GB-T 42873-2023 中文版 信息安全技术 数据出境安全评估指南 - 副本

GB/T42873-2023中文版信息安全技术数据出境安全评估指南一、标准总则1.1标准基础信息标准全称：信息安全技术数据出境安全评估指南标准编号：GB/T42873-2023发布日期：2023年08月06日实施日期：2023年12月01日归口单位：全国信息安全标准化技术委员会（SAC/TC260）标准属性：国家推荐性标准，为《数据出境安全评估办法》配套官方实操指南，是国内数据跨境安全评估、企业自评估、监管核查、第三方测评的唯一通用权威技术依据。编制定位：本标准衔接《网络安全法》《数据安全法》《个人信息保护法》《网络数据安全管理条例》法律法规体系，统一数据出境安全评估的评估逻辑、流程步骤、判定维度、风险分级、材料规范、整改要求，解决行业长期存在的出境评估无统一技术标准、自评估不规范、申报材料杂乱、风险判定尺度不一等痛点，实现数据出境合规从“政策合规”向“技术合规、实操合规”落地。1.2适用范围本文件适用于境内数据处理主体向境外提供数据的各类场景，覆盖重要数据出境、大规模个人信息出境、关键信息基础设施运营者数据出境、常态化跨境数据流转等全部需申报评估场景。适用主体包含党政机关、企事业单位、互联网企业、金融机构、工业企业、涉外贸易企业、跨境互联网平台、外资在华机构等所有存在数据出境行为的数据处理者。同时适用于网信部门监管核查、第三方测评机构出境评估、企业内部合规自查、年度出境复盘、跨境业务合规整改等工作。本标准覆盖全部数据出境形式，包含人工导出传输、系统自动跨境同步、云端跨境存储、跨境接口调用、跨境数据分析、跨境共享披露、境外分支机构数据回流等全场景。1.3规范性引用文件本标准核心依托国内数据安全与个人信息保护国标体系，核心引用文件包含：GB/T37973数据安全能力成熟度模型、GB/T35273个人信息安全规范、GB/T41479数据分类分级指南、GB/T42575数据安全治理指南，同时严格对齐《数据出境安全评估办法》《个人信息出境标准合同办法》《个人信息跨境认证规范》三大跨境合规通道要求，实现体系互通、标准统一。1.4核心评估目标1.合法性核验：确认数据出境行为、出境目的、传输方式、境外接收方资质完全符合法律法规要求；2.风险可控性判定：全面识别出境数据泄露、篡改、滥用、二次流转、跨境窃取等安全风险，确保风险降至可接受范围；3.权益保障性核查：保障国家安全、社会公共利益、个人信息合法权益不受侵害；4.长效合规固化：建立常态化出境评估、动态复盘、持续整改机制，实现跨境数据流转全生命周期合规。二、核心术语与官方定义2.1数据出境指境内数据处理者通过网络、设备传输、介质携带、系统同步、数据共享等方式，将境内收集、产生、存储的重要数据、个人信息、业务数据提供、传输、存储至境外机构、境外服务器、境外人员的全部数据处理行为，包含数据境外存储、境外分析、境外复用、境外二次流转等衍生行为。2.2数据出境安全评估指数据处理者依据法律法规及本标准要求，对数据出境活动的合法性、正当性、必要性、安全性开展的系统性自查、风险识别、分析研判、整改加固、报告编制的全过程活动，分为企业自评估与监管申报评估两类。2.3境外接收方指位于中国境外，接收、存储、处理、使用境内出境数据的企业、机构、组织及个人，包含境外母公司、境外合作方、境外服务商、境外云平台、境外分支机构等。2.4高风险数据出境涉及核心重要数据、大规模敏感个人信息、关键行业业务数据出境，或境外接收方所在地区安全环境薄弱、存在数据滥用、强制调取数据风险的跨境数据流转行为，需重点评估、从严管控。三、数据出境评估核心原则（标准强制遵循）3.1合法正当、最小必要原则数据出境必须具备合法业务目的，禁止无理由、超范围、超必要出境数据。严格遵循最小字段、最小数量、最小频次、最小范围出境原则，杜绝批量盲目出境、无关数据随流出境。无合法正当业务需求的出境行为，直接判定为不合规，禁止开展跨境传输。3.2风险全覆盖、全链路评估原则评估覆盖数据出境前、出境中、出境后全流程，包含境内传输链路、跨境通道、境外存储环境、境外处理行为、二次流转、数据销毁全环节，不得省略境外存续阶段风险评估。