通力朱晓阳：数据出境安全评估三大要点(附流程指引、实务案例汇编)

编者按
2022年9月1日，在《数据安全法》实施一周年之际，《数据出境安全评估办法》也正式生效。与此同时，国家网信办又于前一天（2022年8月31日）发布了《数据出境安全评估申报指南（第一版）》。有关数据出境的评估、认证、申报、标准合同等法律文件日趋完善，也为数据处理者因业务需要确需向境外提供数据的合规流程指明了具体方向。
如何理解“出境”？是否进行数据本地化存储？如何抉择做本地化还是安全评估？当数据出境方是受托处理方，是否需要进行申报？门槛数量达标计算需注意哪些问题？企业如何确定提交安全评估申请的时间？具体流程有哪些？
笔者结合实务经验，将这些在实践中最常遇到的问题，梳理成相应的解决思路及方案，与大家分享。
目录索引
一、如何确定是否申报安全评估
二、如何确定安全评估的申报时间
三、安全评估申报的具体操作流程
一、如何确定是否申报安全评估
（一）对于“出境”的理解
理解出境的定义是数据出境合规工作的第一步，官方从两方面对于“出境”进行界定：一方面是向境外提供数据，另一方面则是允许境外远程访问境内相关数据。而在数据出境实务工作中，这样过于笼统的定义方式，对具体工作的开展帮助有限，笔者立足于实务，总结两个维度，更好地把握“出境”的含义：
第一个维度是从数据本身出发，根据数据的性质、产生方式、来源及流向把握出境的含义；
第二个维度是从数据接收和发出主体出发，根据数据境内出境方以及境外的接收方，可能还会涉及到中间方，来理解出境的真正含义。
1. 数据本身角度
对于数据入境再处理后的出境活动是否属于数据出境行为，需要从数据本身的维度来考虑把握。
《个人信息保护法》以及《数据出境安全评估办法》规定，落入数据出境安全评估范围内的数据是在我国境内产生或收集的数据。从该定义判断，从境外流入境内后的数据再出境，由于数据本身不符合“在我国境内运营过程中产生或者收集”的要求，因此其很有可能不属于出境行为。
但仍需注意，实践中将数据原封不动再出境的企业仅占极少数，并非常态，绝大多数企业对于数据都会进行或多或少的分析或处理，因此对于数据入境再出境的行为性质判定不能一概而论，需要根据具体场景来分析：数据分析和处理活动最终是否形成了新的受中国法律管制的数据。其中判断的核心标准为：只要出境数据产生于我国境内或者在我国境内收集，其都可能会落入到《数据出境安全评估办法》的规制范围。
2. 主体的角度
本部分需要从是否存在境内出境方以及是否存在境外接收方两方面进行判断。
对于境内出境方，是指境外主体直接收集境内个人信息，而境外接收方的判断会涉及到境外邮件服务器、境外网盘以及境外系统是否属于出境，这一问题的解决需要从数据传输数据跨境的主体来判断。
《数据出境安全评估办法》强调了境外接收方在数据安全方面的义务，因此在我国法律框架下讨论数据出境，一定会明确存在对应的数据境外接收方。对于境外邮件服务器是否属于出境行为，目前官方尚未形成明确答案，需从主体的角度结合具体场景进行分析，在实务中需要在每个具体出境场景中判断是否存在境外接收方，以及相关数据出境行为是否属于我国法律实质意义上的数据出境行为。
(二) 是否进行数据本地化存储
1. 本地化义务解读
解决企业是否需要进行本地化存储这一问题，需要率先解决其前置性问题，即当前本地化存储门槛与数据出境安全评估门槛之间的关系。《个人信息保护法》第40条的规定：处理个人信息达到网信部门规定数量的处理者，应当将在中国境内收集和产生的个人信息存储在境内；《数据出境的安全评估办法》规定了安全评估适用门槛。
