《个人信息出境标准合同规定(征求意见稿)》重点速览

2022年6月30日, 国家网信办发布了《个人信息出境标准合同规定(征求意见稿)》(“《标准合同规定(征)》”)。千呼万唤始出来, 《标准合同规定(征)》对应《个人信息保护法》(“《个保法》”)第三十八条规定的个人信息出境条件之一, 为企业落实个人信息出境义务提供了明确指引。本文将对个人信息出境标准合同(“标准合同”)的适用范围和重点内容进行提示, 以帮助企业切实落地个人信息出境合规要求。
1、补齐个人信息跨境传输的合规拼图
《数据出境安全评估办法(征求意见稿)》《网络安全标准实践指南——个人信息跨境处理活动认证技术规范》与《标准合同规定(征)》三部规定, 对齐了《个保法》第三十八条规定的个人信息出境条件——(1)评估, (2)认证, (3)标准合同。至此, 我们将个人信息处理者跨境传输个人信息的合规路径梳理如下:

2、适用的四项条件
《标准合同规定(征)》从个人信息处理者的性质、处理个人信息所涉人数、出境个人信息所涉人数、出境个人信息的性质等方面, 规定了标准合同适用的四项条件:
(一) 非关键信息基础设施运营者;
(二) 处理个人信息不满100万人的;
(三) 自上年1月1日起累计向境外提供未达到10万人个人信息的;
(四) 自上年1月1日起累计向境外提供未达到1万人敏感个人信息的。
《标准合同规定(征)》对标准合同适用范围的立法逻辑与《个保法》以及《数据出境安全评估办法(征求意见稿)》(“《安全评估办法(征)》”)中的个人信息跨境传输规则是一致的。
3、九项条款
《标准合同规定(征)》提供了一份16页的附件《个人信息出境标准合同》(“模板合同”), 共九项条款。需要注意的是, 《标准合同规定(征)》未强制要求企业适用该模板合同。只要不与模板合同相冲突, 企业可自行拟定标准合同、并准备双语版本。
九项条款融合了《个保法》《信息安全技术个人信息安全规范》等现有规定, 包括以下几方面的内容:

4、与其他数据出境合同的衔接
尽管《标准合同规定(征)》规定了符合四项条件的主体“可以”在跨境传输数据时签订标准合同, 但这并不意味着其他个人信息处理者在进行数据跨境传输时, 无需签署任何数据出境合同。若个人信息处理者: (1)按照规定申请个人信息出境安全评估, 或(2)进行个人信息保护认证的, 仍然需要签订符合要求的个人信息跨境传输合同。

5、“累计提供”的个人信息数量应按年度计算
《安全评估办法(征)》第四条规定, 处理个人信息达到100万人的个人信息处理者; 累计向境外提供超过十万人以上个人信息或者一万人以上敏感个人信息的, 需申报数据出境安全评估。该规定在如何判断“达到100万人”, 以及“累计提供”方面并未具体解释。《标准合同规定(征)》在第四条规定, 以上一年度1月1日作为累计计算的起算时间点。这一规定明显对计算出境数据所涉人数的时间范围进行收窄, 且适用滚动计算、跨年清零的原则。因此, 如《安全评估办法(征)》不对“累计”的计算方式作出对应修改或解释, 则会给企业适用跨境传输要求带来矛盾。举例而言, 某企业自上年1月1日起跨境传输个人信息的所涉人数达到8万, 再上一年度1月1日起跨境传输个人信息所涉人数为9万, 按照《标准合同规定(征)》的规定, 该企业可以适用“与境外个人信息接收方签订标准合同”这一出境条件; 然而按照《安全评估办法(征)》的规定, 该企业累计向境外出境了17万人的个人信息, 仍需要通过数据出境安全评估。我们预计, 正式生效的《标准合同规定》或《安全评估办法》将解决这一矛盾而作出统一规定。