数据出境的监管、条件和标准合同制度评析

1、数据出境的监管、条件和标准合同制度评一、数据出境的监管规那么体系 二、数据出境的条件三、数据出境中的标准合同（一）标准合同的地位 （二）标准合同的关注要点（三）对我国标准合同制度的评析数据在当代社会发挥越来越重要的作用，甚至成为与土 地、劳动力、资本、技术并列的生产要素；各国出于种种原 因，也就“数据主权展开争夺。在这一背景下，数据出境成 为数据领域避不开且极端重要的一个环节。笔者以此为契机 撰写系列文章，系统分析我国关于数据出境的监管和条件。 今天为大家带来数据出境监管及条件概览，以及数据标准合 同制度要点评析。一、数据出境的监管规那么体系我国关于数据立法领域的“三驾马车”:网络平安法数 据

2、平安法和个人信息保护法对数据出境仅作出了非常 原那么和概括的规定，大量的细节执行条款留给了后续的、低“网信办）就个人信息出境标准合同规定（征求意见稿） 向社会公开征求意见。数据出境是备受关注的问题，我国在 这方面的规那么又未成体系。尽管我国的个人信息保护法 等法律法规中屡次提到签订标准合同是数据出境的方式之 一，标准合同由国家网信部门制定，但这份标准合同却一直 未能面世。标准合同是一种常见的、操作性更强的、其他司 法辖区广泛适用的一种数据合规出境手段，因此，网信办该 通知引发了强烈关注。（一）标准合同在数据出境中的地位通过上文法规的梳理，就数据出境而言，境内数据处理 者与境外接受者之间签订国家

3、机关认可的标准合同是必备 条件中的一种选择，而非绝对必要。但考虑到通过网信部门 的平安评估、获得保护认证和符合国际条约往往更难以满足, 标准合同作为国家机关制定的模板合同，以高认可度、可直 接引用、本钱低、效率高等特点而更具有实操性，也更受市 场主体的青睐，这也是个人信息出境标准合同规定（征求 意见稿）得到广泛关注的原因。（二）标准合同的关注要点1.标准合同内容的演变从2017方法开始，网信办出台的多个征求意见稿中对 标准合同的内容作出过规定，此次通知与前述征求意见稿相 比并没有内容上的新要求。标准合同的内容演变如下（名称及标准合同内容）：表五：标准合同内容演变名称标）.双方的基本信息;.出境

4、的目的、范围、个人信息出境标准 保存期限、存储地点等;合同规定（征求意见稿）网络数据平安管理 条例（征求意见稿）.双方的责任与义务；.境外接收方所在地区.个人信息主体权利以.救济、合同解除、违 双方约定的目的、范围、 护义务，保证数据平安。L数据出境的目的、方式 用途、方式等；数据出境平安评估 方法（征求意见稿） （2021方法）.数据在境外保存地点、 措施；.限制境外接收方将出加.境外接收方变化者当t 措施；.违反数据平安保护义殳.出现平安风险时的应W 道。1.基本内容：（1）个人信息出境的目.个人信息出境标准合同规定（征求意见稿）中标准 合同的具体内容个人信息出境标准合同规定（征求意见稿）

5、第六条规 定了标准合同包括六个方面的主要内容（详见表五），该六项 内容与所附的标准合同模板对应关系如下：表六：规定要求与合同内容对照标准合同内容要求标准合同模板对应条款合同首部合同首部个人信息处理者和境外接 收方的基本信息附录一附录一出境的目的、范围、类型、 敏感程度、数量、方式、保 存期限、存储地点等处理者和境外接收方保护第二条处理者义务个人信息的责任与义务第三条接收方义务为防范出境平安风险所采取的技术和管理措施接收方所在国家或者地区 的个人信息保护政策法规第四条.标准合同的其他考前须知适用标准合同开展个人信息出境活动时，还应当就所签 订的标准合同向省级网信部门进行备案，未履行备案程序的,

6、可能会面临责令改正、停止出境等处分。在标准合同履行过程中，如果向境外提供的个人信息的 目的、范围、类型、敏感程度、数量、方式、保存期限、存 储地点和境外接收方处理个人信息的用途、方式发生变化， 或者延长个人信息境外保存期限的；或境外接收方所在国家 或者地区的个人信息保护政策法规发生变化等可能影响个 人信息权益的，应当重新签订标准合同及备案。（三）对我国标准合同制度的评析1.标准合同与风险评估的内容重合2017方法、2019方法、2021方法和个人信息出境标 准合同规定（征求意见稿）中，标准合同与个人信息影响保 护评估（指自评估，下同）是信息出境两个必备的条件，缺 一不可，这四份征求意见稿在该问