上述两部法律最终形成了两个门槛：一个是《个人信息保护法》的本地化存储门槛，另外一个是数据出境的安全评估门槛。《个人信息保护法》将本地化存储义务以及安全评估义务纳入到同一条文中，因此理论上可以将两个门槛视为是等同，即企业达到安全评估义务的门槛时，首先应做本地化存储，待数据出境时再进行安全评估。
2. 怎样算完全本地化？
完全本地化与本地化存储是完全不同的概念，是否出境是本地化存储和完全本地化的本质区别。本地化存储只要达到《数据出境的安全评估办法》规定的门槛就必须先在中国境内进行数据存储，然后才能考虑数据安全评估。而完全本地化则意味着完全没有数据出境，是指一整套业务、IT架构的调整，相较于本地化存储，完全本地化的工作量更大。
3. 如何选择是做本地化还是做安全评估？
企业决定进行本地化或安全评估的过程，本质上是一场数据出境的必要性分析，需要从经济成本和合规成本两个角度综合评判。评判核心是：对比企业适用进行安全评估和不出境数据的成本。
两种方式都存在利弊：若选择完全本地化，则主要存在经济成本问题，企业内部资源成本会涉及到IT架构调整（如订单/交易的服务器本来是在境内）以及业务模式调整（数据分析、数据处理需要迁移至境内）等一整套成本分析；而安全评估则主要涉及到合规成本，比如进行安全评估前的调查、整改费用；进行安全评估时的第三方机构费用；后续再评估的成本以及安全评估不通过的风险等。
这一过程归根结底是企业计算利弊的过程，数据本地化存储最大的成本是经济成本，而数据安全评估最大的成本是合规成本，企业需要把两种情况的利弊列明后进行细致分析，最终决定适用方案。
4. 门槛数量达标计算及注意事项
4.1区分场景
因为需要统计数据的量是静态存量概念，这一问题目前尚未形成成熟的解决方案，因此最好的办法是分场景进行统计，根据场景性质不同进行区分。当前存在以信息系统、数据库为代表的标准化场景和以邮件、远程访问、境外网盘、境外备份以及其他类型为代表的非标准化场景。标准场景中的系统数据统计较为容易，非标准场景由于其特殊性需要具体情况具体分析。做场景化，要结合每个场景具体情况去统计数据。
4.2 注意去重
在此过程中，企业需要重视去重问题。当前个人信息统计门槛依据的是自然人个体数量，在分场景统计时，若出现重复的情况，将会对接近门槛或略超过门槛的企业产生较大影响。因此，数据去重便显得格外重要，这最终决定了该企业是否需要进行申报。相关企业需要在统计前设计好统计方式，尽量在统计时就避免重复。
4.3 持续监测
企业在进行计算时还需要注意持续监测的问题，当前统计周期为上年1月1日至统计的时点，如果企业统计时点并不是年末，则需要在本年度的后续过程中持续监测是否会达到门槛数量。
5. 是否可以在关联实体间分配数据从而避免申报？
当前官方对于企业是否可以通过关联实体分配数据的方式避免申报，并未给出答案，但根据实际业务情况来看，这种方式无法实现避免申报的目的。
数据出境安全评估的义务主体是数据处理者，数据处理者的定义是自主决定处理目的和处理方式的个人和组织，而组织并不一定是单个法人或非法人实体。因此需要结合数据出境的场景和目的来判断。出境场景于单独的公司实体也许不是一一对应，一个数据出境场景可能包括多个关联实体，一个关联实体也可能对应多个数据出境场景，因此需要根据不同的关联方数据出境的目的和方式是否相同来判定是否能划入统一场景。若出境场景是同一个，那么即使将数据分散到不同关联方，由于数据量需汇总后进行关联申报，最终其实无法达到规避的目的；若出境场景不同，那么进行数据分散并非是最有利于公司业务和效率的方式，所以若仅仅为了规避数据出境安全评估而采取数据分散的方式，是得不偿失的。
