图解内地与港澳个人信息跨境流动监管要点（附合同模板+流程图）

9月9日，国家互联网信息办公室（下称“国家网信办”）与澳门特别行政区政府经济财政司签署《关于促进粤港澳大湾区数据跨境流动的合作备忘录》（下称“《大湾区备忘录》”）。次日，国家网信办发布与澳门特别行政区政府共同制定的《粤港澳大湾区（内地、澳门）个人信息跨境流动标准合同实施指引》（下称“《澳门实施指引》”），并提供了《粤港澳大湾区（内地、澳门）个人信息跨境流动标准合同》（下称“《澳门标准合同》”）及《承诺书》模板。
《澳门实施指引》与《澳门标准合同》的发布，并不是粤港澳大湾区促进个人信息跨境流动的首个举动。在2023年6月，国家网信办与香港特别行政区政府创新科技及工业局就签署了《大湾区备忘录》，开启了数据跨境流动在粤港澳大湾区实践的新范式。
本文将详细解读《澳门实施指引》与《澳门标准合同》的重点内容，梳理与《个人信息出境标准合同办法》（下称“《标准合同办法》”）的区别，在此基础上结合《香港实施指引》与《香港标准合同》的现有实践，总结粤港澳大湾区个人信息数据跨境标准合同备案的合规落地流程，为企业开展数据跨境活动提供指引。
一、内地与澳门新规解读——《澳门实施指引》与《澳门标准合同》要点
近年来，在国家层面和粤港澳大湾区等，陆续出台超过20部政策文件，支持探索数据跨境流动的实践路径。从《澳门实施指引》与《澳门标准合同》可以看出，为企业减负从而便捷开展个人信息跨境流动的中心贯穿全文。以下通过要点解读，具体分析新规为企业带来的诸多便利。
（一）要点分析
1.在适用主体方面，根据《澳门实施指引》第二条，该实施指引仅适用于注册于/位于粤港澳大湾区内地部分，即广东九市（广州市、深圳市、珠海市、佛山市、惠州市、东莞市、中山市、江门市及肇庆市），或者澳门特别行政区的个人信息处理者及接收方。需要注意，两方主体必须全部在上述范围，一方主体不在其中便不适用。
2.在数据类型方面，根据《澳门实施指引》第二条，被认定为重要数据的个人信息被排除在适用范围之外。此条规定涵盖了广泛的数据范围，使得企业能够根据业务需求灵活地进行数据传输，促进了数据的自由流动和价值挖掘。
3.在实施地域方面，根据《澳门实施指引》第二条、第四条，该指引仅涵盖前述广州九市与澳门之间的个人信息跨境流动。向粤港澳大湾区以外的组织、个人提供个人信息不在该指引的适用范围内。
换言之，当个人信息从广州九市传输到澳门，或者从澳门传输至广州九市时，符合主体范围的个人信息处理者可以适用《澳门实施指引》，通过订立标准合同并备案的方式进行跨境传输。但若将上述个人信息，传输至澳门再至境外，《澳门实施指引》便无法适用，仍需依据现行法律法规要求选择合适的数据出境路径（请参考：一文看懂数据出境你最关心的9个问题）。
（二）简化流程、放宽条件
《澳门标准合同》是一项简化粤港澳大湾区个人信息跨境流动合规安排的措施。与《标准合同办法》和《个人信息出境标准合同备案指南》（第二版）（下称《备案指南2.0》）相比，为企业减负体现在以下方面：
1.跨境个人信息种类和数量放宽
根据《备案指南2.0》的规定，以标准合同备案方式实现个人信息出境的适用条件为：关键信息基础设施运营者以外的数据处理者；自当年1月1日起，累计向境外提供10万人以上、不满100万人个人信息（不含敏感个人信息）的；自当年1月1日起，累计向境外提供不满1万人敏感个人信息的。
而《澳门实施指引》只将重要数据排除在适用范围之外。也就是说，除了属于重要数据的个人信息，无法适用标准合同备案方式，其他个人信息处理者及接收方，均可以选择标准合同备案，实现内地与澳门之间的数据跨境流动。