7、题的态度上高度一致。然 而，比照四份文件关于风险评估的评估内容和标准合同中的 内容，其实也是高度重复的，具体如下：表七：风险评估与标准合同内容对照名称个人信息出 境标准合同 规定（征求 意见稿）数据出境安 全评估方法 （征求意见稿）（2021方法）出境条件中评估内容严管情形下白评估内容开展个人信息保护影响评估，包括：（1）处理个人信息的合法性、正当性、必要才（2）个人信息出境可能对个人信息权益带来白险;（3）境外接收方承诺的责任义务以及履行责管理和技术措施、能力;（4）个人信息出境后的风险及维权渠道通畅才（5）境外接收方所在地区政策法规的影响;（6）其他。出境前开展数据出境风险 自评估，重点：

8、（1）数据出境的合法性、 正当性、必要性；（2）数据出境可能对带来 的风险；（3）数据处理者防范风险 的能力；（4）境外接收方的责任以 及保障数据平安的能力；（5）数据出境和再转移后 的风险和个人维权渠道的 畅通性；（6）合同是否充分约定了 数据平安保护责任义务。国家网信部门数苏 境平安评估重点：（1）数据出境的 性、正当性、必要（2）境外接收方月 地区政策法规的景 和数据保护水平；（3）出境数据引 险；（4）数据平安和彳 信息权益是否能可到充分有效保障;（5）合同中是否3 约定了数据平安个 责任义务；酒守rh用注A也就是说，数据主体在面临数据出境时，相当于以两种 不同的形式（风险评估和标准合

9、同）处理分析相同的事项。 这两份文件毫无疑问会产生大量重复的内容，在面临纠纷、 应对监管时，也可能会出现相互引用的场景。欧盟GDPR的规定中，签订标准合同（SCC）是数据跨境 传输的保护措施中的一种，这些保护措施和其他出境要求中 并不直接包含进行影响评估。（是否构成跨境欧盟GDPR数据出境流程图是否有适当保 障措施是否有适当保 障措施接受国是否达到充分保护水一是4 平跨境传输.当局之间具有有法律约束力不可执行性的文书.有约束力的公司规那么（BCR）.标准合同条款（SCC）.经批准的行为准那么.经批准的认证机制GDPR的风险评估(PPIA)是列入数据处理者的义务项下 而非出境项下，且进行风险评估

10、和签订标准合同适用的场景 通常情况并不同注力因此，在数据出境时风险评估和标准合同在高度重合的 情况下，同时要求的必要性还需要进一步思考。2.对标准合同进行备案的必要性对标准合同进行备案也是此次个人信息出境标准合同 规定(征求意见稿)的一个亮点。绝大局部合同的成立、生 效都与备案没有关系，个别合同的效力依赖于批准，备案又 不同于批准。知识产权领域，以商标为例，商标的授权许可 合同进行备案主要是为了对抗第三人。标准合同本身就是国 家机关拟定的模板合同，在此情形下，加之没有类似的第三 人需要对抗，备案的目的和必要性并不清晰。随着数据出境的配套文件的逐步出台，数据出境的合规 要求趋势相对明晰，但具体要

11、求和细节方面仍有很多内容需 要进一步的指导和明确。对于企业来讲，需要密切关注最新 监管动向、行业部门、业务主管部门、当地立法机关、行政 机关不断出台的参考性文件。我们也会在后续的文章中，向 大家逐一提供关于数据出境其他条件的简介和分析。位阶的法规进行填补。三部法律关于数据出境的规定有:表一：数据出境法律规定生效 时间网络平安法2017年6月1日数据平安法2021年9月1日20规制 主体数据 类型条件法律条文关键信息基础设 施的运营者个人信息 重要数据 平安评估第三十七条第六十六条关键信息基础设 施运营者 其他数据处理者 重要数据按照国家网信部 门会同国务院有 关部门制定的规 那么执行第三十一条

12、第四十六条也就是说，网络平安法仅提出关键信息基础设施的运关 个 理 不1.构 (A口2.3.参考文献:1国家开展和改革委员会、工业和信息化部、公安部、 国家平安部、财政部、商务部、中国人民银行、国家市场监 督管理总局、国家广播电视总局、中国证券监督管理委员会、 国家保密局、国家密码管理局。_2 ： / cac. gov. cn/2022-_3 ：/ cac. gov. cn/2021-.4 ： / cac. gov. cn/2021-.5 ：/ cac. gov. cn/2019-06/13/c_1124613618. htm_6 ： / cac. gov. cn/2019-05/28/c_l

