跨境数据出境管理办法

跨境数据出境管理办法一、总则（一）目的与依据为了规范跨境数据出境活动，保护个人信息权益，维护国家安全和社会公共利益，促进数据跨境安全、自由流动，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律法规，制定本办法。（二）适用范围本办法适用于在中华人民共和国境内运营中收集和产生的个人信息和重要数据向境外提供的活动。法律、行政法规另有规定的，依照其规定。（三）基本原则跨境数据出境活动应当遵循自愿、平等、公平、诚信的原则，不得损害个人利益、社会公共利益和国家安全。同时，应当确保数据出境后的安全保护水平不低于在境内的保护水平。二、数据出境的定义与范围（一）数据出境的定义本办法所称数据出境，是指在中华人民共和国境内运营中收集和产生的个人信息和重要数据传输、存储、处理、使用等活动转移到境外的情形。（二）数据出境的范围1.个人信息：包括但不限于姓名、性别、年龄、身份证号码、联系方式、健康状况、行踪轨迹等能够单独或者与其他信息结合识别自然人个人身份的各种信息。2.重要数据：是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、经济运行、社会稳定、公共健康和安全等的数据。重要数据的具体认定标准由国家网信部门会同国务院有关部门另行制定。三、数据出境的安全评估（一）评估主体与职责1.数据处理者应当自行评估其数据出境活动对国家安全、个人信息权益和社会公共利益的影响，并按照本办法的规定向国家网信部门申报数据出境安全评估。2.国家网信部门负责统筹协调数据出境安全评估工作，制定评估规则和标准，组织开展评估工作，并对评估结果进行审查。国务院有关部门在各自职责范围内对数据出境安全评估工作予以配合。（二）评估内容1.数据出境的必要性和正当性，包括是否为了履行法定职责、实现合法商业目的等。2.数据出境可能对国家安全、个人信息权益和社会公共利益造成的影响，如数据泄露风险、对国家关键信息基础设施的影响等。3.数据出境接收方所在国家或者地区的数据保护政策和措施，以及该接收方是否具备充分的数据保护能力。4.数据处理者与数据出境接收方签订的合同中是否包含了充分的数据保护条款，如数据安全保护责任、数据存储期限、数据访问限制等。5.数据处理者采取的保障数据出境安全的技术和管理措施，如加密技术、访问控制、数据备份等。（三）评估流程1.数据处理者向国家网信部门提交数据出境安全评估申报材料，包括数据出境的目的、范围、方式、接收方等基本情况，以及对数据出境可能影响的分析评估报告等。2.国家网信部门自收到申报材料之日起7个工作日内，对申报材料的完整性进行形式审查。材料不齐全的，通知数据处理者补充完善。3.国家网信部门组织有关部门、专业机构和专家对申报材料进行实质审查。必要时，可以要求数据处理者补充提供相关材料或者进行说明。4.国家网信部门根据审查结果，作出通过安全评估或者不通过安全评估的决定，并书面通知数据处理者。通过安全评估的，数据处理者可以按照申报的方式和内容进行数据出境活动；不通过安全评估的，数据处理者不得进行数据出境活动。四、数据出境的认证与备案（一）认证机制1.国家鼓励数据处理者通过取得数据出境安全认证等方式，证明其数据出境活动符合法律法规和本办法的要求。2.数据出境安全认证机构应当按照国家网信部门制定的认证规则和标准，对数据处理者的数据出境活动进行认证，并出具认证证书。认证机构应当对认证结果负责，接受国家网信部门和社会监督。（二）备案要求1.数据处理者向境外提供个人信息的，应当向所在地省级网信部门备案。备案内容包括数据出境的目的、范围、方式、接收方等基本情况，以及数据处理者与数据出境接收方签订的包含数据安全保护责任、数据存储期限、数据访问限制等内容的合同副本。2.省级网信部门应当自收到备案材料之日起7个工作日内，对备案材料进行审查。材料齐全的，予以备案，并将备案信息通报同级公安机关；材料不齐全的，通知数据处理者补充完善。五、数据出境的合同要求（一）合同内容数据处理者与数据出境接收方签订的合同应当明确双方的数据安全保护责任，包括但不限于：1.数据出境的目的、范围、方式等。2.数据安全保护措施，如数据加密、访问控制、数据备份等。3.数据存储期限和存储地点。4.数据访问限制，包括访问的目的、范围、方式等。5.数据泄露通知和处置机制。6.违约责任和争议解决方式。（二）合同变更与解除数据处理者与数据出境接收方变更或者解除数据出境合同的，应当及时通知所在地省级网信部门。变更后的合同应当符合本办法的要求。六、数据出境的监督管理（一）监督检查职责1.国家网信部门负责对数据出境活动进行监督检查，依法查处违法违规行为。2.国务院有关部门在各自职责范围内对数据出境活动进行监督管理。3.省级网信部门负责对本行政区域内的数据出境备案活动进行监督检查。（二）检查措施1.查阅、复制与数据出境活动有关的文件、资料、数据等。2.询问与数据出境活动有关的人员，要求其对有关问题作出说明。3.检查数据处理者的数据出境安全保护技术和管理措施的落实情况。（三）违法违规处理1.数据处理者违反本办法规定，未按照要求进行数据出境安全评估、认证或者备案的，由国家网信部门或者有关部门责令改正，给予警告，可以并处100万元以下罚款；情节严重的，处100万元以上1000万元以下罚款，并可以责令暂停相关业务、停业整顿、关闭网站或者应用程序；对直接负责的主管人员和其他直接责任人员处1万元以上10万元以下罚款。2.数据处理者违反本办法规定，向境外提供个人信息未按照要求进行备案的，由省级网信部门责令改正，给予警告，可以并处50万元以下罚款；情节严重的，处50万元以上200万元以下罚款，并可以责令暂停相关业务、停业整顿、关闭网站或者应用程序；对直接负责的主管人员和其他直接责任人员处1万元以上10万元以下罚款。3.数据处理者违反本办法规定，未按照合同约定履行数据安全保护责任的，依法承担违约责任；给个人、组织造成损害的，依法承担民事责任。4.数据出境活动危害国家安全、个人信息权益和社会公共利益的，依法追究法律责任。七、数据出境的应急处置（一）应急预案制定数据处理者应当制定数据出境应急预案，明确数据出境安全事件的报告、处置、恢复等流程和措施。应急预案应当报所在地省级网信部门备案。（二）应急处置措施1.发生数据出境安全事件时，数据处理者应当立即采取措施进行处置，并及时向所在地省级网信部门报告。报告内容包括事件的基本情况、影响范围、已采取的措施等。2.省级网信部门接到报告后，应当及时组织有关部门进行调查处理，并将事件情况通报同级公安机关等有关部门。3.数据处理者应当配合有关部门进行调查处理，提供必要的协助和支持。同时