各国个人信息出境实况——兼评《个人信息出境安全评估办法（征求意见稿）》

文章目录
一、出台背景
二、评估主体
三、评估对象
四、评估流程
（一）自评估流程非唯一要件
（二） 评估具体流程
五、评估内容
六、评估周期
七、持续监管
八、评估流程图
九、小结
十、其他国家对于数据出境评估的相关规定
（一）GDPR
（二）APEC 的CBPR体系
（三） 隐私盾
（四）加拿大
（五）新加坡
（六）结论
十一、新旧评估办法（征求意见稿）的对比
2019年6月13日凌晨，国家网信办发布《个人信息出境安全评估办法（征求意见稿）》（以下简称“《新评估办法（征求意见稿）》”），在其2017年发布的《个人信息和重要数据出境安全评估办法（征求意见稿）》（以下简称“《旧评估办法（征求意见稿）》”）的基础上进行了很大的变动。本文主要以个人信息安全影响评估的整体步骤为脉络，梳理《新评估办法（征求意见稿）》的相关规定和重要变化。
一、出台背景
随着跨境业务的不断增加，数据在全球范围的流动已成为了企业间经营活动的重要特征之一。早在《网络安全法》出台之时，我国就对数据出境的问题，提出了安全评估的要求，认为关键信息基础设施运营者在境内运营过程中所收集或产生的业务数据，原则上应该在境内进行存储，如果因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估。推荐性国家标准 《信息安全技术个人信息安全规范 》 也对个人信息跨境转移做出相关规定：在中华人民共和国境内运营中收集和产生的个人信息向境外提供的，个人信息控制者应符合国家网信部门会同国务院有关部门制定的办法和相关标准的要求。这里的办法，我们认为指的是《旧评估办法（征求意见稿）》，相关标准指的是《信息安全技术数据出境安全评估指南（征求意见稿）》（以下简称“《评估指南（征求意见稿）》”）。2017年，国家发布《旧评估办法（征求意见稿）》，针对个人信息与重要数据的出境评估，做出了较为细致的要求。而此次《新评估办法（征求意见稿）》把《旧评估办法（征求意见稿）》中的个人信息出境部分单独抽出来进行规制，意味着原来将“个人信息”与“重要数据”的统一评估路径，拆分成了两条不同的监管轨道，设定了更加清晰和严格的评估标准，将个人信息的出境传输行为纳入更全面的监管系统中。
如上所述，相较于《旧评估办法（征求意见稿）》同时规定了“个人信息”与“重要数据”的出境评估要求，《新评估办法（征求意见稿）》只针对“个人信息”的出境评估作出了相应规定，其最主要的原因在于， “个人信息”是对公民个人权益的保护，而“重要数据”则更加强调维护国家安全与社会利益。也意味着，未来国家应该还会对“重要数据”的出境评估做出单独的规定。这一趋势也体现在此前出台的《数据安全管理办法（征求意见稿）》中，虽然其第一条仍然强调是保障个人信息和重要数据安全，但在具体的条文中，也对个人信息和重要数据的规定做了一定区分，比如第28条规定重要数据出境需评估风险加报请主管部门同意。
二、评估主体
在《旧评估办法（征求意见稿）》中，规定行业主管或监管部门负责本行业数据出境安全评估工作，行业主管或监管部门不明确的，由国家网信部门组织评估。而在此次《新评估办法（征求意见稿）》中，规定个人信息出境前，网络运营者应当向所在地省级网信部门申报个人信息出境安全评估。省级网信部门在收到个人信息出境安全评估申报材料并核查其完备性后，应当组织专家或技术力量进行安全评估。安全评估原则上需要在15个工作日内完成。此次新规将评估主体直接确定为省级网信部门来对评估事项负责，化解了对监管部门不够明晰的情况。同时，将评估机构统一为网信部门，有利于管理和网络运营者申诉上的统一。这种做法，虽然加强了监管对个人信息出境的审查与把控，但问题是省级网信部门的人力资源是否已经足够充裕到对本省范围内企业所报审的申报材料可以在15日内逐一审查完毕并反馈。如果不能够在规定时间内完成实质性审查的话，要么《新评估办法（征求意见稿）》最后落入空文，要么该条款的思路最终会在征求意见结束后得以改变。
