生物数据出境管理办法

生物数据出境管理办法一、总则（一）目的与依据为了规范生物数据出境活动，保护我国生物安全和个人信息权益，促进生物科技健康发展，根据《中华人民共和国生物安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律法规，制定本办法。（二）适用范围本办法适用于在中华人民共和国境内运营中收集和产生的生物数据向境外提供的活动。前款所称生物数据，是指以电子或者其他方式记录的与生物样本、生物信息相关的各类数据，包括但不限于基因数据、蛋白质数据、细胞数据、生物影像数据等。（三）基本原则1.安全可控原则生物数据出境应当确保数据的安全性、完整性和可用性，有效防范数据泄露、篡改、丢失等风险，保障我国生物安全和个人信息权益。2.分类管理原则根据生物数据的敏感程度和对国家安全、公共利益的影响，实行分类分级管理，采取相应的管理措施。3.风险评估原则对生物数据出境进行风险评估，识别、分析和评估可能存在的风险，并采取有效的风险应对措施。4.主体责任原则生物数据处理者对生物数据出境活动负责，应当建立健全管理制度，落实主体责任，确保生物数据出境活动合法合规。二、生物数据出境的定义与范围（一）生物数据出境的定义生物数据出境是指在中华人民共和国境内运营中收集和产生的生物数据向境外提供的行为，包括但不限于通过网络传输、存储介质携带、境外机构访问等方式将生物数据传输至境外。（二）生物数据出境的范围1.直接向境外提供生物数据，包括但不限于向境外的科研机构、企业、医疗机构等提供生物数据。2.通过设立境外分支机构、委托境外机构处理等方式间接向境外提供生物数据。3.以共享、合作研究、临床试验等名义将生物数据提供给境外合作方的行为。三、生物数据出境的条件与要求（一）一般条件生物数据处理者向境外提供生物数据，应当同时满足以下条件：1.已按照我国法律法规和相关标准要求，对生物数据进行了安全保护和分类分级管理。2.已制定生物数据出境安全管理制度和应急预案，明确了安全负责人和安全管理措施。3.已对生物数据出境可能对我国生物安全、公共利益和个人信息权益造成的影响进行了风险评估，并采取了有效的风险应对措施。4.已与境外接收方签订书面协议，约定双方的权利和义务，明确生物数据的安全保护责任和违约责任。（二）特殊条件1.对于涉及重要生物数据的出境，生物数据处理者除满足一般条件外，还应当按照国家有关规定进行安全评估，并取得国家网信部门会同国务院有关部门批准。前款所称重要生物数据，是指一旦泄露、篡改、丢失或者非法获取、非法利用，可能危害国家安全、公共利益或者个人生命健康，或者可能影响生物科技健康发展的数据。2.对于涉及个人生物识别信息的出境，生物数据处理者除满足一般条件外，还应当取得个人的单独同意，并按照国家有关规定进行匿名化处理。四、生物数据出境的流程与管理（一）准备阶段1.生物数据处理者应当对拟出境的生物数据进行全面梳理，明确数据的类型、数量、敏感程度等信息，并按照我国法律法规和相关标准要求进行分类分级管理。2.生物数据处理者应当制定生物数据出境安全管理制度和应急预案，明确安全负责人和安全管理措施，确保生物数据出境活动合法合规、安全可控。3.生物数据处理者应当对生物数据出境可能对我国生物安全、公共利益和个人信息权益造成的影响进行风险评估，并根据风险评估结果采取有效的风险应对措施。（二）申请阶段1.对于一般生物数据出境，生物数据处理者应当在向境外提供生物数据前，通过国家网信部门会同国务院有关部门指定的网络平台提交生物数据出境安全评估申报材料。申报材料应当包括生物数据处理者的基本情况、生物数据的类型和数量、出境目的和用途、境外接收方的基本情况、双方签订的书面协议等内容。2.对于重要生物数据出境，生物数据处理者应当按照国家有关规定向国家网信部门会同国务院有关部门提出安全评估申请，并提交相关申报材料。国家网信部门会同国务院有关部门应当自收到申请之日起45个工作日内完成安全评估，并作出批准或者不批准的决定。（三）审批阶段1.国家网信部门会同国务院有关部门对生物数据出境安全评估申报材料进行审查，必要时可以组织专家进行论证或者委托专业机构进行评估。2.对于符合条件的生物数据出境申请，国家网信部门会同国务院有关部门予以批准，并颁发生物数据出境安全评估批准文件；对于不符合条件的申请，不予批准，并书面通知生物数据处理者并说明理由。（四）实施阶段1.