《促进和规范数据跨境流动规定》（2024年3月22日起施行）详细解读

《促进和规范数据跨境流动规定》（2024年3月22日起施行）详细解读目录CATALOGUE第一条第二条第三条第四条第五条第六条第七条目录CATALOGUE第八条第九条第十条第十一条第十二条第十三条第十四条PART01第一条为了保障数据安全，保护个人信息权益，促进数据依法有序自由流动，根据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》等法律法规，对于数据出境安全评估、个人信息出境标准合同、个人信息保护认证等数据出境制度的施行，制定本规定。强化数据跨境流动的监管通过制定严格的数据出境安全评估制度，确保数据在跨境流动过程中不被泄露、篡改或滥用。加强数据安全技术防护采取先进的技术手段，如数据加密、访问控制等，确保数据在传输和存储过程中的安全性。保障数据安全规定个人信息出境必须签订标准合同，明确双方的权利和义务，保障个人信息主体的合法权益。明确个人信息出境的标准合同通过引入第三方认证机构，对个人信息处理者的处理活动进行认证，确保其符合个人信息保护的相关法律法规要求。加强个人信息保护认证保护个人信息权益推动数据跨境流动政策的完善制定和完善数据跨境流动的政策法规，为数据的合法流动提供制度保障。加强国际合作与交流积极与其他国家和地区开展数据跨境流动的合作与交流，推动全球数据治理体系的建立与完善。促进数据依法有序自由流动《中华人民共和国个人信息保护法》该法规旨在保护个人信息权益，规范个人信息处理活动，为个人信息出境提供了法律保障。《中华人民共和国网络安全法》该法规为数据跨境流动提供了网络安全方面的法律依据，确保数据在跨境流动过程中符合网络安全要求。《中华人民共和国数据安全法》该法规明确了数据安全的基本原则和制度要求，为数据跨境流动提供了数据安全保障。法律依据PART02第二条数据处理者应当按照相关规定识别、申报重要数据。未被相关部门、地区告知或者公开发布为重要数据的，数据处理者不需要作为重要数据申报数据出境安全评估。数据处理者有责任根据相关规定识别其处理的数据中是否包含重要数据。识别重要数据一旦识别出重要数据，数据处理者需按照规定的流程和时间节点进行申报。申报重要数据对于需要申报的重要数据，数据处理者应配合相关部门进行出境安全评估。遵守安全评估要求数据处理者的责任010203重要数据是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益的数据。定义包括但不限于国家基础信息数据、重要行业领域数据、个人信息等。范围重要数据的定义与范围申报流程数据处理者需按照相关部门的要求，提交包含数据类型、数量、处理目的等信息的申报材料。申报要求申报材料应真实、准确、完整，不得有虚假记载、误导性陈述或重大遗漏。申报流程与要求VS若数据处理者未被相关部门、地区告知或者公开发布其处理的数据为重要数据，则不需要作为重要数据申报数据出境安全评估。其他豁免情形根据相关法律法规和政策规定，还可能存在其他豁免申报的情形。未被告知或公开发布豁免情形PART03第三条国际贸易、跨境运输、学术合作、跨国生产制造和市场营销等活动中收集和产生的数据向境外提供，不包含个人信息或者重要数据的，免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。国际贸易数据包括货物贸易、服务贸易等相关数据，如交易信息、物流信息等。跨境运输数据涉及跨国货物运输、人员流动等产生的数据，如运输路线、时间表等。学术合作数据包括国际科研项目合作、学术交流等活动中产生的数据。跨国生产制造数据涉及跨国企业的生产线数据、供应链管理数据等。适用范围数据不包含个人信息指数据中不包含任何能够识别特定自然人的信息，或已经过匿名化处理。数据不包含重要数据指数据不涉及国家安全、国民经济命脉、重要民生、重大公共利益等领域的数据。免于申报的条件减少不必要的申报流程，降低企业运营成本。提高数据跨境流动的效率便利跨国企业、学术机构等的数据交流与合作。促进国际贸易与合作在确保数据不包含个人信息或重要数据的前提下，避免数据泄露和滥用风险。保护个人隐私与数据安全申报豁免的意义PART04第四条数据处理者在境外收集和产生的个人信息传输至境内处理后向境外提供，处理过程中没有引入境内个人信息或者重要数据的，免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。