数据出境安全评估资料准备规范

数据出境安全评估资料准备规范一、适用范围与触发判定是否触发数据出境安全评估强制申报要求，是所有准备工作的首要前提，错判将直接导致要么违规出境面临最高5000万元或上一年度营业额5%的罚款，要么不必要申报增加企业合规成本。1.强制申报判定标准（严格依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《数据出境安全评估办法》），符合任一情形必须申报：◦数据处理者向境外提供重要数据；◦关键信息基础设施运营者（CIIO）、处理100万人以上个人信息的数据处理者向境外提供个人信息；◦自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者向境外提供个人信息；◦国家网信部门规定的其他需申报情形。2.豁免申报情形（需留存证明材料备查）：◦数据处理者在境内收集、产生的数据未存储至境外，仅被境外主体经授权远程访问，访问全程留存全量操作日志、未超出境内授权使用范围；◦为订立、履行个人作为一方当事人的合同所必需，如跨境购物、跨境汇款、机票酒店预订、签证办理等场景下的必要个人信息出境。3.判定时限要求：企业数据合规岗必须在数据出境场景规划阶段、最晚不迟于出境行为正式启动前60天完成触发判定，形成《数据出境场景判定表》，由企业首席数据官（或合规负责人）签字确认，判定表留存期限不少于3年。二、组织架构与职责分工数据出境评估资料准备横跨合规、法务、技术、业务4个以上部门，据行业测算，无明确权责划分与时限约束的项目，平均补正次数超3次、评估周期延长60%以上，必须建立固定工作组与闭环进度机制。1.工作组架构：成立数据出境评估专项工作组，组长必须为企业法定代表人或其书面授权的高级管理人员（不得由中层管理人员担任），成员包含合规、法务、信息安全、业务部门指定的固定对接人。2.岗位权责与交付时限：◦合规组（牵头：数据合规部，对接人占位）：统筹整体材料准备，牵头撰写自评估报告，对接属地网信部门，总交付时限：触发判定后30天内完成材料初稿；◦技术组（牵头：信息安全部，对接人占位）：提供数据出境全链路技术方案、安全防护措施证明、日志留存方案、数据字段清单、第三方安全检测报告，交付时限：收到合规组需求后15天内提交对应材料；◦法务组（牵头：法务部，对接人占位）：审核与境外接收方的法律文件、合同条款、责任划分条款，出具境外法律环境评估意见与法律意见书，交付时限：技术组材料提交后10天内完成；◦业务组（牵头：对应出境场景业务部门，对接人占位）：提供出境业务背景说明、业务必要性证明、用户告知同意材料、用户权益响应机制说明，交付时限：收到合规组需求后10天内提交。3.进度管控机制：专项工作组每3个工作日召开1次进度同步会，会后12小时内下发待办清单，明确每项任务的责任人、交付时间、验收标准；逾期交付的，由工作组组长对对应部门负责人进行约谈。三、分项材料准备规范与质量要求申报材料的内容一致性、证据充分性、表述准确性是网信部门审核的核心依据，据国家网信办2023年公开通报，约72%的申报因材料不合格被要求补正，11%的申报因材料存在虚假陈述直接被驳回，必须严格对照申报指南逐项编制，严禁缺项、模糊表述或前后矛盾。1.基础格式统一要求所有纸质材料一式2份，加盖企业公章（多页材料加盖骑缝章）；电子材料采用不可编辑PDF格式（签章齐全），单个文件大小不超过200M，文件名统一命名为「[企业全称]-[材料名称]-[申报日期YYYYMMDD]」；所有外文材料必须附经正规翻译机构盖章的中文译本，译本与原件效力一致。2.数据出境安全评估申报书必须使用国家网信办发布的最新版统一模板（从属地省级网信部门官网下载），填写要求：◦企业基本信息严格匹配营业执照加载内容，不得简写企业名称、统一社会信用代码；◦出境场景描述必须量化，禁止使用「部分数据」「少量数据」「定期传输」等模糊表述，示例：「每自然日向位于新加坡的境外母公司传输交易类个人信息共12万条，字段包括用户脱敏手机号、交易金额、交易时间，传输方式为IPsec加密专线，传输周期为202X年X月X日至202X+2年X月X日」；◦申报书所有勾选选项、数据口径必须与后续自评估报告、法律文件内容完全一致，不一致的直接不予受理。3.