新规出台背景下，企业数据出境的三种路径

2022年7月21日，国家互联网信息办公室（以下简称“国家网信办”）对滴滴全球股份有限公司（以下简称“滴滴公司”）的处罚最终落地，从监管部门披露的情况看，滴滴公司不仅实施了违法违规收集使用境内用户个人信息的行为，还存在严重影响国家安全的数据处理活动。
伴随着数字经济的发展，企业向境外合作方、境外关联主体等传输共享数据的场景也更加多见，为帮助企业理解我国数据出境的合规要求，我们将结合近期出台的多个新规，如全国信息安全标准化技术委员会秘书处（以下简称“信安标委”于2022年6月24日发布的《网络安全标准实践指南—个人信息跨境处理活动安全认证规范》、国家网信办分别于2022年6月30日、2022年7月7日发布的《个人信息出境标准合同规定（征求意见稿）》《数据出境安全评估办法》，梳理我国数据出境政策脉络，并重点就出境路径的选择问题进行分析解读并提供建议。
一、数据出境新规的出台背景
我国从国情出发，积极探索和制定了一系列有关数据出境安全的管理制度，以下列举近年来我国出台的重要规定。
2016年11月7日全国人大常委会通过《网络安全法》”第三十七条关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估；法律、行政法规另有规定的，依照其规定。”
2017年8月30日信安标委发布《信息安全技术数据出境安全评估指南（征求意见稿）》
该国家标准提出了个人信息和重要数据出境的安全评估原则、流程要点和方法，列举了数据出境的常见业务场景，指导网络运营者、网络安全服务机构从数据出境识别、合规性评估、威胁分析、安全保障能力评估等方面进行数据出境安全评估，也为网络运营者进行数据出境安全管理制度和能力建设提供参考。
2021年6月10日全国人大常委会通过《数据安全法》“第三十一条关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理，适用《中华人民共和国网络安全法》的规定；其他数据处理者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理办法，由国家网信部门会同国务院有关部门制定。”
2021年8月20全国人大常委会通过《个人信息保护法》“第三十八条个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一：
（一）依照本法第四十条的规定通过国家网信部门组织的安全评估；
（二）按照国家网信部门的规定经专业机构进行个人信息保护认证；
（三）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；
（四）法律、行政法规或者国家网信部门规定的其他条件。……”
2022年6月24日信安标委发布《网络安全标准实践指南 个人信息跨境处理活动安全认证规范》（以下简称“《认证规范》”）
该规范从基本原则、个人信息处理者和境外接收方在跨境处理活动中应遵循的要求、个人信息主体权益保障等方面提出了要求，为认证机构实施个人信息保护认证提供跨境处理活动认证依据，也为个人信息处理者规范个人信息跨境处理活动提供参考。
2022年6月30日国家网信办发布《个人信息出境标准合同规定（征求意见稿）》（以下简称“《标准合同规定（意见稿）》”）
该规定对《个人信息保护法》第38条第1款规定的“标准合同”进行了全面细化的制度安排，包括签订标准合同的前提条件、个人信息保护影响评估的评估内容、标准合同的主要内容等。
2022年7月7日国家网信办发布《数据出境安全评估办法》（以下简称“《评估办法》”）
该办法明确了数据出境安全评估的适用主体、完善申报数据出境安全评估的具体流程、进一步细化了主管机关权限和监督管理制度等。相较于2021年国家网信办发布的《数据出境安全评估办法（征求意见稿）》，该办法进一步明确了相关条文中个人信息数量累计计算的起算时间，实践中将便于企业判断自身是否会触发数据出境安全评估，为企业申报数据出境安全评估提供了更具有指导性的政策依据。
