù)據(jù)跨境流動規(guī)定（征求意見稿）》公開征求意見，數(shù)據(jù)跨境流動的各類規(guī)范越來越有所完善。
二、 數(shù)據(jù)出境活動
1. 數(shù)據(jù)出境活動類型
數(shù)據(jù)跨境流動的活動類型多種多樣，數(shù)據(jù)出境出境活動主要包括兩類，第一類是數(shù)據(jù)處理者將在境內(nèi)運(yùn)營中收集和產(chǎn)生的數(shù)據(jù)通過各種方式傳輸、存儲至境外。如境內(nèi)企業(yè)使用境外供應(yīng)商以及境內(nèi)企業(yè)將數(shù)據(jù)上傳境外的云存儲空間供自己使用等情況。即便是境內(nèi)企業(yè)將數(shù)據(jù)傳輸至境外供自己使用的，由于該部分?jǐn)?shù)據(jù)已存儲至境外，存在著境外云服務(wù)商或境外政府調(diào)取的風(fēng)險，該種數(shù)據(jù)出境行為仍然需要受到監(jiān)管。第二類則是數(shù)據(jù)處理者將其境內(nèi)數(shù)據(jù)庫對外開放，使得境外的機(jī)構(gòu)、組織、個人能夠?qū)?shù)據(jù)進(jìn)行查詢、調(diào)取、下載、導(dǎo)出的操作。如外資企業(yè)的信息技術(shù)團(tuán)隊部署在境外，外資企業(yè)能夠通過互聯(lián)網(wǎng)訪問并處理境內(nèi)服務(wù)器上存儲的數(shù)據(jù)以提供服務(wù)。
2. 非數(shù)據(jù)出境行為
一些數(shù)據(jù)跨境流動并不屬于數(shù)據(jù)出境。如將非境內(nèi)收集和產(chǎn)生的數(shù)據(jù)傳輸至境外，且該部分?jǐn)?shù)據(jù)并未經(jīng)過任何變動或加工，則這并不屬于數(shù)據(jù)出境行為，而是數(shù)據(jù)過境。另外，如將在境內(nèi)存儲的不是在中國境內(nèi)運(yùn)營中收集和產(chǎn)生的個人信息和重要數(shù)據(jù)傳輸至境外，雖然此種情況存在部分加工行為，但由于未涉及到中國個人信息和重要數(shù)據(jù)，不屬于數(shù)據(jù)出境。
2023年9月28日，國家網(wǎng)信辦發(fā)布的《規(guī)范和促進(jìn)數(shù)據(jù)跨境流動規(guī)定（征求意見稿）》進(jìn)一步列舉了不需要“申報數(shù)據(jù)出境安全評估、訂立個人信息出境標(biāo)準(zhǔn)合同、通過個人信息保護(hù)認(rèn)證”的具體條件：
（一）國際貿(mào)易、學(xué)術(shù)合作、跨國生產(chǎn)制造和市場營銷等活動中產(chǎn)生的數(shù)據(jù)出境，不包含個人信息或者重要數(shù)據(jù)的。
（二）未被相關(guān)部門、地區(qū)告知或者公開發(fā)布為重要數(shù)據(jù)的。
（三）不是在境內(nèi)收集產(chǎn)生的個人信息向境外提供。
（四）為訂立、履行個人作為一方當(dāng)事人的合同所必需，如跨境購物、跨境匯款、機(jī)票酒店預(yù)訂、簽證辦理等，必須向境外提供個人信息的；
（五）按照依法制定的勞動規(guī)章制度和依法簽訂的集體合同實(shí)施人力資源管理，必須向境外提供內(nèi)部員工個人信息的；
（六）緊急情況下為保護(hù)自然人的生命健康和財產(chǎn)安全等，必須向境外提供個人信息的。
綜上，部分?jǐn)?shù)據(jù)跨境行為由于對國家、社會或者個人的利益影響較大故需受到國家監(jiān)管，而這部分受到監(jiān)管的數(shù)據(jù)出境活動將須依法依規(guī)出境，以便國家對此進(jìn)行監(jiān)管，否則將會遭受嚴(yán)厲的行政處罰。
三、 個人信息出境三大路徑