适用范围该条款适用于数据处理者在境外收集和产生的个人信息，这些信息被传输至境内进行处理后再向境外提供的情况。若在处理过程中未引入任何境内个人信息或重要数据，则可免于申报数据出境安全评估、订立个人信息出境标准合同以及通过个人信息保护认证。申报数据出境安全评估的免除数据处理者在符合本条款规定的情况下，无需向相关部门申报数据出境安全评估，简化了数据跨境流动的程序。这有助于降低企业合规成本，提高数据跨境流动的效率。在满足本条款条件的前提下，数据处理者无需订立个人信息出境标准合同。这减轻了企业的合同负担，使得数据跨境流动更加灵活便捷。个人信息出境标准合同的免除个人信息保护认证的免除本条款还规定，在特定情况下，数据处理者无需通过个人信息保护认证。这进一步简化了数据跨境流动的流程，同时也有助于保护个人信息的安全和隐私。注意事项尽管本条款为数据跨境流动提供了一定的便利，但数据处理者仍需确保在数据跨境流动过程中遵守相关法律法规，确保个人信息的安全和合规性。对于涉及敏感个人信息或重要数据的情况，数据处理者仍需谨慎处理，并遵守相关法律法规的规定。““PART05第五条数据处理者向境外提供个人信息，符合下列条件之一的，免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证：（一）为订立、履行个人作为一方当事人的合同，如跨境购物、跨境寄递、跨境汇款、跨境支付、跨境开户、机票酒店预订、签证办理、考试服务等，确需向境外提供个人信息的；（二）按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需向境外提供员工个人信息的；（三）紧急情况下为保护自然人的生命健康和财产安全，确需向境外提供个人信息的；（四）关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）的。前款所称向境外提供的个人信息，不包括重要数据。跨境购物、跨境寄递等合同订立与履行为完成跨境交易或服务，如跨境购物、跨境汇款等，确需将个人信息提供给境外相关方。跨境人力资源管理紧急情况下的个人信息提供免予申报数据出境安全评估的情形企业按照劳动法规和集体合同，进行跨境人力资源管理时，需向境外提供员工个人信息。在紧急情况下，为保护个人的生命、健康和财产安全，确需将个人信息快速提供给境外相关机构。累计提供个人信息不满10万人关键信息基础设施运营者以外的数据处理者，自当年起累计向境外提供的个人信息数量不满10万人（不含敏感个人信息），可免予申报。个人信息累计提供数量的规定不包括重要数据前款所称的向境外提供的个人信息，明确排除重要数据，即那些一旦泄露或被篡改、破坏，可能危害国家安全、国计民生、公共利益的数据。排除重要数据的规定PART06第六条自由贸易试验区在国家数据分类分级保护制度框架下，可以自行制定区内需要纳入数据出境安全评估、个人信息出境标准合同、个人信息保护认证管理范围的数据清单（以下简称负面清单），经省级网络安全和信息化委员会批准后，报国家网信部门、国家数据管理部门备案。自由贸易试验区内数据处理者向境外提供负面清单外的数据，可以免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。自由贸易试验区可以根据自身实际情况，制定区内需要纳入数据出境安全评估、个人信息出境标准合同、个人信息保护认证管理范围的数据清单。区内自主制定负面清单自由贸易试验区内数据处理者向境外提供负面清单外的数据，无需申报数据出境安全评估、订立个人信息出境标准合同或通过个人信息保护认证，简化了数据跨境流动的程序。负面清单外数据免申报自由贸易试验区数据跨境流动的特殊性负面清单的制定与批准批准与备案负面清单需经省级网络安全和信息化委员会批准，并报国家网信部门、国家数据管理部门备案，以确保清单的合法性和有效性。制定依据自由贸易试验区在制定负面清单时，应依据国家数据分类分级保护制度框架，确保数据安全和合法跨境流动。自由贸易试验区内的数据处理者需确保向境外提供的数据符合国家安全、公共利益和个人信息保护的要求，并承担相应责任。区内数据处理者的责任国家网信部门、国家数据管理部门等监管部门需对自由贸易试验区数据跨境流动进行监督检查，确保数据安全和合法跨境流动。同时，对于违反规定的行为，应依法进行查处。