数据出境安全评估申报指南第三版

数据出境安全评估申报指南第三版一、适用范围与申报义务判定数据出境是否必须申报安全评估，取决于数据处理者身份、数据类型和数据规模三个维度，任何一项落入触发条件即须申报，不存在“择低适用”。本指南依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《数据出境安全评估办法》（国家互联网信息办公室令第11号，2022年9月1日施行）、《促进和规范数据跨境流动规定》（国家互联网信息办公室2024年3月22日公布）编写，适用于境内数据处理者向境外提供数据的自查、申报与整改全流程。1.1必须申报安全评估的情形•数据处理者向境外提供重要数据。重要数据指一旦泄露、篡改、损毁，直接危害国家安全、经济运行、社会稳定或公共健康安全的数据，以行业主管部门发布的重要数据目录为准；行业目录未列明的，由处理者结合业务自行评估并在申报材料中说明判断依据。•关键信息基础设施运营者（CIIO）向境外提供任何个人信息或重要数据，无论数量大小。•自上年1月1日起累计向境外提供100万人以上个人信息（不含敏感个人信息）的一般数据处理者。•自上年1月1日起累计向境外提供1万人以上敏感个人信息或10万人以上个人信息，且属于一般数据处理者的。1.2免予申报安全评估的情形（可豁免但义务不消失）•为订立、履行个人作为一方当事人的合同（如跨境网购、跨境寄递、出境签证办理）确需向境外提供个人信息，且不涉及100万人以上、不涉及1万人以上敏感个人信息。•实施跨境人力资源管理，按劳动规章制度跨境传输员工个人信息，同样受上述数量上限约束。•紧急情况下为保护自然人生命健康和财产安全向境外提供个人信息。•自贸区负面清单外的数据出境（以当地省级网信部门公布的负面清单为准）。•免予申报不等于免予合规：仍须履行个人信息保护影响评估（PIA）、取得个人单独同意（敏感信息）、与境外接收方订立合同或协议等义务。1.3判定流程（自上而下，先定性后定量）1.判断处理者是否为CIIO：依据《关键信息基础设施安全保护条例》及行业主管部门认定的书面通知，不确定的向属地行业主管/监管部门书面询问并留存回复。2.判断是否涉及重要数据：比对行业目录+自评估+必要时申请属地网信部门指导。3.统计出境数据量口径：以上一年度1月1日为起点累计，含个人信息条数（去重后的人数）、敏感信息单列统计；集团内多家法人分别统计、分别判定。4.三步均未触发→走个人信息出境标准合同备案或自贸区负面清单路径；任一触发→进入本指南第二章申报流程。1.4判定错误的法律后果未触发即出境且应申报而未申报的，依据《数据出境安全评估办法》第十七条，由省级以上网信部门责令整改，可并处警告、罚款；情节严重的，依据《个人信息保护法》第六十六条可处5000万元以下或上一年度营业额5%以下罚款，直接责任人员罚款10万至100万元，并可责令暂停业务、吊销许可。企业合规负责人应将判定过程（含数量统计底稿、目录比对记录）归档留存至少3年，以备监管核查时自证尽职。二、申报流程与时限申报流程是“网信办主导、材料一次性完整”的审查程序，材料补正次数直接决定总周期——实践中完整材料3个月内办结，材料反复补正的案例拖延至8个月以上，申报准备阶段的质量决定整体效率。2.1流程总览环节责任主体时限要求产出物1.数据出境风险自评估数据处理者（须在申报前3个月内完成）建议4~6周自评估报告（格式见2.3）2.提交申报材料至省级网信部门数据处理者自评估完成后尽快提交申报回执3.形式审查与完整性核查省级网信部门5个工作日内决定是否受理受理/退回补正通知4.上报国家网信部门省级网信部门受理后转报转报手续5.实质性评估国家网信部门受理后45个工作日，可延长书面评估结果6.补充材料（如被要求）数据处理者按通知要求，通常10个工作日补充说明2.2申报材料清单（缺一不予受理）•申报书：使用国家网信办发布的统一模板，加盖申报单位公章，法定代表人或授权负责人签字（附授权委托书）。•自评估报告：重点章节须覆盖出境目的合法性与必要性论证（须写明“不出境则业务无法实现”的具体业务依据，如境外总部统一结算系统、全球客服工单系统）、境外接收方所在地数据保护法规与网络安全状况（引用该国个人信息保护专门立法、监管机构名称、执法案例）、接收方技术与组织保障措施（加密算法与密钥管理、访问控制矩阵、日志留存时长）、合同约束条款、以往出境记录及安全事故情况。•拟与境外接收方订立的合同或协议：须含数据安全保护义务、违约责任、境内追责条款。•数据安全管理与网络安全制度文件：管理制度、分类分级清单、应急处置预案。•授权委托材料（如有）、统一社会信用代码证照复印件。2.3自评估报告的结构要求自评估报告是全部材料中被驳回率最高的部分，常见死因是“出境必要性写成商业愿景、风险分析写成无风险的套话”。报告须包含且具体化以下内容：•出境数据清单：字段级列表（如“姓名、护照号、出行记录、血型”），区分个人/敏感个人/重要数据，标注数量与出境频率（一次性/周期性/实时接口调用，实时接口须写明日均调用条数）。•风险分析须给出完整演化路径而非“存在风险”：例如“境外接收方未做访问隔离→离职员工账号未及时回收→批量导出客户数据→在境外黑市流通→回流用于境内电信诈骗”。对每条路径写出阻断点（上例中：账号回收SOP、导出双人审批、日志异地审计）。