6. 如果境内出境方是受托方，是否进行申报？
解决此问题可以从两方面来进行分析：
首先从法理角度看，答案可能是否定的，因为法律规定安全评估的义务方是数据处理者，此时境外机构和境内机构之间构成委托代理关系，此种情形理论上应当对境外机构直接适用《个人信息保护法》，因此不存在数据的出境，自然也就没有出境安全评估问题。
其次，从实践角度来看，由于存在“认证”的适用范围不明，且不适用于数量达标的情况，加之对境外主体直接适用《个人信息保护法》存在一定难度，同时监管部门对于“数据处理者”及“受托方”的解释可能与企业不一致等问题，因此即使企业把自己定位成受托方，可能也要做好将来需要进行安全评估的准备。
二、如何确定安全评估的申报时间
(一) 企业如何确定何时向网信办申报
申报时间的确定取决于企业进行安全评估的原因。《数据出境安全评估办法》于2022年9月1日生效，同时也规定了半年的宽限期。
若企业为了满足“静态场景”需求，即达到100万标准或者出境数量未来不会发生变化，此种情况下应当尽早提交；
若企业是为了满足“动态场景”需求，即出境数量不断变化或累计，但暂时未达标的情况下，需要结合所采取的统计周期来看，在此过程中需要企业充分履行持续监测的义务，监测后续出境数量是否达标，从而决定是否承担安全评估义务。
(二) 宽限期的解读与适用
《数据出境的安全评估办法》规定2022年9月1日至2023年2月29日为宽限期。对于宽限期的适用需要把握两个关键词：
首先是施行前已开展，需要按照场景进行划分，若施行前已经结束数据出境行为，则无需进行评估；若出境活动延续至宽限期内，宽限期内可以继续出境，但是需要在宽限期内完成评估工作；若是施行后新开始的数据出境活动，理论上应当进行安全评估后才能进行数据出境。其次是完成整改，是指企业需要在宽限期内完成本地化和安全评估。
三、安全评估申报的具体流程
(一) 个人信息范围的划定
首先，是敏感个人信息问题。因为敏感个人信息门槛较低（1万条），相对容易达到，所以企业需要注意识别敏感个人信息，可以参照《GBT35273-2020信息安全技术个人信息安全规范》附录中有关敏感个人信息的列举来进行判断；
其次，是去标识化和匿名化的个人信息。《个人信息保护法》中规定只有匿名化的信息才不属于个人信息。如果数据仅仅进行了标识的去除操作，本质仍然是个人信息，仍需纳入数据出境总量中，因此去标识化的个人信息出境仍需进行安全评估，但是去标识化作为数据保护措施是有助于通过安全评估的。
(二) 重要数据现阶段如何应对
目前，大部分行业的重要数据的具体目录尚不明确，企业在数据出境过程中无需过分关注重要数据判定问题，但是可以结合国标、草案等规定，先对重要数据进行预判，在经过整改期后审慎决定是否继续数据出境。
(三) 集团企业申报主体及申报地点
集团企业申报主体及申报地点的确定与企业数据出境场景划分密切相关，因此需要确定每个出境场景中涉及的关联实体，并确定其中的“核心实体”，进而对于该出境场景，在“核心实体”所在地向省级网信办提交申请。
(四) 与境外接收方签订法律文件形式
当前官方并未明确与境外接收方签订的法律文件形式类型。法律文件核心要点是明确境外接收方在数据安全方面需要承担的相关义务及责任，因此根据实务经验，可以将数据出境合同、单方承诺以及接收方的制度和政策纳入到法律文件范围之内，但最终情况仍需以我国官方最终发布的法律文件为准。
企业在数据出境安全评估申报的过程中，会面临大量的场景识别及应对处理工作，无一不考察着企业真正的合规能力。本文聚焦数据出境常见实务问题的理解与应用，为数据出境安全评估工作的开展提供相应建议。