生物数据处理者应当按照生物数据出境安全评估批准文件的要求，采取有效的技术和管理措施，确保生物数据出境活动合法合规、安全可控。2.生物数据处理者应当定期对生物数据出境活动进行自查，发现问题及时整改，并将自查情况向国家网信部门会同国务院有关部门报告。3.境外接收方应当按照双方签订的书面协议，履行生物数据安全保护责任，不得擅自改变生物数据的用途或者将生物数据再提供给第三方。（五）监督管理阶段1.国家网信部门会同国务院有关部门对生物数据出境活动进行监督检查，发现问题及时责令整改。2.对于违反本办法规定的生物数据处理者和境外接收方，国家网信部门会同国务院有关部门将依法予以处罚；构成犯罪的，依法追究刑事责任。五、生物数据出境的安全评估（一）评估主体国家网信部门会同国务院有关部门负责组织对重要生物数据出境进行安全评估；对于一般生物数据出境，由生物数据处理者自行组织安全评估，并将评估结果报国家网信部门会同国务院有关部门备案。（二）评估内容生物数据出境安全评估应当包括以下内容：1.生物数据的来源、范围、数量、敏感程度等情况。2.生物数据出境的目的、用途、接收方等情况。3.生物数据出境可能对我国生物安全、公共利益和个人信息权益造成的影响。4.生物数据处理者和境外接收方采取的安全保护措施。5.其他需要评估的事项。（三）评估方法生物数据出境安全评估可以采取以下方法：1.资料审查，对生物数据处理者提交的申报材料进行审查。2.现场检查，对生物数据处理者和境外接收方的办公场所、数据存储设施等进行实地检查。3.技术检测，利用技术手段对生物数据的安全性、完整性和可用性进行检测。4.专家论证，组织相关领域的专家对生物数据出境安全评估事项进行论证。（四）评估报告生物数据出境安全评估完成后，评估主体应当出具评估报告。评估报告应当包括评估的基本情况、评估结论、存在的问题及建议等内容。对于重要生物数据出境安全评估报告，国家网信部门会同国务院有关部门应当及时向社会公开；对于一般生物数据出境安全评估报告，生物数据处理者应当按照国家网信部门会同国务院有关部门的要求进行妥善保管，并在必要时提供给相关部门查阅。六、生物数据出境的应急处置（一）应急预案制定生物数据处理者应当制定生物数据出境应急预案，明确应急处置流程、责任分工、应急措施等内容，确保在生物数据出境过程中发生安全事件时能够及时、有效地进行处置。（二）应急处置措施1.发生生物数据出境安全事件时，生物数据处理者应当立即启动应急预案，采取有效的技术和管理措施，防止事件扩大，并及时向国家网信部门会同国务院有关部门报告。2.国家网信部门会同国务院有关部门接到报告后，应当及时组织相关部门和专业机构进行应急处置，指导生物数据处理者采取措施消除安全隐患，降低事件影响。3.境外接收方应当配合生物数据处理者进行应急处置，提供必要的协助和支持。（三）事后恢复与总结1.生物数据出境安全事件处置完毕后，生物数据处理者应当及时对事件进行调查和分析，总结经验教训，采取措施改进安全管理工作。2.生物数据处理者应当将事件调查和分析情况、改进措施等向国家网信部门会同国务院有关部门报告。七、法律责任（一）生物数据处理者的法律责任1.生物数据处理者违反本办法规定，未按照要求进行生物数据出境安全评估、未取得批准擅自向境外提供生物数据等行为的，由国家网信部门会同国务院有关部门责令改正，给予警告，没收违法所得；拒不改正的，处100万元以下罚款，并可以责令暂停相关业务、停业整顿、关闭网站或者应用程序；对直接负责的主管人员和其他直接责任人员处1万元以上10万元以下罚款。2.生物数据处理者违反本办法规定，在生物数据出境过程中发生安全事件，未及时采取措施处置或者未按照要求报告的，由国家网信部门会同国务院有关部门责令改正，给予警告；情节严重的，处10万元以上100万元以下罚款，并可以责令暂停相关业务、停业整顿、关闭网站或者应用程序；对直接负责的主管人员和其他直接责任人员处1万元以上10万元以下罚款。3.生物数据处理者违反本办法规定，未按照约定履行生物数据安全保护责任的，由国家网信部门会同国务院有关部门责令改正，给予警告；情节严重的，处10万元以上100万元以下罚款，并可以责令暂停相关业务、停业整顿、关闭网站或者应用程序；对直接负责的主管人员和其他直接责任人员处1万元以上10万元以下罚款。（二）境外接收方的法律责任境外接收方违反本办法规定，未按照约定履行生物数据安全保护责任的，由国家网信部门会同国务院有关部门责令改正，给予警告；情节严重的，处10万元以上