•风险须覆盖数据泄露、被境外政府调取（写明接收方所在国是否有数据调取立法，如美国CLOUDAct类条款，以及合同与技术上的抗辩措施）、接收方再转移（写明再转移审批机制）三类。•出问题怎么办：写明接收方发生安全事件时24小时内通知的合同条款、境内紧急处置预案及演练记录编号。2.4补正与不予受理的应对•材料被退回补正的，自评估报告中的数据统计截止日期若已距提交日超过3个月，必须重新做自评估，不可仅修改个别数字。•收到“补充说明”要求的，建议由法务、IT、合规三方会签后一次性提交，分次回复会反复重启审查计时。•申报被评估为“不得出境”的，立即（收到通知当日）在出境接口侧执行阻断：关闭境外传输任务、吊销跨境API凭证，并在15个工作日内向省级网信部门书面报告整改情况。继续传输将构成“拒不改正”，处罚升档。三、通过评估后的持续合规义务安全评估结果有效期为3年，但有效期不等于三年免检——期间发生特定情形须重新申报，日常运行须保留可核查的记录链。这一章是企业在“拿到批文”后最容易失守的环节。3.1必须重新申报的情形（任一触发即停旧启新）•向境外提供数据的目的、方式、范围、种类、用途发生实质性变化（如新增出境数据字段、新增境外接收实体、由批量传输改为实时同步）。新增一个非敏感字段是否算“实质性变化”存疑时，按从严原则重新申报。•境外接收方或其实际控制人变更、接收方所在国数据保护立法发生不利于境内主体权益的重大变化（如废除了个人信息保护专门立法、扩大政府无证调取范围）。•安全评估有效期届满前60日仍未重新申报的，届满自动失效，须暂停出境。3.2年度执行动作清单时点动作责任岗位留存记录每季度末核对实际出境数据字段/数量与批文一致性，超量即预警IT数据接口负责人对账表每半年复核境外接收方所在国立法变化（检索监管机构官网）法务检索截图与结论备忘每年境外接收方安全审计（要求其提供SOC2/ISO27001或开展远程审计）安全负责人审计报告每年出境安全事件应急演练1次安全+业务部门演练记录、问题整改清单持续出境日志留存不少于6个月（依据《网络安全法》第二十一条日志要求，建议1年）IT运维日志归档证明3.3违规风险演化与阻断设计典型失控路径：业务部门为赶项目上线绕过合规临时开通跨境接口→未登记在出境清单中→批文覆盖范围与实际不符→监管检查或数据泄露事件中被认定为“超范围出境”→评估结果被撤销且企业进入重点监管名单。阻断机制（三道闸）：1.技术闸：跨境出口流量由网关统一管理，新增跨境域名/接口须合规岗在工单系统中审批，无审批记录的流量网关每周扫描并自动阻断。2.合同闸：与境外接收方合同中约定“仅限批文核准字段与用途”，接收方超范围使用须承担违约金并在24小时内停止处理。3.审计闸：内审部门每年至少1次比对出境清单、批文、网关日志三方数据，差异报告直报合规委员会。四、与标准合同、认证路径的关系安全评估不是唯一合规通道，三条通道不可自选叠加套用——触发评估情形的必须走评估，未触发的可在标准合同与认证中择一。选择错误不仅浪费周期，还可能被认定为路径规避。•优先顺序：触发评估情形→安全评估（唯一路径）；未触发且非CIIO→可选标准合同备案（周期约3~4个月，适合少量、低频出境）或个人信息保护认证（适合集团内多主体、多法人跨境场景，一次认证覆盖集团）。•严禁“拆单规避”：将累计100万人以上的出境量拆分为多法人、多批次申报标准合同以规避评估——监管按集团实质合并审查，一经认定按未申报处理并从重处罚；替代方案是如实合并统计后按实际触发情形申报。•集团内既有实体已通过评估、另一实体新增出境的，两实体独立判定，不可引用兄弟公司的评估结果。五、常见驳回原因与自查表以下为近年申报实践中最高频的五类驳回原因，提交前逐项自查：•自评估报告中出境必要性论证不足，仅写“业务需要”“提升效率”而无具体业务不可替代性说明。•数据量统计口径错误：未去重、未单列敏感信息、未按上一年度起点累计。•境外接收方所在地法律环境分析照抄网上模板，未写明具体立法名称与执法实践。•合同条款缺失：无境内追责条款、无再转移约束、无事件24小时通知义务。•出境方式描述与实际技术架构不符（如批文写批量传输、实际是API实时同步）。六、附录一：数据出境申报前自查表（可直接打印使用）序号自查项结果（是/否/不适用）证据文件编号1本主体是否为关键信息基础设施运营者（附主管部门书面认定或排除依据）2出境数据是否涉及重要数据（附行业目录比对记录）3上年1月1日以来累计出境个人信息人数（去重，附统计底稿）4上年1月1日以来累计出境敏感个人信息人数（单列）5是否落入必须申报评估的四类情形之一6自评估报告完成日期距拟提交日是否在3个月内7与境外接收方合同是否含再转移约束、事件24小时通知、境内追责条款8境外接收方所在国立法检索是否完成（附检索记录）9出境数据字段清单是否与拟提交批文申请完全一致（字段级核对）10是否存在集团内其他法人同源数据出境需合并判定七、附录二：出境数据字段登记表样表字段名称数据类型（个人/敏感/重要）单条记录示例（脱敏）年度出境量级出境方式境外接收方合同/批文依据客户姓名个人信息张某约XX万条/年API实时XX（境外实体名，以备案合同为准）沪网信评估〔20XX〕XX号身份证件号敏感个人信息310*********123X约XX万条/年API实时同上同上八、附录三：出境安全事件应急通讯录模板角色姓名职务联系电话职责应急总指挥（填）合规负责人/副总1XX******决