个人数据出境标准合同备案浅析

前面两篇文章分别介绍了数据出境以及如何开展数据出境自评估工作，在数据出境合规的三种模式中，大部分相关主体应该更倾向于选择（当选择权在企业手里时）适用标准合同方式开展相关的合规工作，本文就个人数据出境中，与标准合同有关的内容进行简要的说明。如果没读过前面两篇文章的读者建议按顺序浏览。
一、何种主体做个人信息出境可以适用标准合同
个人数据出境的主体，同时满足以下条件，可以适用标准合同模式：主体为非关键信息基础设施运营者，处理个人信息不满100万人，自上年1月1日起累计向境外提供不满10万人个人信息，自上年1月1日起累计向境外提供不满1万人敏感个人信息。
二、适用标准合同的备案管理流程
首先要获得准备出境的所有个人信息的本人授权，这一要求隐含在标准合同中，然后与境外使用者签订标准合同，该标准合同为固定条款，仅在附录二中可以自行进行条款补充，此标准合同为公开的，网络上可以自行下载。签订的标准合同生效后，即可进行个人数据出境。与此同时，在标准合同生效后10个工作日内要向所在地省级网信部门进行标准合同备案，备案材料为所签订的标准合同以及个人信息保护影响评估报告，该报告要提前准备好，标准合同生效后准备，一般是来不及的，报告的内容可以参见数据出境安全自评估工作简析一文。
三、标准合同的主要内容
1、个人信息处理者（要做出境的备案主体）主要义务：
接受监管询问、个人信息保护影响评估、向个人信息主体提供合同副本、承担履行合同的举证责任、向监管提供审计结果、保障个人信息数据最小范围出境、取得个人告知同意、告知第三方受益人、采取技术和管理措施保障信息数据安全、为境外接收方提供我国的法规标准副本供其遵守。
2、境外接收方主要义务：
明确数据再转移的处理规则、转委托征得个人信息处理者同意、合规运用数据做自动化决策、协助个人信息处理者证明履行本标准合同、保存处理记录3年并提供给监管、接受我国监管监督和处罚、按约对数据进行处理（如使用后销毁）、向个人信息主体提供合同副本、最小范围出境、存储最短时间、采取技术和管理措施保障数据安全、数据泄露时应补救并告知。
3、拟出境信息的个人主体的主要权利：
享有《个人信息保护法》规定的所有权利。
向个人信息处理者、境外接收方双方均可提出行权请求。
境外接收方应实现个人信息主体的所有权利。
境外接收方拒绝，要告知原因和救济途径。有权要求任意一方履行合同。
四、责任承担与争议解决
标准合同涉及三方权利，分别为个人信息处理者、境外接收方、信息所有者个人。上文已说明信息所有者个人的权利，当个人认为权利受损时，可以向另外两方主张权利提起诉讼，按照民事诉讼法确定管辖。个人信息处理者、境外接收方认为对方损害了自身权益互诉时，可以约定在纽约公约缔约国进行国际仲裁，也可以约定在中国诉讼，并按照民事诉讼法确定管辖。
五、实务中需要注意的几个问题
1、需要注重数据再转移处理的约定规则，明确再转移条件，责任承担等详细内容，并约定好对再转移接收方的制约。
2、最好在标准合同的附录二中明确违约及赔偿金额，因为一般来说，赔偿损失情况很难衡量。
3、境外接收方很可能有其本国在适用的类似标准合同的其他合同，此时，可能会存在相冲突的条款，比如欧洲经济区所适用的《SCC》（全称为Standard Contractual Clause）。
2023年6月1日《个人信息出境标准合同办法》正式生效，规定了6个月的整改期，相关中小型企业在做个人数据出境时，不要忽视相关备案工作，需要及时签署标准合同并做相关的备案登记。