三、评估对象
我国《网络安全法》第三十七条明确规定，对于关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据明确要求应在境内存储。而在《旧评估办法（征求意见稿）》第二条规定，网络运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据，应当在境内存储。因业务需要，确需向境外提供的，应当按照本办法进行安全评估。此条规定将数据境内储存的义务从关键信息基础设施的运营者拓展到了所有的网络运营者。而在此次《新评估办法（征求意见稿）》删除了此条内容，对数据的本地化储存没有再作出相应规定。但同时，对于数据出境要进行评估的主体，相较于《网络安全法》，《新评估办法（征求意见稿）》规定的范围则更广。《网络安全法》只将数据出境评估的主体限定为关键信息基础设施运营者，而《新评估办法（征求意见稿）》与《旧评估办法（征求意见稿）》类似，则要求所有涉及个人信息出境的网络运营者，都需要进行安全影响的评估，并且需要报请网信部门做实质性审查。
考虑到将所有网络运营者都纳入审查的范围，势必会加重政府部门的审查成本。有关学者提出建议考虑是否对评估主体增加豁免（即例外）的条件，如对有关数据极少且偶发的个人信息出境行为和跨国企业内部经营管理涉及到的数据等是否可以免于评估。其次，对于网络运营者，学者也建议进行角色的区分，将控制者与处理者相关的评估义务进行一定的区别，这样能使得法规在具体落实时更加合理并且能提升效率。
四、评估流程
1. 自评估流程非唯一要件
《旧评估办法（征求意见稿）》中规定，网络运营者应在数据出境前，自行组织对数据出境进行安全评估，并对评估结果负责。对于含有或累计含有50万人以上的个人信息，数据量超过1000GB等可能影响国家安全和社会公共利益的网络运营者，要求其必须报请行业主管或监管部门进行评估。也就可以看出，在《旧评估办法（征求意见稿）》中包含了运营者自评估以及符合特定条件情况下方才报请监管部门评估两种模式。而《新评估办法（征求意见稿）》对于所有网络运营者，无论其规模大小，也不论行业类型，只要涉及个人信息出境，都要求其必须在企业自行评估后向所在地省级/市网信部门申报并进行安全评估，即企业在自评估或者委托第三方评估后，都需要报请网信部门批准。可以看出，新规对个人信息出境的评估要求比以前更加严格了。
2. 评估具体流程
根据《新评估办法》规定，网络运营者在个人信息出境前，应当向所在地省级网信部门申报个人信息出境安全评估，同时提交以下材料：
（一）申报书；
（二）网络运营者与接收者签订的合同；
（三）个人信息出境安全风险及安全保障措施分析报告；
（四）国家网信部门要求提供的其他材料。
《新评估办法（征求意见稿）》同时规定，省级网信部门在收到个人信息出境安全评估申报材料并核查其完备性后，应当组织专家或技术力量进行安全评估。安全评估应当在15个工作日内完成，情况复杂的可以适当延长。在《旧评估办法（征求意见稿）》中，规定行业主管或监管部门组织的安全评估，应当于六十个工作日内完成。此次新规将评估的时间在原来的基础上进行了大大缩短。这也是考虑到在具体实践中，许多企业依靠数据的流动创造市场价值，而对其审查评估的时间过长，会对企业经营活动造成很多影响甚至是延误。对评估时间的缩短，将有助于提高数据流转的效率，有利于创造更多价值。但是，因为此次评估的主体扩大，要求所有网络运营者都进行相关评估，评估渠道有出现拥挤的可能。因为法律中规定情况复杂的可以适当延长评估时间，但没有说明情况复杂的具体情形，也没有细化说明可延长的最大期限是几何，对于企业来说仍然存是潜在的不确定性风险。