3.3分级分类、差异化评估原则基于数据分级分级结果实施差异化评估：核心数据、重要数据从严评估、逐项核验；大规模个人信息重点核查权益保障；普通业务数据常规评估，禁止一刀切评估模式。3.4事前评估、动态更新原则所有出境数据必须先评估、后出境，禁止先流转后补评估。同时针对业务变更、数据量级变化、境外政策变动、控制权变更、安全事件发生等场景，开展动态复评。3.5权责对等、可追溯原则明确境内处理者、境外接收方双向安全责任，所有评估过程、整改动作、传输记录、留存台账全程可追溯，责任可落地、可核查、可追责。四、必须开展出境安全评估的法定场景（标准明确界定）本标准严格对标《数据出境安全评估办法》，明确四类强制申报评估场景，满足任意一条必须开展正式评估并向网信部门申报，不得采用标准合同、跨境认证豁免。4.1重要数据出境场景境内处理者向境外提供任何量级、任何类型的重要数据，无论数据规模大小、出境频次高低，均需强制申报数据出境安全评估，无豁免条件。4.2关键信息基础设施运营者出境场景CII运营者向境外提供任何个人信息、业务数据、运营数据，统一纳入强制评估范围，不受数据量级限制。4.3大规模个人信息出境场景处理100万人及以上个人信息的数据处理者，向境外提供个人信息的，必须强制申报评估。4.4累计量级达标出境场景自然年度内累计向境外提供10万人以上普通个人信息或1万人以上敏感个人信息，后续持续开展出境业务的，需强制申报评估。4.5动态触发复评场景标准明确动态复评触发条件：境外地区安全政策变更、接收方控制权变更、跨境业务模式调整、数据量级大幅增长、发生数据安全事件、监管政策更新，需重新开展评估申报。五、数据出境安全评估完整流程（标准官方闭环流程）本标准统一行业评估流程，固化为6步闭环评估体系，是企业自评估、第三方测评、监管核查的标准流程，缺一不可。5.1步骤一：出境业务梳理与场景确权全面梳理企业所有跨境数据流转业务，明确出境业务场景、业务目的、跨境传输方式、出境频次、对接境外主体，区分常态化出境、临时出境、批量出境、接口同步出境，形成《数据出境业务场景清单》，杜绝场景遗漏、业务盲区。5.2步骤二：出境数据资产盘点与定级针对所有出境数据开展资产梳理，明确数据类型、数据量级、敏感等级、数据用途、留存期限，严格按照分类分级标准判定是否属于重要数据、敏感个人信息、大规模个人信息，输出《出境数据分级分级清单》，作为风险评估核心依据。5.3步骤三：全维度风险识别与分析从合法性风险、技术传输风险、境外环境风险、数据滥用风险、个人权益风险、国家安全风险六大维度开展风险识别，分析风险发生概率与影响程度，判定风险等级，形成《数据出境风险评估报告》。5.4步骤四：风险整改与安全加固针对中高风险项制定专项整改方案，通过脱敏处理、权限收紧、加密传输、合约约束、留存管控、访问审计、二次流转限制等方式降低风险，完成全量闭环整改，留存完整加固证据。5.5步骤五：自评估报告编制与材料汇总按照标准统一模板编制《数据出境安全自评估报告》，汇总业务说明、数据清单、风险分析、整改记录、境外接收方资质、安全协议、技术防护证明等全套申报材料，确保内容真实、逻辑闭环、材料齐全。5.6步骤六：常态化动态复盘与复评建立年度复盘机制，持续监控跨境数据流转状态，发生场景变更、风险变动、政策更新时及时启动复评，保障出境合规长效有效。六、六大核心评估维度与详细判定标准（标准核心考点）6.1出境合法性、正当性、必要性评估评估核心要点：核查数据出境是否具备真实、合法的商业、业务、合作需求，禁止虚构业务出境、盲目批量出境。严格判定出境范围是否与业务需求匹配，是否存在超必要范围出境、无关数据夹带出境问题。合规判定标准：有正式合作协议、业务合同、跨境业务批复；出境数据字段、量级完全匹配业务最小必要；无冗余、无超范围、无无目的跨境传输。高频不合规问题：无合同无协议盲目出境；为便利运维批量同步全量数据至境外；超业务必要字段出境。6.2境外接收方安全能力评估评估核心要点：核查境外接收方所在国家/地区数据安全立法环境、监管政策、数据保护水平；核查接收方安全管理制度、技术防护能力、人员管控、应急处置能力、数据保密机制。合规判定标准：境外地区无严苛数据强制调取法律；接收方具备完善的数据安全管理制度与技术防护手段；具备数据泄露应急处置能力；可履约承担数据保护责任。重点核查项：是否存在境外司法机构强制调取数据风险、接收方是否存在数据倒卖前科、是否具备合规的数据存储销毁机制。