2023年2月24日，國家互聯網信息辦公室公布《個人信息出境標準合同辦法》（以下簡稱《辦法》），《辦法》自2023年6月1日起施行，其明確了個人信息處理者通過訂立標準合同的方式向境外提供個人信息應當同時符合的情形。

(資料圖片僅供參考)

中國信通院互聯網法律研究中心主任方禹表示，《辦法》對通過訂立標準合同的方式開展個人信息出境的活動作出具體制度安排，細化落實了《個人信息保護法》第三十八條第一款第三項的規定，對于規范個人信息跨境流動、完善數據跨境管理制度和促進數據領域國際合作具有重大意義。

奇安信集團數據安全PBU副總經理劉洪亮對新京報貝殼財經記者表示，個人信息是數據資源中非常重要的組成部分，該《辦法》是繼去年7月《數據出境安全評估辦法》正式發布之后，又一項數據出境重要法規的落地?！掇k法》進一步完善了《網絡安全法》《數據安全法》《個人信息保護法》規定的數據出境安全評估制度，尤其從個人信息方面對數據出境監管進行了細化和加強。

個人信息出境不再裸奔，《辦法》堵住了哪些漏洞？

方禹表示，《辦法》的出臺，細化了《個人信息保護法》“按照國家網信部門制定的標準合同與境外接收方訂立合同，約定雙方的權利義務”的要求，是對個人信息出境管理制度的重要補充。

同時，《辦法》要求個人信息處理者不得采取數量拆分等手段，將依法應當通過出境安全評估的個人信息通過訂立標準合同的方式向境外提供，從而堵住了可能繞過制度的漏洞。

方禹認為，《辦法》豐富個人信息出境方式，通過劃定個人信息出境標準合同的適用范圍和情形，有效實現了標準合同和安全評估、個人信息保護認證的制度銜接，也為后續出臺有關認證等其他個人信息出境方式的規則預留了制度接口。

他表示，《辦法》立足我國立法現狀和實踐情況，對個人信息保護影響評估、標準合同備案管理、舉報監督制度與法律責任等作出明確規定。

《辦法》平衡發展和監管雙重需要

劉洪亮認為，《辦法》順應了個人信息出境快速增長的趨勢，平衡了發展和監管雙重需要，“本次《辦法》發布的重要目的，是針對具有個人信息出境需求且不滿足數據出境安全評估辦法申報條件的企業，開放了一條出境通道。《辦法》既滿足了日益增長的個人信息出境需要，又通過明確標準合同范本等措施，最大程度保護個人信息權益，為向境外提供個人信息提供了具體指引。”

據了解，《辦法》對企業持續的合規能力提出更高要求。《辦法》明確，如果在標準合同有效期內出現向境外提供個人信息的目的、方式、范圍、種類、敏感程度、方式、保存地點或者境外接收方處理個人信息的用途、方式發生變化，或者延長個人信息境外保存期限的需要重新開展個人信息保護影響評估，補充或者重新訂立標準合同，并向省級網信辦重新進行申報備案。

“個人信息出境申報備案僅僅只是開始，持續合規才是關鍵，出境企業應當具備數據出境持續監測和持續自運營的能力?！眲⒑榱练Q。

根據公告，《辦法》自2023年6月1日起施行，因此，具有個人信息出境需求的企業，亟待在實施之日前，完成合規建設。劉洪亮認為，對于企業來說，確保個人信息能滿足《數據安全法》《個人信息保護法》《辦法》等法規的合規要求，需要能清晰掌握個人信息等敏感數據的跨境流動情況——在看清數據流向的同時，能清晰、直觀的看到帶有個人信息的敏感數據是通過什么人、在什么時間、在什么地點、通過什么方式發送到哪里。

因此，涉及個人信息出境的企業，通常需要解決三個難題：第一個難題是如何厘清個人信息資產，明確自己個人信息資產的屬性、量級；第二個難題是如何明晰個人信息流向；第三個難題是對網絡上流動的個人信息如何持續監測，同時避免個人信息被動出境。

劉洪亮表示，要解決這些問題，確保企業合規，無論是風險自評估階段，還是持續監督階段，都需要有技術手段進行支撐，否則企業就無法在事前了解現狀，日常運行中由于業務變化導致出境數據發生變化也無法及時掌握。

方禹表示，《辦法》以標準合同為抓手規范我國個人信息出境管理制度，是我國深化開放合作、探索個人信息跨境流動與治理的新舉措。出臺《辦法》不僅補充完善了我國數據跨境監管制度體系，體現了我國網絡立法的系統性、整體性、協同性、時效性，更為數字經濟浪潮中的中國企業提供了法治保障和具體指引。