监管部门的职责数据跨境流动的安全保障PART07第七条数据处理者向境外提供数据，符合下列条件之一的，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估：（一）关键信息基础设施运营者向境外提供个人信息或者重要数据；（二）关键信息基础设施运营者以外的数据处理者向境外提供重要数据，或者自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感个人信息）或者1万人以上敏感个人信息。属于本规定第三条、第四条、第五条、第六条规定情形的，从其规定。（一）关键信息基础设施运营者向境外提供个人信息或者重要数据提供个人信息或重要数据的范围包括但不限于用户的身份信息、联系方式、交易记录等个人信息，以及涉及国家安全、经济运行等重要数据。安全评估的必要性由于关键信息基础设施的重要性，其向境外提供的数据可能涉及国家安全和经济运行，因此需要进行严格的安全评估。关键信息基础设施的定义根据《网络安全法》，关键信息基础设施指的是一旦遭到破坏，可能严重威胁国家安全、国民经济的运行和社会公共利益的重要网络和信息系统。030201重要数据的范围包括但不限于涉及国家安全、公共利益、经济运行等方面的数据。安全评估的目的确保个人信息和重要数据在出境过程中不被泄露、篡改或滥用，保护个人隐私和国家安全。个人信息出境的数量标准自当年1月1日起，累计向境外提供100万人以上的个人信息（不含敏感个人信息）或1万人以上的敏感个人信息，触发安全评估的要求。数据处理者的定义指的是除关键信息基础设施运营者以外的，对数据进行处理的组织或个人。（二）关键信息基础设施运营者以外的数据处理者向境外提供重要数据，或者自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感个人信息）或者1万人以上敏感个人信息PART08第八条关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供10万人以上、不满100万人个人信息（不含敏感个人信息）或者不满1万人敏感个人信息的，应当依法与境外接收方订立个人信息出境标准合同或者通过个人信息保护认证。属于本规定第三条、第四条、第五条、第六条规定情形的，从其规定。合同要素个人信息出境标准合同应包含数据处理的目的、范围、方式，数据的安全保障措施，以及双方的权利和义务等关键要素。法律效力个人信息出境标准合同此合同具有法律效力，能确保个人信息在出境过程中得到充分的保护，并明确双方的责任和追责机制。0102个人信息保护认证应依据国家相关技术标准和管理规范进行，确保个人信息处理活动符合法律法规要求。认证标准包括提交申请、资料审核、现场检查、认证决定等环节，确保个人信息处理者的合规性和安全性。认证流程个人信息保护认证第三条、第四条、第五条、第六条规定的情形这些条款规定了特定的数据处理情形，如关键信息基础设施运营者的数据处理、国家秘密和个人隐私信息的处理等。在这些特定情形下，需要遵守更为严格的数据出境要求。从其规定若数据处理情形符合上述特定条款，则应优先遵循这些条款的规定，而非仅依据本条的个人信息出境标准合同或个人信息保护认证要求。这体现了法规的灵活性和针对性，确保不同情形下的数据出境都能得到妥善监管。特定情形的规定PART09第九条通过数据出境安全评估的结果有效期为3年，自评估结果出具之日起计算。有效期届满，需要继续开展数据出境活动且未发生需要重新申报数据出境安全评估情形的，数据处理者可以在有效期届满前60个工作日内通过所在地省级网信部门向国家网信部门提出延长评估结果有效期申请。经国家网信部门批准，可以延长评估结果有效期3年。评估结果有效期的计算评估结果有效期自评估结果出具之日起计算，为期3年。有效期届满后，若需继续开展数据出境活动，应重新评估或申请延长有效期。延长评估结果有效期的申请流程数据处理者可在有效期届满前60个工作日内提出申请。01申请需通过所在地省级网信部门向国家网信部门提交。02申请材料应包括延长有效期的理由、数据处理者在有效期内的数据出境活动情况等。03延长评估结果有效期的批准流程0302国家网信部门将对申请进行审查，包括数据处理者的合规情况、数据出境活动的风险等。01若申请未获批准，数据处理者需按照要求重新进行数据出境安全评估。经审查批准后，可以延长评估结果有效期3年。注意事项010203数据处理者应确保在数据出境活动中持续遵守相关法律法规和评估要求。