数据出境评估管理办法

数据出境评估管理办法一、总则（一）目的与依据为了规范数据出境活动，保护个人信息权益，维护国家安全和社会公共利益，促进数据跨境安全、自由流动，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律法规，制定本办法。（二）适用范围本办法适用于在中华人民共和国境内运营中收集和产生的重要数据和依法应当进行个人信息保护影响评估的个人信息出境的活动。（三）基本原则数据出境活动应当遵循自愿、平等、公平、诚信原则，不得损害个人、组织合法权益，不得危害国家安全、公共利益和数据安全。二、数据出境评估定义与范围（一）数据出境评估定义数据出境评估是指对数据处理者向境外提供在中华人民共和国境内运营中收集和产生的重要数据和依法应当进行个人信息保护影响评估的个人信息的活动进行安全评估，以确保数据出境符合法律法规要求，保障数据安全和个人信息权益。（二）数据出境范围1.重要数据出境重要数据是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、经济运行、社会稳定、公共健康和安全等的数据。具体范围由国家网信部门会同国务院有关部门确定。2.个人信息出境依法应当进行个人信息保护影响评估的个人信息出境，是指数据处理者在中华人民共和国境内收集和产生的个人信息向境外提供的活动。个人信息是指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。三、数据出境评估流程（一）数据出境风险自评估1.数据处理者在数据出境前，应当自行组织对数据出境活动进行风险自评估。风险自评估应当包括数据出境的目的、范围、方式、数据类型、数量、敏感程度，以及可能对国家安全、公共利益、个人信息权益带来的风险等内容。2.风险自评估应当形成书面报告，报告内容应当客观、准确、完整。风险自评估报告应当包括评估的基本情况、评估依据、评估方法、评估结果以及应对措施等。（二）数据出境安全评估申报1.数据处理者完成风险自评估后，认为数据出境可能影响国家安全、公共利益、个人信息权益的，应当向国家网信部门申报数据出境安全评估。2.申报数据出境安全评估，应当提交下列材料：数据出境安全评估申报书；数据出境风险自评估报告；数据处理者与境外接收方签订的法律文件，明确双方的数据安全保护责任和义务；其他需要提交的材料。（三）数据出境安全评估审查1.国家网信部门自收到申报材料之日起7个工作日内，对申报材料的完整性进行形式审查。符合要求的，予以受理；不符合要求的，不予受理，并书面通知数据处理者补充或者更正。2.国家网信部门受理申报后，应当组织有关部门和专业机构进行安全评估审查。安全评估审查可以采取书面审查、实地核查、专家评审、检测评估等方式进行。3.国家网信部门应当自受理申报之日起45个工作日内完成安全评估审查工作。情况复杂的，可以延长15个工作日。（四）评估结果通知与处理1.国家网信部门作出通过安全评估审查决定的，数据处理者可以按照申报的出境方式、出境数据等开展数据出境活动。2.国家网信部门作出不通过安全评估审查决定的，数据处理者不得开展数据出境活动。数据处理者应当按照国家网信部门的要求进行整改，整改完成后可以重新申报安全评估审查。四、数据出境安全保护义务（一）数据处理者义务1.数据处理者应当建立健全数据出境安全管理制度，明确数据出境的流程、责任人和安全保护措施等。2.数据处理者应当按照国家网信部门的要求，采取必要的技术措施和其他措施，保障数据出境安全。技术措施应当包括但不限于数据加密、访问控制、数据备份等。3.数据处理者应当对数据出境活动进行监测和审计，及时发现和处理数据出境过程中的安全问题。4.数据处理者应当在数据出境前，向数据主体告知数据出境的目的、范围、方式、接收方等信息，并取得数据主体的单独同意。法律、行政法规另有规定的除外。（二）境外接收方义务1.境外接收方应当按照与数据处理者签订的法律文件，履行数据安全保护责任和义务。2.境外接收方应当采取必要的技术措施和其他措施，保障数据安全。技术措施应当包括但不限于数据加密、访问控制、数据备份等。3.境外接收方应当在数据处理完毕后，按照与数据处理者约定的方式和期限，及时删除或者返还数据。五、监督管理（一）监管部门职责1.国家网信部门负责统筹协调数据出境安全评估工作，指导、监督数据处理者开展数据出境活动。2.国务院有关部门按照各自职责，负责数据出境安全评估的相关工作。3.地方网信部门负责本行政区域内的数据出境安全评估的监督管理工作。（二）监督检查措施1.监管部门可以依法对数据处理者的数据出境活动进行监督检查，数据处理者应当予以配合。2.监管部门在监督检查中发现数据处理者存在违反本办法规定的行为的，应当责令其限期改正；逾期不改正的，依法予以处罚。（三）投诉举报处理1.任何个人和组织有权对数据处理者的数据出境活动进行投诉举报。2.监管部门应当及时受理投诉举报，并依法进行调查处理。对查证属实的违法行为，依法予以处罚。六、法律责任（一）数据处理者违法责任1.数据处理者违反本办法规定，未按照要求进行数据出境风险自评估或者未申报数据出境安全评估的，由国家网信部门责令改正，给予警告，可以并处100万元以下罚款；情节严重的，处100万元以上1000万元以下罚款，并可以责令暂停相关业务、停业整顿、关闭网站或者应用程序；对直接负责的主管人员和其他直接责任人员处1万元以上10万元以下罚款。2.数据处理者违反本办法规定，通过数据出境安全评估审查后，未按照申报的出境方式、出境数据等开展数据出境活动的，由国家网信部门责令改正，给予警告，可以并处100万元以下罚款；情节严重的，处100万元以上1000万元以下罚款，并可以责令暂停相关业务、停业整顿、关闭网站或者应用程序；对直接负责的主管人员和其他直接责任人员处1万元以上10万元以下罚款。3.数据处理者违反本办法规定，未履行数据出境安全保护义务的，由国家网信部门责令改正，给予警告，可以并处100万元以下罚款；情节严重的，处100万元以上1000万元以下罚款，并可以责令暂停相关业务、停业整顿、关闭网站或者应用程序；对直接负责的主管人员和其他直接责任人员处1万元以上10万元以下罚款。（二）境外接收方违法责任境外接收方违反本办法规定，未履行数据安全保护责任和义务的，由国家网信部门责令改正，给予警告，可以并处100万元以下罚款；情节严重的，处100万元以上1000万元以下罚款，并可以责令暂停相关业务、停业整顿、关闭网站或者应用程序；对直接负责的主管人员和其他直接责任人员处1万元以上10万元以下罚款。（三）其他违法责任1.数据处理者和境外接收方违反本办法规定，构成违反治安管理行为的，依法给