《个人信息出境标准合同规定（征求意见稿）》要点分析

2022年6月30日，国家互联网信息办公室在其官方网站上发布了《个人信息出境标准合同规定（征求意见稿）》（以下简称“《标准合同规定》”），向社会公开征求意见[1]。作为《个人信息保护法》第38条第1款第(3)项的配套规定，标准合同终于在大众的翘首企盼下揭开了神秘的面纱。结合实务中企业关注的焦点问题，我们对《标准合同规定》中的要点进行了如下的梳理和解读。
一、《标准合同规定》的构成
《标准合同规定》由正文（共计13条）和附件《个人信息出境标准合同》（以下称“标准合同”）两部分组成。附件的标准合同中包括合同正文（共计9条）、《附录一个人信息出境说明》（用来说明出境个人信息的基本情况）及《附录二双方约定的其他条款（如需要）》三部分内容。
关于《标准合同规定》的主要内容，请参见本文的第二至第五部分。关于标准合同的必备条款，从整体上看，《标准合同规定》第5条基本上沿用了《数据出境安全评估办法（征求意见稿）》（2021年10月29日征求意见）第9条的立法思路，这表明监管机构对于标准合同中必备条款的认识已基本清晰和明确，后续对必备条款进行大幅调整和修改的可能性已经不大。因此，业务中涉及个人信息跨境提供的企业等目前已经可以依据《标准合同规定》及附件标准合同，开始着手相关的准备工作。
二、标准合同的使用前提
根据《标准合同规定》第4条，同时满足以下条件时，方可通过签订标准合同的方式向境外提供个人信息。
（一）非关键信息基础设施运营者；
（二）处理个人信息不满100万人的；
（三）自上年1月1日起累计向境外提供未达到10万人个人信息的；
（四）自上年1月1日起累计向境外提供未达到1万人敏感个人信息的。
上述规定明确了以下事项：
第一，关键信息基础设施运营者（CIIO）不能通过签署标准合同方式向中国境外提供个人信息，必须采用第38条第1款中规定的其他方式；
第二，处理的个人信息数量达到或超过100万人规模的企业（一般以企业全体部门所处理的个人信息数量之和进行计算），也不能通过签署标准合同方式向境外提供个人信息，必须采用第38条第1款中规定的其他方式；。
第三，在对累计的个人信息（或者敏感个人信息）数量进行统计时，需要从上一年的1月1日开始进行统计，统计结果最终满足条件的，方可通过签署标准合同方式向中国境外提供个人信息。如果超过了相关的个人信息数量（累计10万人的个人信息或1万人的个人敏感信息，这一标准从实务中来看并非难以达到），则也需要采用第38条第1款中规定的其他方式办理出境的前置手续。
三、个人信息保护影响评估
根据《标准合同规定》第5条及第7条，通过签署标准合同的方式向中国境外提供个人信息之前，应当事先开展个人信息保护影响评估，在向监管机构备案标准合同时，需要一并提交个人信息保护影响评估报告。因此，对于满足《标准合同规定》第4条规定条件的企业，在着手准备签署标准合同的同时，也应当尽快依法着手开展个人信息保护影响评估工作，以免对标准合同的备案及其后的数据出境造成不利的影响。
四、标准合同中的必要条款
标准合同的主要条款包括：个人信息处理者的义务（境内提供者）、境外接收方的义务、当地个人信息保护政策法规对遵守标准合同条款的影响、个人信息主体的权利、救济方法、合同解除、违约责任等。对于个人信息处理者及境外接收方的义务，除《个人信息保护法》等明确规定的义务以外，标准合同中还包括以下重要内容：
ü 作为个人信息处理者（境内提供者）的义务，①应向个人信息主体告知其作为标准合同的第三方受益人所享有的权利，并根据个人信息主体的要求提供标准合同的副本（第2条(3)及(8)）；②答复来自监管机构的询问，依法向监管机构提供相关必要信息（第2条(6)及(10)）。
ü 作为境外接收方的义务，①采取相应的技术和管理措施，确保这些措施维持适当的安全水平（第3条(5)）；②发生个人信息泄露时，应立即通知个人信息处理者，并向中国的监管机构报告（第3条(6)）；③不得擅自向中国境外的其他第三方提供个人信息（除非满足相应条件）（第3条(7)）；④承诺向个人信息处理者提供必要信息，以证明遵守标准合同义务（第3条(10)）；⑤同意接受中国监管机构的监督，包括服从监管机构的措施或作出的决定（第3条(12)）。
需要注意的是，《标准合同规定》第2条规定，“个人信息处理者与境外接收方签订与个人信息出境活动相关的其他合同，不得与标准合同相冲突。”因此，个人信息处理者和境外接收方不能通过签署其他合同的方法，实质上规避上述的法律义务。
五、标准合同模式下的个人信息跨境提供的流程
根据《标准合同规定》第7条规定，“个人信息处理者应当在标准合同生效之日起10个工作日内，向所在地省级网信部门备案。个人信息处理者对所备案材料的真实性负责。标准合同生效后个人信息处理者即可开展个人信息出境活动。”
根据本条的规定，再结合第5条的规定，通过签署标准合同的方式跨境提供个人信息的流程可以总结为：① 实施并完成个人信息保护影响评估 → ② 签署标准合同 → ③在省级的监管机构进行备案。另外，监管机构的备案手续并不是启动个人信息跨境传输的前提条件，标准合同签署完毕并生效以后，即可进行跨境传输。这样的规定，为个人信息跨境提供创造了相对便利的条件。但是需要注意的是，由于有个人信息处理者应当在标准合同生效之日起10个工作日内，就需要办理备案的这一时效性规定，对于重视合规的企业而言，在备案完成后再进行个人信息的跨境提供，可能也会成为一种更为稳妥的现实选择。
[1] http://www.cac.gov.cn/2022-06/30/c_1658205969531631.htm