若在有效期内发生需要重新申报数据出境安全评估的情形，应及时向国家网信部门报告并重新进行评估。数据处理者应定期对数据出境活动进行自查，确保合规性。PART10第十条数据处理者向境外提供个人信息的，应当按照法律、行政法规的规定履行告知、取得个人单独同意、进行个人信息保护影响评估等义务。告知内容数据处理者应向个人信息主体明确告知数据跨境流动的目的、接收方、数据类型及可能产生的风险等相关信息。告知方式数据处理者应以显著方式，如通过隐私政策、用户协议等，向个人信息主体进行告知。告知时机数据处理者应在收集个人信息时或数据跨境流动前进行告知。履行告知义务数据处理者应获得个人信息主体的明确同意，该同意应为书面形式或通过电子方式确认。同意的形式同意书中应包含对数据跨境流动的明确授权，以及个人信息主体的权利、数据处理者的义务等内容。同意的要素个人信息主体应有权随时撤回其同意，数据处理者应在收到撤回通知后停止数据跨境流动。同意的撤回取得个人单独同意评估内容评估应由具有相关资质的专业人员进行，并遵循相关法律法规和标准。评估流程评估结果评估结果应作为数据处理者决策的依据，对于存在较高风险的跨境数据流动，应采取相应的安全措施。数据处理者应评估数据跨境流动对个人信息保护的影响，包括数据传输、存储、使用等环节的安全风险。进行个人信息保护影响评估PART11第十一条数据处理者向境外提供数据的，应当遵守法律、法规的规定，履行数据安全保护义务，采取技术措施和其他必要措施，保障数据出境安全。发生或者可能发生数据安全事件的，应当采取补救措施，及时向省级以上网信部门和其他有关主管部门报告。数据处理者的义务01数据处理者在向境外提供数据时，必须严格遵守国家相关的法律法规，包括但不限于《网络安全法》、《数据安全法》等。数据处理者有责任保护其处理的数据安全，防止数据被非法获取、篡改、破坏或泄露。为了保障数据出境的安全，数据处理者需要采取一系列技术措施，如数据加密、访问控制、安全审计等。0203遵守法律法规履行数据安全保护义务采取技术措施保障数据出境安全数据处理者在向境外提供数据时，应确保数据在传输、存储和使用过程中的安全性，防止数据泄露或被非法利用。采取其他必要措施除了技术措施外，数据处理者还应采取其他必要的管理措施和物理措施，以确保数据的安全。数据出境的安全保障采取补救措施一旦发生或可能发生数据安全事件，数据处理者应立即采取补救措施，以最大程度地减少损失和影响。01数据安全事件的应对及时报告数据处理者在发现数据安全事件后，应及时向省级以上网信部门和其他有关主管部门报告，以便相关部门及时介入处理。02PART12第十二条各地网信部门应当加强对数据处理者数据出境活动的指导监督，健全完善数据出境安全评估制度，优化评估流程；强化事前事中事后全链条全领域监管，发现数据出境活动存在较大风险或者发生数据安全事件的，要求数据处理者进行整改，消除隐患；对拒不改正或者造成严重后果的，依法追究法律责任。健全完善数据出境安全评估制度010203确立数据出境安全评估的标准和程序制定明确的评估标准和程序，确保数据出境活动符合国家安全和数据保护的要求。加强评估人员的培训和专业素养提升评估人员的专业技能和知识水平，确保评估结果的准确性和公正性。定期对数据出境活动进行安全评估定期对数据出境活动进行审查，及时发现和纠正潜在的安全风险。简化评估材料和程序减少不必要的评估材料和环节，提高评估效率。明确评估时限和反馈机制设定合理的评估时限，建立有效的反馈机制，确保评估过程的透明度和公正性。加强部门间的沟通与协作与其他相关部门建立有效的沟通机制，共同推进数据出境安全评估工作。优化评估流程强化事前事中事后全链条全领域监管事前预防加强数据出境前的风险评估和预防措施，确保数据出境的合法性和安全性。事中监控事后追责对数据出境活动进行实时监控，及时发现和处理异常情况。对数据出境后发生的安全事件进行追责，依法惩处违法行为，维护国家数据安全和公民个人信息安全。01要求数据处理者进行整改对存在较大风险或发生数据安全事件的数据处理者，要求其立即进行整改，消除安全隐患。加强技术防范手段采取先进的技术手段，如数据加密、入侵检测等，提高数据出境的安全性。完善应急响应机制建立健全的应急响应机制，确保在数据安全事件发生时能够及时响应和处理。发现数据出境活动存在较大风险或者发生数据安全事件的应对措施0203PART13第十三条2022年7月7日公布的《数据出境安全评估办法》（国家互联网信息办公室令