数据出境风险自评估报告（核心材料，占审核权重60%以上）自评估报告出具日期距离申报日期不得超过3个月，超过的必须重新开展评估，报告需包含7个核心模块：◦出境事项基本情况：说明业务背景、出境必要性（必须明确无法在境内完成数据处理的具体原因，如「境外母公司具备全球唯一的跨境交易清结算资质，境内无对应持牌机构可承接该业务，数据不出境将导致境内用户跨境交易无法完成」，严禁仅表述为「业务需要」）、数据全生命周期流转路径（从收集、存储、处理、出境、境外存储、使用到销毁的全流程节点，附流转拓扑图，标注每个节点的责任主体、数据留存期限、安全防护等级）；◦出境数据明细：必须附《出境数据字段清单》，逐一列明每个字段的名称、字段类型（个人信息/敏感个人信息/重要数据）、数据量级、敏感等级（一般/重要/核心）、加密存储方式；重要数据必须明确认定依据（对应行业主管部门发布的重要数据目录条款），无明确目录的需附3名以上相关领域副高职称专家（与企业无利益关联）出具的论证意见；个人信息规模统计截止时间为申报前1个自然月最后1日，需明确统计口径；◦境外接收方履约能力：说明境外接收方主体资质、所在国家/地区的数据保护法律环境（含当地政府调取数据的法定程序、是否存在无理由强制调取数据的法律条款）、安全防护能力（附剩余有效期不少于6个月的ISO27001、SOC2等安全认证证书复印件）、接收方承诺承担的数据安全责任，严禁仅表述为「境外接收方具备完善的数据保护能力」；◦全链路安全防护措施：技术层面明确传输加密算法（优先使用国密SM2/SM3/SM4算法；若境外接收方不支持国密算法则使用AES-256、RSA-2048及以上强度的国际算法；严禁使用DES、MD5等已被破解的弱加密算法——此类算法可在数分钟内被暴力破解，导致传输数据全量泄露）、传输通道防护策略（专线/VPN的访问控制规则、入侵检测配置、DDoS防护带宽）、访问权限控制（按最小权限原则分配账号，所有操作日志留存不少于6个月）、数据销毁机制（合同到期后15天内境外接收方必须完成所有数据的不可逆删除，出具删除证明并经境内企业核验）；管理层面明确内部出境审批流程、员工数据安全培训要求（每季度不少于1次，覆盖率100%，考核通过率不低于90分）；◦个人信息权益保障方案：说明用户告知的具体内容（含出境目的、接收方信息、用户行使查阅/复制/更正/删除/撤回同意的渠道，响应时限不得超过15个工作日）、敏感个人信息单独同意获取方式（必须单独弹窗授权，不得与其他服务条款捆绑，附授权页面截图）、权益受损赔偿机制（明确投诉渠道、赔偿标准、赔付时限）；◦风险分析与应对：按三级风险列示所有可能场景，每个风险需给出完整演化路径（起因→传播途径→触发条件→最终后果）及对应阻断措施，分级标准如下：1.1级（高危）：判定标准为涉及重要数据出境、可能影响国家安全/公共利益、或可能导致10万人以上个人信息权益受损；启动权限为企业法定代表人，2小时内启动响应；处置原则为优先阻断出境链路，同步上报属地网信部门；2.2级（中危）：判定标准为可能导致1万-10万人个人信息权益受损、不涉及公共利益；启动权限为合规负责人，4小时内启动响应；处置原则为采取技术措施阻断风险传播，24小时内排查漏洞完成整改；3.3级（低危）：判定标准为可能导致1万人以下个人信息权益受损、无扩散风险；启动权限为信息安全部门负责人，8小时内启动响应；处置原则为及时修复漏洞，做好受影响用户告知；◦自评估结论：必须明确给出「本次数据出境活动不存在不可控的国家安全、公共利益及个人信息权益风险，具备出境安全条件」的结论，由企业法定代表人签字、加盖企业公章。4.与境外接收方订立的法律文件合同/协议必须包含8项强制条款，缺失任意一项将直接被驳回：◦出境数据的类型、规模、范围、质量标准、留存期限、存储地点；◦境外接收方处理数据的权限边界，明确禁止超出合同约定目的处理数据，禁止未经境内主体书面同意将数据再次转移给第三方，确需转移的必须要求第三方承担不低于本合同约定的安全义务；◦数据安全保护措施要求，明确加密标准、访问控制、日志留存规则；◦个人信息权益保障条款，明确境外接收方配合境内主体响应用户诉求的责任、响应时限；◦安全事件通知条款：境外接收方发生或可能发生数据泄露、损毁、丢失事件的，必须在事件发生后24小时内通知境内主体，配合开展应急处置、调查、用户告知工作；◦合同终止后的数据处置要求：合同到期或提前解除的，境外接收方必须在15天内返还或不可逆销毁所有接收的数据，出具销毁证明，不得留存任何副本；◦监管配合义务：境外接收方需同意配合中国网信部门、行业主管部门的监督检查，如实提供数据处理相关日志、记录；◦违约责任与争议解决条款：明确数据安全违约的赔偿标准，争议解决必须约定适用中华人民共和国法律，优先选择境内仲裁机构或法院管辖；严禁约定「境外接收方对数据处理享有完全自主权」「境外接收方按当地法律向政府提供数据无需告知境内主体」等免责条款。5.其他支撑材料◦企业资质文件：营业执照复印件、法定代表人身份证明、授权委托书（委托第三方机构申报的需附委托合同、第三方机构营业执照）；◦安全能力证明：有效期内的网络安全等级保护三级及以上备案证明、近1年由具备CMA/CNAS资质机构出具的数据安全检测报告、近1年未发生重大数据安全事件的承诺函；◦合规证明：隐私政策对应条款截图、敏感个人信息单独同意弹窗截图、用户权益响应渠道页面截图；◦历史评估材料：此前已开展过数据出境安全评估的，需附上次评估批复文件、整改事项落实情况说明。