《个人信息出境标准合同备案指南》（第二版）对比及解读

2024年3月22日晚，伴随着新规《关于促进和规范数据跨境流动》的颁布，网信办一并发布了《数据出境安全评估申报指南》（第二版）、《个人信息出境标准合同备案指南》（第二版），两部《指南》结合实务经验和新规，对申报和备案流程进行了一定的优化，我们将分两次对主要优化部分进行解读，供大家参考。
《个人信息出境标准合同备案指南》（第二版）
一、适用范围
第一版：
个人信息处理者通过订立标准合同的方式向境外提供个人信息的，应当同时符合下列情形：
（一）非关键信息基础设施运营者；
（二）处理个人信息不满100万人的；
（三）自上年1月1日起累计向境外提供个人信息不满10万人的；
（四）自上年1月1日起累计向境外提供敏感个人信息不满1万人的。
法律、行政法规或者国家网信部门另有规定的，从其规定。
个人信息处理者不得采取数量拆分等手段，将依法应当通过出境安全评估的个人信息通过订立标准合同的方式向境外提供。
以下情形属于个人信息出境行为：
（一）个人信息处理者将在境内运营中收集和产生的个人信息传输、存储至境外；
（二）个人信息处理者收集和产生的个人信息存储在境内，境外的机构、组织或者个人可以查询、调取、下载、导出；
（三）国家网信办规定的其他个人信息出境行为。
第二版：
个人信息处理者通过订立标准合同的方式向境外提供个人信息，同时符合下列情形的应当向所在地省级网信部门备案：
（一）关键信息基础设施运营者以外的数据处理者；
（二）自当年1月1日起，累计向境外提供10万人以上、不满100万人个人信息（不含敏感个人信息）的；
（三）自当年1月1日起，累计向境外提供不满1万人敏感个人信息的。
属于《促进和规范数据跨境流动规定》第三条、第四条、第五条、第六条规定情形的，从其规定。
个人信息处理者不得采取数量拆分等手段，将依法应当通过出境安全评估的个人信息通过订立标准合同的方式向境外提供。
以下情形属于个人信息出境行为：
（一）个人信息处理者将在境内运营中收集和产生的个人信息传输至境外；
（二）个人信息处理者收集和产生的个人信息存储在境内，境外的机构、组织或者个人可以查询、调取、下载、导出；
（三）符合《个人信息保护法》第三条第二款情形，在境外处理境内自然人个人信息等其他个人信息处理活动。
律师解读
《第二版》对范围的条件进行了调整，包括关键信息基础设施运营者以外的数据处理者，自当年1月1日起累计向境外提供10万人以上、不满100万人个人信息（不含敏感个人信息）、自当年1月1日起累计向境外提供不满1万人敏感个人信息的情形。同时响应了新规，对于新规第三-六条所规定的免于备案的情况及自贸区特别规定，从其规定。
二、备案方式及备案流程
第一版：
个人信息处理者应当在标准合同生效之日起10个工作日内，通过送达书面材料并附带材料电子版的方式，向所在地省级网信办备案。
第二版：
个人信息处理者应当在标准合同生效之日起10个工作日内，通过数据出境申报系统备案，系统网址为https://sjcj.cac.gov.cn。
律师解读
此前，除江苏省进行线上提交备案外，各省市多数是通过电子邮件、网盘等方式提交合同备案预审，即各省均有自己的一套标准。但第二版发布后，国家网信办统一启用网址https://sjcj.cac.gov.cn为合同备案的唯一端口，消除了各省各自要求不同，变相增加了备案困难性的弊端。
三、个人信息保护影响评估报告