6.3跨境传输链路安全评估评估核心要点：核查数据跨境传输通道安全性、加密机制、防窃听、防篡改、防劫持能力，杜绝明文跨境传输、弱加密传输。合规判定标准：重要数据、敏感个人信息采用加密通道传输（VPN、专线、加密接口）；传输全程日志留存；具备传输异常监测、拦截能力；无明文跨境传输行为。6.4境外数据存续与流转风险评估评估核心要点：核查数据在境外的存储期限、存储位置、访问权限、复用范围、二次流转管控能力，禁止无限制留存、无边界复用、随意二次出境。合规判定标准：明确境外最短必要留存期限；禁止超期存储；严格限制境外二次共享、二次出境；境外访问权限最小化、全程审计。6.5个人信息权益保障评估评估核心要点：核查个人信息出境前告知同意、脱敏处理、主体权益响应机制，保障用户查询、更正、删除、撤回同意的合法权益。合规判定标准：完成合法用户授权；敏感个人信息已脱敏处理；建立跨境个人信息权益响应通道；泄露后可及时告知用户并止损。6.6国家安全与公共利益风险评估评估核心要点：重点评估行业核心数据、地理信息、关键基础设施数据、政务数据出境是否存在危害国家安全、经济运行、社会稳定、公共安全的风险。合规判定标准：核心涉密数据、关键重要数据无违规出境；出境数据不会引发国家安全风险、公共利益损害；高风险数据已完成严格脱敏与管控。七、风险分级判定与处置规则（标准官方分级）7.1高风险出境（禁止/从严整改）1.核心重要数据无合规审批出境；2.境外地区存在强制数据调取风险且无有效防护；3.大规模敏感个人信息明文跨境传输；4.出境行为可能危害国家安全、公共利益；5.无合法业务目的的跨境数据流转。处置规则：立即停止出境行为，全面整改加固，无法整改的永久禁止出境。7.2中风险出境（限期整改后可合规）1.数据出境合法但防护措施不完善；2.境外接收方能力存在短板；3.部分字段未脱敏、日志留存不完整；4.二次流转管控机制不完善。处置规则：制定专项整改方案，完成技术加固、制度完善、合约补充，整改验收通过后方可继续出境。7.3低风险出境（常规合规运行）出境目的合法、数据最小必要、传输加密、境外管控完善、权益保障到位、无安全隐患，仅存在流程性、台账性轻微瑕疵。处置规则：优化台账记录，常态化监控，年度复盘即可。八、跨境合规法律文件必备条款（标准强制要求）本标准明确，所有数据出境活动必须签署合规法律文件，文件中必须包含以下核心条款，缺失任意项视为评估不合规：1.明确数据出境的唯一合法目的、范围、字段、量级、频次；2.明确境外接收方禁止二次共享、二次出境、非法滥用数据；3.约定境外数据存储期限、存储位置、到期销毁方式；4.明确数据泄露、篡改、丢失后的应急处置、赔偿责任、上报机制；5.约定境内处理方的监督审计、现场核查权限；6.明确个人信息主体权益保障落地条款；7.约定协议终止后境外数据全部销毁、清零、不可恢复条款。九、常态化运营与动态管理要求9.1出境台账全量留存企业需建立永久数据出境台账，记录出境时间、数据类型、数据量级、传输方式、接收方、业务用途、操作人员、审批记录，全程可追溯，台账留存期限不低于3年。9.2年度出境复盘评估每年开展一次全域数据出境安全复盘评估，核查全年跨境流转合规性、风险变化、防护有效性，更新风险报告与自评估材料。9.3变更触发即时复评出现业务场景变更、数据量级翻倍、境外接收方变更、跨境通道调整、境外政策变动、安全事件发生时，必须立即启动专项复评，禁止带病运行。9.4安全事件应急处置建立跨境数据泄露应急机制，一旦发生境外数据泄露、滥用、非法调取事件，第一时间止损、溯源、封存数据、终止出境，按法规要求及时向监管部门上报。十、三大跨境合规通道适配判定（资深实操区分）结合本标准及现行法规，明确企业三类跨境合规路径的适用边界，杜绝通道误用导致合规失效：10.1数据出境安全评估（本标准适用）适用：重要数据出境、CII运营者出境、大规模个人信息达标出境，为最高优先级合规通道，不可豁免、不可替代。10.2个人信息出境标准合同适用：中小规模普通个人信息出境、无重要数据、未达申报量级的常规跨境场景，可替代申报评估。10.3个人信息跨境安全认证适用：常态化、规模化、标准化跨境个人信息处理企业，通过认证后豁免单次评估与合同备案。十一、高频不合规问题与整改方案（行业实操总结）1