2.个人信息保护影响评估内容减少
《澳门实施指引》第五条规定，开展个人信息保护影响评估应重点评估以下内容：个人信息处理者和接收方处理个人信息的目的、方式等的合法性、正当性、必要性；对个人信息主体权益的影响及安全风险；接收方承诺承担的义务，以及履行义务的管理和技术措施、能力等能否保障跨境提供的个人信息安全。
与《办法》第五条相比，减少了一半的评估内容。不过，虽然个人信息保护评估内容减少，但个人信息保护影响评估工作，仍然是企业进行数据跨境流动的必备前置程序，对于确保个人信息处理活动的合规性和安全性至关重要（请参考：一文读懂：企业如何落地个人信息保护影响评估？）。
3.备案提交材料简化
个人信息处理者及接收方在备案时只需要提交标准合同、承诺书及属地监管机构要求的其他材料。与《备案指南2.0》相比，无需提交《个人信息保护影响评估报告》及统一社会信用代码等证件影印件。
4.向粤港澳大湾区内第三方提供个人信息的条件精简
根据《澳门标准合同》第三条第八款的规定，若个人信息从内地传输至澳门一公司后，该公司向另一家澳门公司个人信息时，需要同时满足以下条件：
（1）确有业务需要；
（2）已告知个人信息主体该第三方的名称或者姓名、联系方式、处理目的、处理方式、个人信息种类、保存期限以及行使个人信息主体权利的方式和程序等事项；
（3）基于个人同意处理个人信息的，应当按照个人信息处理者属地法律法规要求取得个人信息主体同意；
（4）按照附录一“个人信息跨境提供说明”所列约定向同辖区内的第三方提供个人信息。
与《标准合同办法》相比，无需再与第三方达成书面协议并承诺承担潜在的法律责任，也无需依法向个人信息主体提供副本，降低了数据跨境传输的门槛和成本。
二、内地与香港实践经验——个人信息跨境流动标准合同备案现状
2023年12月10日，国家网信办、香港特别行政区政府创新科技及工业局共同发布了《粤港澳大湾区（内地、香港）个人信息跨境流动标准合同实施指引》（下称“《香港实施指引》”），同样提供《粤港澳大湾区（内地、香港）个人信息跨境流动标准合同》（下称“《香港标准合同》”）及《承诺书》模板。
为促进《香港标准合同》尽快落实，政府资讯科技总监办公室还推出《香港标准合同》便利措施的先行先试安排，在首阶段邀请银行业、征信业及医疗业参与。
（一）内地与香港标准合同备案现状
在国家网络安全宣传周的“个人信息保护分论坛”上，广东省委网信办（下称省网信办）表示，截至2024年8月，省网信办已完成个人信息出境标准合同备案73个，完成粤港澳大湾区（内地、香港）个人信息跨境流动标准合同备案21个。
《标准合同办法》于2023年6月实施，《香港实施指引》虽然相较前者晚实施半年，但是从完成备案数量的对比，可以看出粤港澳大湾区数据跨境流动的活力，也从侧面凸显出《香港标准合同》为企业合规减负效果显著，提升了完成标准合同备案的效率。
（二）内地与香港标准合同备案企业案例
省网信办未完整披露完成大湾区（内地、香港）标准合同备案的企业名单，但根据目前公开报道，可以看到部分完成备案的企业，其分布在各个行业领域。
2024年3月，大湾区医疗集团旗下的睿达（广州）医疗门诊部有限公司，成为首家获批从内地到香港跨境交换医疗数据的企业。3月下旬，大湾区医疗集团再通过香港政府资讯科技总监办公室的备案，获准在大湾区内提供从香港到内地的数据跨境服务。实现双向医疗数据流动，居民可以在大湾区内选择最具经济效益的医疗服务。