可以看出，数据出境的相关规定经历了一个不断明确的过程，且在制度设计上了充分考虑了不同类型的主体和数据的出境情况，并就不同情况提供了相应的出境路径，我们将在下文结合最新颁布的《认证规范》《标准合同规定（意见稿）》《评估办法》进一步说明。
二、企业数据出境的路径选择
首先需要明晰的是，我国现行政策所规制的出境数据包括个人信息和重要数据两类，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。而重要数据，是我国数据分类分级的保护制度下与国家安全、经济发展以及公共利益密切相关的一类数据。根据《数据安全法》规定，重要数据的目录是由国家数据安全工作协调机制统筹协调有关部门制定。以汽车行业举例，根据《汽车数据安全管理若干规定（试行）》，汽车重要数据包括重要敏感区域的数据、反映经济运行情况的数据、汽车充电网的运行数据、车外视频、图像数据、涉及个人信息主体超过10万人的个人信息以及其他可能危害国家安全、公共利益或者个人、组织合法权益的数据。【1】
根据《个人信息保护法》第38条规定，企业若要将个人信息向境外提供，存在经网信部门安全评估、经专业机构保护认证、与境外接收方签订网信部门制定的标准合同三种路径；而根据《评估办法》第4条规定，企业向境外提供重要数据的，则需要经过网信部门安全评估。故综合来看，企业数据出境的路径一共有安全评估、保护认证、标准合同三种路径，但在具体适用的细节上，仍有不少问题需要关注：
（一）安全评估路径
1.企业如何判断自身业务是否需要进行安全评估？
《个人信息保护法》第40条【2】规定，“关键信息基础设施运营者”和“处理个人信息达到国家网信部门规定数量的个人信息处理者”这两类特殊主体确需向境外提供个人信息的，应当通过国家网信部门组织的安全评估。
首先，根据国务院发布的《关键信息基础设施安全保护条例》，关键信息基础设施是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统。实践中相关保护工作部门会依据本行业本领域认定规则，组织认定企业业务是否属于关键信息基础设施行业范围。其次，对于“处理个人信息达到国家网信部门规定数量的个人信息处理者”的判断，则需要结合《评估办法》进行理解，《评估办法》第4条明确了4种需要申报数据出境安全评估的情形：
（1）数据处理者向境外提供重要数据；
（2）关键信息基础设施运营者和处理100万人以上个人信息的数据处理者向境外提供个人信息；
（3）自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者向境外提供个人信息；
（4）国家网信部门规定的其他需要申报数据出境安全评估的情形。
结合来看，企业如向境外提供重要数据（包括关键信息基础设施运营者收集和产生的数据），或者在自身属于“关键信息基础设施运营者”或“处理个人信息达到国家网信部门规定数量的个人信息处理者”（包括处理100万人以上个人信息的数据处理者、自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者）的情况下向境外提供个人信息，就需要进行安全评估。
2.企业进行安全评估需要经过哪些具体流程？
根据《评估办法》第4条至第14条的规定，我们整理了企业进行安全评估的具体流程图：

3.上述流程图中企业进行风险自评估和安全评估的重点评估事项有何区别？


从上述对比表格可见，风险自评估与安全评估需要评估的事项大体相同，二者的差异主要体现在，安全评估比风险自评估多了两条规定：一是需评估“境外接收方所在国家或者地区的数据安全保护政策法规和网络安全环境对出境数据安全的影响”，二是需考虑数据出境活动是否“遵守中国法律、行政法规、部门规章情况”。
总体而言，风险自评估与安全评估的差异主要反映出，前者偏向于从微观层面对个人信息权益保障程度的评估，而后者则更倾向于从宏观层面对企业的数据出境活动是否符合我国相关法律法规的规定，以及境外接收方所在国的有关数据安全的法律政策是否能保障企业数据出境过程中的安全等方面进行评估。
（二）保护认证路径