對于境內(nèi)企業(yè)進(jìn)行個人信息出境活動的合規(guī)方式，《中華人民共和國個人信息保護(hù)法》第三十八條明給出了數(shù)據(jù)出境安全評估、個人信息保護(hù)認(rèn)證以及與境外接收方訂立標(biāo)準(zhǔn)合同三大路徑。
（一） 數(shù)據(jù)出境安全評估：
指對于關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者和處理個人信息達(dá)到規(guī)定數(shù)量的個人信息處理者向境外提供在中國境內(nèi)收集和產(chǎn)生的個人信息，應(yīng)當(dāng)通過所在地省級網(wǎng)信部門申報并通過國家網(wǎng)信辦組織的安全評估。
數(shù)據(jù)出境安全評估主要是基于保障國家安全和公共利益考慮的數(shù)據(jù)跨境安全監(jiān)管機(jī)制，適用于出境數(shù)據(jù)規(guī)模大、數(shù)據(jù)類型特殊或數(shù)據(jù)處理者身份特殊的場景。
數(shù)據(jù)出境安全評估的適用條件:(1) 出境數(shù)據(jù)中含有重要數(shù)據(jù);(2) 數(shù)據(jù)據(jù)處理者為關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者（簡稱“CIIO”）;(3) 數(shù)據(jù)處理者為處理100萬人以上個人信息的數(shù)據(jù)處理者;(4) 自上年1月1日起累計向境外提供10萬人個人信息或者1萬人敏感個人信息的數(shù)據(jù)處理者。
（二） 個人信息保護(hù)認(rèn)證：
指希望通過獲得認(rèn)證來開展跨境處理活動的個人信息處理者，需要在符合GB/T 35273《信息安全技術(shù) 個人信息安全規(guī)范》的基礎(chǔ)上，滿足TC260-PG-20222A《個人信息跨境處理活動安全認(rèn)證規(guī)范》的要求。
個人信息保護(hù)認(rèn)證機(jī)制更適用于股權(quán)關(guān)聯(lián)企業(yè)或業(yè)務(wù)關(guān)聯(lián)企業(yè)，也即集團(tuán)公司或關(guān)聯(lián)公司之間存在長期頻繁、多方之間的數(shù)據(jù)傳輸場景，中國網(wǎng)絡(luò)安全審查技術(shù)與認(rèn)證中心是目前明確的官方認(rèn)證機(jī)構(gòu)。
（三） 個人信息出境標(biāo)準(zhǔn)合同備案：
指滿足特定條件的境內(nèi)企業(yè)可以通過與境外接收方共同簽訂標(biāo)準(zhǔn)合同并向所在地的省級網(wǎng)信部門備案的方式向境外提供個人信息。
個人信息出境標(biāo)準(zhǔn)合同是基礎(chǔ)性個人信息出境的機(jī)制，適用范圍最廣，通過標(biāo)準(zhǔn)合同簽署生效加備案即可。標(biāo)準(zhǔn)合同是跟大多數(shù)企業(yè)最相關(guān)、最基礎(chǔ)和最常用的跨境機(jī)制。
個人信息出境標(biāo)準(zhǔn)合同備案的適用條件:非關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者、處理個人信息不滿100萬人、自上年1月1日起累計向境外提供個人信息不滿10萬人、自上年1月1日起累計向境外提供敏感個人信息不滿1萬人。
另外，根據(jù)國家網(wǎng)信辦于2023年9月28日發(fā)布的《規(guī)范和促進(jìn)數(shù)據(jù)跨境流動規(guī)定（征求意見稿）規(guī)定，預(yù)計一年內(nèi)向境外提供不滿1萬人個人信息的，不需要申報數(shù)據(jù)出境安全評估、訂立個人信息出境標(biāo)準(zhǔn)合同、通過個人信息保護(hù)認(rèn)證。但是，基于個人同意向境外提供個人信息的，應(yīng)當(dāng)取得個人信息主體同意。如該數(shù)據(jù)跨境流動規(guī)定通過，無疑有利于減輕企業(yè)的數(shù)據(jù)出境合規(guī)壓力。