同样在3月，个人信息跨境流动标准合同备案通过的，还有广州南沙诺华数据有限公司，数据接收方为香港的诺华诚信有限公司，此为金融领域的数据跨境流动。诺华诚信成为首个征信机构完成粤港澳大湾区（内地、香港）个人信息跨境流动标准合同备案。
从实务工作的角度，企业在广东和香港分别申报，两地联合备案的模式，能够有效解决粤港两地对数据的定义差异、规则不一而导致的落地疑难，能给企业更清晰的合规方向。
除此之外，成功备案的还有科技公司。2024年4月，填鸭（广州）数据科技有限公司，就其与位于香港的接收方之间的个人信息跨境流动相关场景，向省网信办完成粤港澳大湾区（内地、香港）个人信息跨境流动标准合同备案。
备案合同优化，申报减少时间、减轻操作疑虑，湾区企业跨境数据流动的合规成本将大大降低，进而促进湾区内相关跨境服务的提供。
三、实务指引——大湾区个人信息跨境流动标准合同备案流程总结
根据前述《香港实施指引》与《澳门实施指引》的规定，我们将内地与港澳个人信息跨境流动标准合同备案流程，梳理如下：
1.按照个人信息处理者属地法律法规要求，告知个人信息主体或者取得个人信息主体的同意；
2.其次应当开展个人信息保护影响评估（PIA），并应在备案之日前3个月内完成，评估报告至少保存3年；
3.严格按照本实施指引附件订立标准合同，个人信息处理者可以与接收方约定其他条款，但不得与标准合同相冲突。
4.个人信息处理者及接收方应在标准合同生效之日起10个工作日内，按照属地原则，向广东省互联网信息办公室，或者香港特别行政区政府资讯科技总监办公室、澳门特别行政区政府个人资料保护局进行标准合同备案。（备案具体流程可参考《粤港澳大湾区（内地、香港）个人信息跨境流动标准合同实施指引》的通知）
需要注意的是，进行合同备案具体流程之前，一定要先判断具体业务场景。任何脱离业务场景谈合规落地，都是耍流氓。比如，在2024年3月22日公布施行的《促进和规范数据跨境流动规定》，其中的第五条对几种经济活动下的个人信息跨境，做了豁免规定如下：
（1）为订立、履行个人作为一方当事人的合同，如跨境购物、跨境寄递、跨境汇款、跨境支付、跨境开户、机票酒店预订、签证办理、考试服务等，确需向境外提供个人信息的；
（2）按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需向境外提供员工个人信息的；
（3）紧急情况下为保护自然人的生命健康和财产安全，确需向境外提供个人信息的；
（4）关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）的。
符合上述条件之一的，免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。
综上所述，我们将粤港澳大湾区个人信息跨境流动适用标准合同备案实际操作要点，以流程图的方式总结如下。

在2024年政府工作报告中，“数据跨境流动”首次写入其中。数据作为关键新型生产要素，不仅成为驱动经济增长的新引擎，更引领着社会变革的创新浪潮。粤港澳大湾区的独特地理优势，为其构建了一个开放包容、创新引领的数据跨境流动实践平台，使其成为探索跨境数据流动规则、机制与技术的先行示范区。期待湾区能够为数据跨境流动提供可借鉴的经验和模式，共同推动形成更加开放和安全的数据流通环境。
附件
【内地与香港】
《粤港澳大湾区（内地、香港）个人信息跨境流动标准合同》
《粤港澳大湾区（内地、香港）个人信息跨境流动标准合同承诺书》
【内地与澳门】
《粤港澳大湾区（内地、澳门）个人信息跨境流动标准合同》
《粤港澳大湾区（内地、澳门）个人信息跨境流动标准合同承诺书》

扫描二维码下载全部附件