1.企业如何判断自身业务是否可以进行保护认证？
《个人信息保护法》第38条规定，除“关键信息基础设施运营者”和“处理个人信息达到国家网信部门规定数量的个人信息处理者”这两类特殊主体外，一般主体在处理个人信息出境时还存在保护认证这一合规路径。但并非所有一般主体都可以通过保护认证实现个人信息出境，《认证规范》第2条明确了两种认证主体：
（1）跨国公司或者同一经济、事业实体下属子公司或关联公司之间的个人信息跨境处理活动可由境内一方申请认证，并承担法律责任；
（2）《中华人民共和国个人信息保护法》第3条第2款【3】规定的境外个人信息处理者，可以由境内设置的专门机构或指定代表申请认证，并承担法律责任。
故落地实践中，企业仍需要提前判断自身是否属于上述两种主体。那么保护认证具体由哪个机构实施？2019年人民网曾有报道，在我国首次针对企业进行的“个人信息安全管理体系认证”中，支付宝成为首批获得国家认证的企业。此次针对个人信息安全的认证由“中国网络安全审查技术与认证中心”(以下简称“CCRC”)组织进行，测评对象有阿里、腾讯、百度、京东等10家企业。CCRC系由中央机构编制委员会办公室批准成立，是国家市场监督管理总局直属的事业单位，负责依据《网络安全法》《网络安全审查办法》及国家有关强制性产品认证法律法规承担网络安全审查技术支撑和认证工作。而《认证规范》的技术支持单位即包括【4】CCRC，综合以上信息，我们认为CCRC有较大可能作为进行个人信息保护认证的专业机构，配合《个人信息保护法》中个人信息保护认证制度的落地。
2.企业进行保护认证须符合什么要求？
《认证规范》第4条对企业进行保护认证的基本要求进行了规定。
（1）企业与境外接收方之间应当订立有法律约束力的协议。在协议形式上，虽然并未要求使用网信部门所制定的标准合同，但《认证规范》也明确了协议至少应具备的基本内容；
（2）企业与境外接收方双方均应建立相应的组织管理制度。首先，双方均应指定个人信息保护责任人。个人信息保护负责人应具备个人信息保护专业知识和相关管理工作经历，由本组织的决策层成员承担；其次，双方均应设立个人信息保护机构，履行个人信息保护义务，防止未经授权的访问以及个人信息泄露、篡改、丢失等；
（3）企业与境外接收方双方均需遵守统一的个人信息跨境处理规则。包括跨境处理个人信息的基本情况、目的、方式和范围等；
（4）企业在向境外提供数据之前，需进行事前的个人信息保护影响评估。评估内容包括：向境外提供个人信息是否符合法律法规、对个人信息主体权益产生的影响以及其他维护个人信息权益所必需的事项。
（三）标准合同路径
1.企业如何判断自身业务是否可以选择标准合同路径？
根据《个人信息保护法》第38条规定，除两类特殊主体外的一般主体，在处理个人信息出境时，除了保护认证路径外，还存在与境外接收方签订网信部门制定的标准合同这一路径。
《标准合同规定（意见稿）》第4条则明确规定了4种企业可以通过签订标准合同的方式向境外提供个人信息：
（1）非关键信息基础设施运营者；
（2）处理个人信息不满100万人的；
（3）自上年1月1日起累计向境外提供未达到10万人个人信息的；
（4）自上年1月1日起累计向境外提供未达到1万人敏感个人信息的。
我们在前文中也提到，跨国公司或者同一经济、事业实体下属子公司或关联公司之间的个人信息跨境处理活动，以及《个人信息保护法》第3条第2款适用的个人信息处理活动，可以向专业机构申请个人信息保护认证，那么符合以上两种情形的个人信息出境，是否也可以通过签订标准合同实现？《认证规范》中已经明确，个人信息跨境处理活动认证属于国家推荐的自愿性认证，鼓励符合条件的个人信息处理者和境外接收方在跨境处理个人信息时自愿申请个人信息跨境处理活动认证，充分发挥认证在加强个人信息保护、提高个人信息跨境处理效率方面的作用。【5】可见，保护认证对于其适用主体并非强制要求，我们倾向于认为在上述两种情形下，如果个人信息处理者并非两类特殊主体，也可以通过签订标准合同实现个人信息出境。
2.企业通过签订标准合同进行数据出境需要经过哪些具体流程？