四、 個人信息出境標(biāo)準(zhǔn)合同備案落地方案解析
（一） 出境數(shù)據(jù)及出境場景的設(shè)別
數(shù)據(jù)出境企業(yè)在對自身企業(yè)數(shù)據(jù)情況做評估時應(yīng)就個人信息安全管理能力與個人信息安全技術(shù)能力做整體評估，而不是僅就數(shù)據(jù)出境保護(hù)能力進(jìn)行評估。故數(shù)據(jù)出境企業(yè)應(yīng)對其整體業(yè)務(wù)數(shù)據(jù)做梳理及評估，以便準(zhǔn)確設(shè)別出境數(shù)據(jù)類型及出境場景，進(jìn)行評估是否需要“申報數(shù)據(jù)出境安全評估、訂立個人信息出境標(biāo)準(zhǔn)合同、通過個人信息保護(hù)認(rèn)證”或評估匹配適用哪種出境路徑。
（二） 個人信息保護(hù)影響評估
該環(huán)節(jié)并非標(biāo)準(zhǔn)合同備案的獨(dú)有的要求，依據(jù)《中華人民共和國個人信息保護(hù)法》第五十五條，個人信息處理者向境外提供個人信息都應(yīng)當(dāng)事前進(jìn)行個人信息保護(hù)影響評估。
如前所述，企業(yè)在開展個人信息保護(hù)影響評估時需要全面梳理企業(yè)業(yè)務(wù)場景及全盤數(shù)據(jù)，為更清晰地梳理各個流程涉及的數(shù)據(jù)類型，可通過業(yè)務(wù)交易流程圖的方式將業(yè)務(wù)的各個條線展示出來。在梳理了各個業(yè)務(wù)可能涉及的數(shù)據(jù)類型后，通過數(shù)據(jù)流轉(zhuǎn)圖的方式展示企業(yè)各類數(shù)據(jù)的合規(guī)及流轉(zhuǎn)現(xiàn)狀，比如某業(yè)務(wù)流程中公司收集的數(shù)據(jù)是否依法進(jìn)行了匿名化處理、是否履行了告知同意義務(wù)或進(jìn)行了分類分級處理等等，進(jìn)而通過分析數(shù)據(jù)合規(guī)現(xiàn)狀對《個人信息出境標(biāo)準(zhǔn)合同》第2條第8項明確的評估內(nèi)容進(jìn)行評估，并給出能夠落實(shí)的整改措施，為后期評估報告的出具提供有力依據(jù)。
個人信息保護(hù)影響評估報告的內(nèi)容應(yīng)當(dāng)包括個人信息的處理目的與合法性基礎(chǔ)、對個人權(quán)益的影響及安全風(fēng)險大小；安全保護(hù)措施是否合法有效這三部分內(nèi)容。評估報告的結(jié)構(gòu)、內(nèi)容、顆粒度可以參考國家網(wǎng)信辦發(fā)布的《個人信息保護(hù)影響評估報告（模板）》。
（三） 簽署標(biāo)準(zhǔn)合同
標(biāo)準(zhǔn)合同并非完全不能調(diào)整，但合同正文是不得變更的，合同附件二雖能夠進(jìn)行調(diào)整但調(diào)整后的內(nèi)容不得與合同正文相沖突。因此，個人信息處理者及境外接收方可以對出境活動的具體細(xì)節(jié)、聯(lián)系方式、境外接收方采取的保護(hù)措施、爭議解決等事項進(jìn)行磋商并調(diào)整標(biāo)準(zhǔn)合同。
值得注意的是，可以在進(jìn)行個人信息保護(hù)影響評估的時候就著手與境外接收方對標(biāo)準(zhǔn)合同文本進(jìn)行討論，以便境外接收方能夠提前熟悉標(biāo)準(zhǔn)合同內(nèi)容并就標(biāo)準(zhǔn)合同內(nèi)容的簽署爭取境外接收方的認(rèn)同。