《新评估办法（征求意见稿）》第七条规定，省级网信部门在将个人信息出境安全评估结论通报网络运营者的同时，将个人信息出境安全评估情况报国家网信部门。网络运营者对省级网信部门的个人信息出境安全评估结论存在异议的，可以向国家网信部门提出申诉。相较于《旧评估办法（征求意见稿）》，《新评估办法（征求意见稿）》对于个人信息出境安全评估情况的流向没有做太大变动，都要求评估的主体将结论通报网络运营者的同时，也将评估情况报国家网信部门。但在《新评估办法（征求意见稿）》中，增加了网络运营对评估结论存在异议时申诉的权利。这样的规定不仅使得网络运营者在面对自己不利的评估结果时多了一种救济措施，也会促使省级网信部门在进行安全影响评估时更加客观公正。
五、评估内容
《新评估办法（征求意见稿）》第六条，规定了在进行个人信息出境安全评估时应当重点评估的内容，包括：
（一）是否符合国家有关法律法规和政策规定；
（二）合同条款是否能够充分保障个人信息主体合法权益；
（三）合同能否得到有效执行；
（四）网络运营者或接收者是否有损害个人信息主体合法权益的历史、是否发生过重大网络安全事件；
（五）网络运营者获得个人信息是否合法、正当；
（六）其他应当评估的内容。
对比《旧评估办法（征求意见稿）》的重点评估内容，《新评估办法（征求意见稿）》对这一部分作了较大的改动。其中最主要的一个变动是在重点评估的内容中，不仅增加了对网络运营者与境外数据接收方之间“合同”的评估，而且首次对网络运营者与境外数据接收者的合同进行了相关要求：如《新评估办法（征求意见稿）》细致地规定了双方签订的合同具体应该包含的具体内容，包括个人信息出境的目的、类型和保存时限等的规定，还包含了网络运营者以及境外接收者各自相应的义务。为了防止合同流于形式或者出现阴阳合同的情况，《新评估办法（征求意见稿）》还在评估的标准中，加入了对双方合同内容和执行的双重审查。
这一点与GDPR下标准合同条款的相关规定也有着类似之处。GDPR规定，如果采用标准合同条款等适当保障措施，监管机关则不需要再对数据的跨境传输进行个案审批，但同时，欧盟委员会需要事先对标准合同条款本身进行批准。虽然标准合同条款针对的是数据传输方与数据接收方之间的合同，但其却主要是对非合同一方的数据主体提供了相应的保护机制。因为数据转移双方则可以通过其他的商务条款约定商务合作的其他权利义务，但标准合同条款机制（SCC）则是通过落实数据转移双方对数据主体的民事赔偿责任来倒逼其切实保护个人信息主体的权利，防止合同的中的标准合同条款流于形式。鉴于此，既可以降低企业评估的成本，也能节省政府部门的评估资源。
对此，相关学者对《新评估办法（征求意见稿）》也提出一些建议，对不同的领域，如金融，医疗等是否可以拟制不同版本的标准合同条款，以应对实践中的不同情形。其次，对于合同能否单方面终止的问题，此次《新评估办法（征求意见稿）》中并没有涉及，这关涉到终止合同后数据出境方是否可以将数据追索回来的问题。
除此之外，《新评估办法（征求意见稿）》还规定了，个人信息主体有权获取合同的副本，这在保障个人信息主体实现相关权利的同时，有利于促进合同条款的透明与合理。但反过来，有些企业也会产生担心，如果出境方与接收方之间的数据转移涉及到商业秘密，那么个人信息主体的副本获取权利是否会使数据出入境企业之间显得有些尴尬？从这个问题引发得出的思考，也许我国的标准制定的组织可以比照欧盟的SCC，制定标准化的数据出境合同。涉及商业秘密的部分，企业可以再拟定其他商务合同做出安排，标准合同一方面方便网信部门快速进行审批，也方便个人信息主体迅速读懂数据出境的主要内容。至于中国与欧盟企业之间的数据转移，究竟应当适用中国版的SCC还是欧盟版的SCC，那就让企业自己去谈吧。
六、评估周期