根据《标准合同规定（意见稿）》第4条至第8条的规定，我们整理了企业通过签订标准合同进行数据出境的具体流程图：

3.上述流程图中企业进行个人信息保护影响评估和《评估办法》中要求企业开展的风险自评估有何区别？

从上述对比表格可见，企业进行个人信息保护影响评估，主要针对可能给个人信息权益造成的风险的事项进行评估，而风险自评估则更多需要考虑对国家安全、公共利益或个人或者组织合法权益可能造成的风险。
此外，按照《标准合同规定（意见稿）》的说明，企业选择签订标准合同的方式向境外提供数据的，只需要向企业所在地的省级网信部门备案。可以预见，若未来该规定生效，网信部门将可能收到大量的备案。因此，在《数据出境安全评估办法》中由网信部门负责评估的“境外接收方所在国家或者地区的个人信息保护政策法规”，才会出现在企业进行的个人信息保护影响评估中。
总体而言，个人信息保护影响评估的内容较风险自评估更为丰富、广泛，而风险自评估对于风险影响的评估程度则较个人信息保护影响评估更为深入。
4.标准合同内容是否允许变更？
《标准合同规定（意见稿）》中提供了标准合同的文本，包括正文的九大条款（定义、个人信息处理者的义务、境外接收方的义务、当地个人信息保护政策法规对遵守本合同条款的影响、个人信息主体的权利、救济、合同解除、违约责任、其他）及两个附录（附录一：个人信息出境说明、附录二：双方约定的其他条款（如需要））。根据《标准合同规定（意见稿）》的说明，企业依据标准合同开展个人信息出境活动时，应遵守自主缔约与备案管理相结合的原则，与境外接收方签订与个人信息出境活动相关的其他合同，不得与标准合同相冲突。结合规定内容和文本设计，我们认为企业在使用标准合同时可以进行补充，但不可以约定与标准合同文本冲突的条款。
结语
在经济全球化的今天，数据出境已然成为不少企业的日常需求。在数据出境相关规定日趋完善和细化的背景下，企业未来应不断加强数据出境合规意识，结合自身业务中处理的数据类型、自身企业性质，并综合考虑商业成本、实际风险等因素，梳理制定出适合自身企业的数据出境合规方案，以最大限度地降低企业数据出境过程中可能面临的法律风险。
注释：
【1】《汽车数据安全管理若干规定（试行）》第3条第6款：重要数据是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益或者个人、组织合法权益的数据，包括：（一）军事管理区、国防科工单位以及县级以上党政机关等重要敏感区域的地理信息、人员流量、车辆流量等数据；（二）车辆流量、物流等反映经济运行情况的数据；（三）汽车充电网的运行数据；（四）包含人脸信息、车牌信息等的车外视频、图像数据；（五）涉及个人信息主体超过10万人的个人信息；（六）国家网信部门和国务院发展改革、工业和信息化、公安、交通运输等有关部门确定的其他可能危害国家安全、公共利益或者个人、组织合法权益的数据。
【2】《个人信息保护法》第40条：关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的，应当通过国家网信部门组织的安全评估；法律、行政法规和国家网信部门规定可以不进行安全评估的，从其规定。
【3】《个人信息保护法》第3条第2款：在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动，有下列情形之一的，也适用本法：（一）以向境内自然人提供产品或者服务为目的；（二）分析、评估境内自然人的行为；（三）法律、行政法规规定的其他情形。
【4】人民网：《支付宝获“个人信息安全管理体系”国家认证》，http://industry.people.com.cn/n1/2019/0202/c413883-30609035.html，2019-02-02。
【5】《网络安全标准实践指南个人信息跨境处理活动安全认证规范》第3条第（f）款规定：自愿认证原则。个人信息跨境处理活动认证属于国家推荐的自愿性认证，鼓励符合条件的个人信息处理者和境外接收方在跨境处理个人信息时自愿申请个人信息跨境处理活动认证，充分发挥认证在加强个人信息保护、提高个人信息跨境处理效率方面的作用。