四、材料内部校验与预审核流程内部三级校验可将申报补正率降低80%以上，是成本最低、效果最显著的评估准备环节，必须严格执行，严禁未完成校验直接提交。1.一级校验（编制人自校，完成时限：材料初稿完成后1个工作日）校验内容包括：所有数据、时间、主体名称前后一致，无前后矛盾；所有模糊表述全部替换为量化内容，无「大概」「部分」「及时」等表述；所有要求加盖公章的位置均已盖章，无漏盖。2.二级校验（跨部门交叉校验，完成时限：自校完成后2个工作日）◦技术组核验所有技术参数、安全措施描述与实际系统配置一致，无虚假表述，如加密算法、专线带宽、日志留存期限与实际运行参数相符；◦法务组核验所有法律条款合规，无违反中国法律法规的内容，合同条款无遗漏强制要求的内容；◦合规组核验所有材料符合申报指南清单要求，无缺项。3.三级校验（外部专家预审核，完成时限：交叉校验完成后3个工作日）涉及重要数据出境、或个人信息出境规模超过100万人的，必须邀请至少2名具备5年以上数据合规、网络安全工作经验的外部无利益关联专家开展预审核，出具预审核意见，所有问题整改完成后方可提交。4.问题整改机制：每级校验发现问题的，由对应材料编制人在1个工作日内完成整改，重新进入校验流程，直至所有问题清零，形成《内部校验记录表》，由校验人签字留存。五、申报提交与补正应对机制提交申报不是准备工作的终点，补正响应的时效性、针对性直接决定评估周期，无规范补正机制的申报平均需多耗时2-3个月。1.提交要求：优先通过国家互联网信息办公室数据出境安全评估申报系统线上提交电子材料，同步向属地省级网信部门提交纸质材料，提交后留存系统提交回执、纸质材料签收记录归档。2.补正响应规则：◦收到网信部门补正通知后，必须在5个工作日内完成补正材料准备；确有特殊情况无法按时完成的，必须提前2个工作日向网信部门提交延期申请，延期最长不超过10个工作日，逾期未补正视为自动放弃申报；◦补正材料必须严格对应补正通知列明的问题逐项回应，形成《补正说明》，列明每个问题的整改位置、整改内容、支撑材料，严禁回避问题、答非所问；◦补正材料提交前必须重新走三级校验流程，避免出现新的错漏。3.未通过评估处置：若评估未通过，专项工作组必须在收到结果后10个工作日内完成问题整改，重新编制申报材料再次提交；严禁在未通过评估、未完成整改的情况下擅自开展数据出境活动。六、材料归档与动态更新要求评估批复有效期为2年，且出境场景发生变化时需重新申报，申报材料是企业合规抗辩、续期申报的核心证据，严禁申报完成后即丢弃材料、不做动态维护。1.归档要求：所有申报材料（含初稿、校验记录、补正材料、评估批复文件）实行双套归档，电子档存储在企业加密文档管理系统，权限仅开放给合规、法务部门相关人员；纸质档存放在企业档案库房，留存期限自数据出境活动结束之日起不少于5年。2.重新申报触发条件：出现以下任一情形的，必须重新开展自评估，更新相关材料，在情形发生后10个工作日内向原评估部门重新申报：◦出境数据的类型、规模、范围、敏感程度发生变化，如新增敏感个人信息字段、数据出境规模超过上次申报规模20%以上的；◦境外接收方变更、或境外接收方所在国家/地区的数据保护法律环境发生重大变化的；◦数据出境链路、安全防护措施发生重大变更，如更换传输通道、调整加密算法的；◦上次评估批复有效期届满需要继续开展数据出境活动的（必须在有效期届满60天前重新申报）；◦发生数据出境安全事件，或出现其他可能影响数据出境安全的情形。附件1数据出境安全评估申报材料校验检查表序号材料名称提交要求核心校验要点是否完成校验人签字备注1数据出境安全评估申报书纸质2份+电子PDF版1.使用官方最新模板；2.所有量化数据与其他材料一致；3.加盖公章2数据出境风险自评估报告纸质2份+电子PDF版1.包含全部7个要求模块；2.风险描述含完整演化路径；3.法定代表人签字盖章；4.出具日期距申报日不超过3个月3与境外接收方的法律文件纸质2份+电子PDF版1.包含全部8项强制条款；2.无违规免责条款；3.外文材料附中文译本4出境数据字段清单纸质2份+电子Excel版1.列明所有字段的类型、量级、敏感等级；2.重要数据附认定依据5企业资质证明材料纸质1份+电子PDF版1.营业执照在有效期内；2.授权委托书签字盖章齐全6安全能力证明材料纸质1份+电子PDF版1.等保备案在有效期内；2.第三方检测报告具备CMA/CNAS资质；3.近1年无重大数据安全事件承诺7个人信息权益保障材料纸质1份+电子PDF版1.隐私政策条款与实际一致；2.敏感信息单独同意材料