在《旧评估办法（征求意见稿）》中，规定网络运营者应根据业务发展和网络运营情况，每年对数据出境至少进行一次安全评估，当数据接收方出现变更，数据出境目的、范围、数量、类型等发生较大变化，数据接收方或出境数据发生重大安全事件时应当重新进行评估。而此次《新评估办法（征求意见稿）》规定，网络运营者应当每2年或者个人信息出境目的、类型和境外保存时间发生变化时应当重新评估。相较于以前的规定，此次新规将数据出境评估的周期延长到了两年，并对应当进行重新评估的场景进行了具体说明，取消了《旧评估办法（征求意见稿）》中用“等”字进行概括的做法，让要求网络运营者进行重新评估的情形更加清晰和明确。
同时，《新评估办法（征求意见稿）》也规定， 向不同的接收者提供个人信息应当分别申报安全评估，向同一接收者多次或连续提供个人信息无需多次评估。也就意味着，接收者的具体情形也成为了影响网络运营者个人信息出境的安全影响评估周期的一个因素。
七、持续监管
《新评估办法（征求意见稿）》规定了，网络运营者应当每年12月31日前将本年度个人信息出境情况、合同履行情况等报所在地省级网信部门。这意味着网络运营者即使在通过了个人信息出境安全影响评估，也需要每年向所在地省级网信部门汇报出境情况以及合同履行情况，类似一种工商年审的情况。且根据《新评估办法（征求意见稿）》的规定，网络运营者应当建立个人信息出境记录并且至少保存5年。由此可见，出境安全评估并不是一劳永逸的措施，后续企业仍然需要对个人信息的出境情况进行持续监管，并且有义务留存好所有的出境记录，以备核查之需。
八、评估流程图

九、小结
可以看出，此次《新评估办法（征求意见稿）》的出台，无论对评估的主体、评估的内容，以及后续监管的要求，都做出了更严格和细致的规定。这样的规定势必会对相关网络运营者带来较大的影响与压力。综合个人信息出境安全影响评估的成本，以及企业可能面临评估失败后的风险，许多企业可能会由此选择增加个人信息本地化储存的策略。同时，要求所有涉及个人信息出境的网络运营者，无论业务和规模如何，都必须将评估情况向网信部门申请报批，一定程度上也会加大国家对于评估所投入的成本。如何在保障个人信息安全的同时，增加数据流动所带来的发展价值，也是各方对此《新评估办法（征求意见稿）》提出建设性意见的基本落脚点。
十、其他国家对于数据出境评估的相关规定
国外立法实践中也存在关于个人信息跨境数据传输的相关法律或判例。 对于国内所称的“个人信息”，国外也有类似定义。 一般而言，外国当局依靠评估来决定一个组织是否可以进行跨境数据传输。 除此之外，国外也规定了其他替代规则来评估是否允许跨境数据传输。主要内容如下。
（一）GDPR
在欧盟，关于规范数据保护的最重要的法律为 《一般数据保护条例》，（简称 “GDPR”）。GDPR规定，在转移个人数据时，不应低于GDPR所规定的对自然人的保护水平，即向国外传递的个人信息应由第三国提供“足够的保护”。
根据上述规则，个人信息向第三国或地区的转移将通过以下方式加以规范 。
第三国或地区的评估应由欧盟委员会（ 以下简称 “欧委会”）进行。 它将评估数据输入国或地区的法律，确认该国家或地区对于尊重人权和基本自由、个人信息的保护水平是否充分。 欧委会建立了一个“白名单”，列举其认可的国家或地区。 目前，欧委会认可的有12个国家和地区，即美国，加拿大，安道尔共和国，瑞士，法罗群岛，根西岛，不列颠群岛，泽西岛，以色列，新西兰，阿根廷和乌拉圭。
此外，GDPR 允许组织在跨境数据传输实践中使用标准合同条款来证明其数据保护能力。 此外，适用有约束力的公司准则（以下称为“BCR”）也可以满足跨境数据传输期间数据保护的要求。 对于传输数据的组织的BCR的评估应该由主管部门进行。对于BCR的评估内容包括：组织结构，要传输的数据类型，准则对于企业内部和外部的有效性，数据保护的适用原则，赋予个人信息主体的权利及实施，组织的责任，投诉机制，DPO的设置，以及向主管当局汇报的制度等。经过评估后，跨国公司各实体之间传输数据均适用同一标准。
除了评估，GDPR还规定，当且仅当个人信息控制者提供适当的保障措施时，个人信息控制者可以将个人数据传输到第三国。 这些保障措施包括：