（四） 提交備案
在數(shù)據(jù)出境企業(yè)與境外接收方簽署標(biāo)準(zhǔn)合同且在標(biāo)準(zhǔn)合同生效之日起的10日內(nèi)，個人信息處理者應(yīng)向其所在的省級網(wǎng)信部門提供標(biāo)準(zhǔn)合同及個人信息保護(hù)影響評估報告進(jìn)行備案。企業(yè)須確保提交的材料的準(zhǔn)確性、真實(shí)性與一致性。值得注意的是，應(yīng)確保備案主體與標(biāo)準(zhǔn)合同簽訂的主體一致，且不同地區(qū)的關(guān)聯(lián)主體原則上應(yīng)獨(dú)立向?qū)俚鼐W(wǎng)信部門辦理標(biāo)準(zhǔn)合同備案。
五、 合規(guī)建議
（一）建立數(shù)據(jù)分類分級制度
企業(yè)應(yīng)建立數(shù)據(jù)分類分級制度，便于提升數(shù)據(jù)資產(chǎn)梳理效率，提升數(shù)據(jù)資產(chǎn)管理的合規(guī)程度。具體來講，評估定級需要根據(jù)數(shù)據(jù)的影響程度進(jìn)行分析，從高到低對數(shù)據(jù)進(jìn)行定級。影響程度是指數(shù)據(jù)如遭遇泄露、篡改等破壞行為時可能會產(chǎn)生的負(fù)面影響程度。
通過影響對象“國家合法權(quán)益、社會公共利益、個人合法權(quán)益”、影響廣度“超大范圍、較大范圍、較小范圍”兩個因素可以確定影響程度。例如，影響程度認(rèn)定為特別嚴(yán)重危害的數(shù)據(jù)可設(shè)定為三級數(shù)據(jù)，而影響程度為一般危害的數(shù)據(jù)可設(shè)定為一級數(shù)據(jù)。以金融行業(yè)為例，C3級別的信息為銀行賬號及交易密碼、C2級別是登錄名、短信驗證碼、密碼提示答案及交易流水、C1級別是賬戶的開立時間及開立機(jī)構(gòu)。
（二）建立數(shù)據(jù)出境和個人信息保護(hù)方面的管理機(jī)制
《標(biāo)準(zhǔn)合同備案指南》規(guī)定，個人信息出境企業(yè)需證明其已建立符合中國法律要求的個人信息保護(hù)合規(guī)體系，該體系包括個人信息安全管理能力、個人信息安全技術(shù)能力、個人信息保護(hù)措施有效性等方面。因此，未系統(tǒng)性開展合規(guī)整改的企業(yè)應(yīng)當(dāng)全面建立符合中國法律要求的個人信息保護(hù)合規(guī)體系，才可以符合對PIA報告的填寫及后續(xù)監(jiān)管。企業(yè)應(yīng)從制度層面、安全技術(shù)措施層面、管理流程層面著手建立彬完善個人信息保護(hù)合規(guī)體系。
具體來講，企業(yè)應(yīng)建立數(shù)據(jù)安全生命周期管理（比如數(shù)據(jù)資產(chǎn)管理、數(shù)據(jù)采集安全管理等），設(shè)立數(shù)據(jù)安全負(fù)責(zé)人或管理機(jī)構(gòu)，同時企業(yè)內(nèi)部應(yīng)制定數(shù)據(jù)安全管理制度以及優(yōu)化跨境傳輸過程中所涉各類協(xié)議文本（隱私政策、用戶協(xié)議、數(shù)據(jù)共享協(xié)議、數(shù)據(jù)委托處理協(xié)議等），并定期進(jìn)行數(shù)據(jù)安全評估，另外還需定期加強(qiáng)對企業(yè)人員的合規(guī)培訓(xùn)，加強(qiáng)企業(yè)人員合規(guī)意識。
綜上，企業(yè)應(yīng)以積極的心態(tài)擁抱合規(guī)，盡快開展相關(guān)準(zhǔn)備工作，將不確定因素帶來的不利影響最小化。
滬公網(wǎng)安備 31010402007129號