13、124546022. htm.7 ：/ cac. gov. cn/2017-04/ll/c_1120785691.htmPPIA的适用场景为：（1）以自动化为基础，系统和广泛的评价与自然人有关的个人方面的情况，包括特征分析;（2）在大规模处理与刑事定罪和犯罪有关的特殊类别数据 或个人数据的情况下；（3）在大规模系统性检测公共可达地 区情况时。SCC适用于数据跨境传输场景，是保护措施之一。营者（以下简称“eno”）就个人信息和重要数据出境提出了 平安评估的要求；数据平安法并未对网络平安法有任 何新的补充；个人信息保护法那么相对详细，不过限定在了 个人信息这种数据范围之内。此外，为了填补“三驾马车

14、”中关于数据出境规定的空白， 以网信办为主导，出台了一系列的规定、征求意见稿和国家 标准，这些规定的大致脉络和核心内容如下：表二：数据出境规定列表名称发布主体网络平安审查 方法个人信息出境 标准合同规定 （征求意见稿）注2网络数据平安 管理条例（征求 意见稿）注3数据出境平安 评估方法（征求 意见稿）注4（以下简称 “2021 方法”）个人信息出境 平安评估方法（征求意见稿） 注5（以下简称“2019 方法”）网信办等注1网信办网信办网信办网信办数据平安管理加件”不求音01取I信加发布时间/生效时间2021. 12. 28 发布2022. 02. 15 实施2022. 06. 30 发布202

15、1. 11. 14 发布2021. 10. 29 发布2019. 06. 13 发布901 Q特希在上表的9份文件中，未生效的征求意见稿占了 7个, 生效的文件只有网络平安审查方法和39335号指南，而 这两份文件的就数据出境的针对性规定是非常少的。因此, 大量细节的、有指导意义的规那么落入了一系列未生效的征求 意见稿中，我们也只能从这些征求意见稿里去分析关于数据 出境的监管要求。二、数据出境的条件（一）数据出境的适用情形数据出境，是指将在中华人民共和国境内运营中收集和 产生的个人信息和重要数据，提供给位于境外的机构、组织、 个人。这里的“境内”、“境外”需要特别注意并非“海内外海包 含了我国

16、港澳台地区。数据，那么是指在我国境内收集和产生 的数据，从境外收集产生的数据、只是途经我国的数据不属 于数据出境的范畴。数据类型限于“个人信息”和“重要数据”。通过梳理上文提到的法律、法规和规范性文件（无论生 效与否），会发现数据出境需要满足一定的要求，而当到达一 定条件后，数据出境的要求将会更加严格，可将这种情形称为“严管情形。除严管情形外的其他情形，可称为“一般情形”。 表三：数据出境适用情形名称网络平安法数据平安法个人信息保护法规制主体关键信息基础设一一施的运营者关键信息基础设一一施的运营者其他数据处理者关键信息基础设eno和女施运营者信息处理:个人信息处理者 个人信息处理者 同时满足以

17、下条 件：.非 CHO；.个人信息不满 100万人；个人信息出境标 准合同规定（征 求意见稿）.自上年1月1 日起累计向境外 提供未到达10万 人个人信息；.自上年1月1 日起累计向境外 提供未到达1万 人敏感个人信息 的。（二）数据出境的条件和思路就一般情形和严管情形，数据处理主体在数据出境时需 要满足的合规条件存在区别。一般情形下，数据处理者在数 据出境时需要满足平安自评估/个人信息保护认证/标准合 同/国际条约中的一个、必要措施和获得授权等条件，在严管 情形下，通过国家网信部门组织的平安评估成为必要条件。 具体内容如下：表四：数据出境条件比照名称一般情形下需满足的出境:网络平安法数据平安法个人信息保护法平安评估按照国家网信部门会同国务院L以下条件之一(1)国家网信部门组织的安士(2)国家网信部门的规定经W 进的行个人信息保护认证；个人信息出境标 准合同规定(征 求意见稿)(3)按照国家网信部门制定白 同与境外接收方订立合同；(4)符合我国缔结的国际条”.采取必要措施.告知义务及取得单独同意 开展个人信息保护影响评估网络数据平安理条例(征求意 见稿).以下条件之一(1)通过国家网信部门组织白 境平安评估；(2)数据处理者和数据接收7 国家网信部门认定的专业机出 个人信息保护认证；(3)按照国家网信