（1） 具有公共当局或机构之间具有法律约束力和可执行的文书;
（2） 具有由委员会根据审查程序审核通过的标准数据保护条款，以及监管机构通过并经欧委会批准的标准数据保护条款 ;
（3） 具有经批准的企业行为准则，以及第三国的个人信息控制者或处理者做出的具有约束力和可执行的适当的保障措施的承诺;
（4） 具有相应认证证书，以及第三国个人信息控制者或处理者作出的具有约束力和可执行的适当的保障措施的承诺。
（二）APEC 的CBPR体系
除了对跨境数据转移评估制定统一规定外，各国和各地区还制定双边或多边条约以对评估进行规定。APEC跨境隐私规则系统（以下简称“CBPR体系”）是此种方式的最佳实践之一。
2012年，CBPR体系投入使用。 它为成员国之间提供跨境数据传输规则，要求在APEC国家内加入CBPR系统的成员国之间传输公民的个人信息应符合CBPR的要求。 到目前为止，美国、日本、墨西哥、加拿大、新加坡和韩国加入了CBPR体系。
CBPR体系由四部分组成：自我评估，合规审查，承认/接受，争议解决和执行。各成员国在将个人信息传输到国外之前，应进行以下两个步骤。
首先，组织应根据APEC认可的CBPR调查问卷进行自我评估。 该问卷将由相应的APEC认可的代理机构提供。问卷主要用于评估组织保护数据的能力。 它所涉及的问题包括以下方面：
（1）通知。 组织是否向个人提供关于其个人信息传输的清晰且易于访问的陈述。
（2）信息收集的限制。 收集个人信息是否仅限于所述目的。
（3）个人信息的使用。个人信息的使用是否仅限于实现收集目的和其他兼容或相关的目的。
（4）选择。 组织是否向个人提供与其个人信息的收集、使用和披露相关的权利。
（5）个人信息的完整性。个人信息控制者是否保持个人信息记录的准确性和完整性。
（6）安全保障。 组织是否以合理的安全措施保护个人信息 。
（7）访问和更正。组织是否为个人提供访问和更正其信息的权利。
（8）责任制。该组织是否有责任遵守实施CBPR体系的措施。
再者，组织应当将完成的问卷和任何相关文件提交给APEC认可的代理机构。代理机构根据CBPR项目中建立的基本标准进行保密审查。
（三） 隐私盾
隐私盾也是关于个人信息跨境转移条约的一种实践做法。2016年2月2日，美国和欧盟达成了一项名为“隐私盾”的协议。 该条约适用于美国和欧盟之间的跨境数据传输。 它主要规定了组织自我评估规则和美国监管机构的监督，并试图建立一个灵活的区域内数据自由流动的机制。
（四）加拿大
加拿大联邦隐私专员办公室规定，数据转让人在通过合同和其他措施将个人数据转移到国外时应对其安全承担保护责任。 它要求数据传输者：（1）避免未经授权使用或披露任何第三方转移到国外的个人信息; （2）确保转移数据后的第三国有完善的政策或数据保护程序; （3）定期评估第三国境内处理或存储个人信息的行为是否足够安全。
（五）新加坡
在新加坡“个人资料保护法”（以下简称“PDPA”）中，新加坡个人资料保护委员会规定，转让人与受让人之间签订跨境数据转移合同，合同中应该设置条款要求数据收集者所提供的保护数据能力不低于PDPA要求的保护水平。 对于跨国组织，他们可以适用有约束力的公司准则来保护跨境数据传输过程中的数据。
（六）结论
如上所述，对于个人信息的跨境转移 ，常见的做法是对跨境数据传输进行评估。 然而，由于目前各国对于评估的要求各有不同，例如，某些国家或地区要求组织进行自我评估，而其他国家或地区则要求由监管部门进行评估。
此外，除了评估之外的其他规则也适用于监管个人信息的跨境转移。 一般来说，这些规则包括：（1）数据传输合同模板，包括标准合同条款和可变动的合同条款; （2）有约束力的公司准则; （3）认证或审核等监督方法; （4）保证转让人的数据安全。这些，这对于我国而言也都是值得借鉴的。
十一、新旧评估办法（征求意见稿）的对比