新规之下，数据出境评估与备案实务工作中的难点及应对（附汇编）

前言
近期，随着《个人信息出境标准合同备案指南》（第一版）的发布，标准合同的数据出境方式相较于申报安全评估方式所需要完成的工作内容已基本趋同，另外，在监管部门审核方面，两者均要进行实质审核。只是就安全评估出境与标准合同出境在监管部门实质审核过程中要求企业的合规严苛程度以及就所提交材料体现的数据出境情况的颗粒度要求是否一致，还需要实务中进一步确定。
与此前企业预期的，认为标准合同备案只要形式审查即将已签订的标准合同提交监管机构即可完成备案程序，还是有很大出入。现两者工作内容及审核方式基本一致。
01安全评估与标准合同数据出境方式的主要差异
目前两者的工作内容差异，个人认为主要体现在：
其一：企业风险评估时，安全评估方式主要评估的是出境的数据对于国家安全、公共利益等带来的风险。而标准合同方式主要评估的是出境的数据对于个人权益的影响。
其二：在标准合同方式中，企业需要注意履行“评估境外接收方所在国家或者地区的个人信息保护政策和法规对标准合同履行的影响”义务，而且是境内数据处理者与境外数据接收方两方均需要进行影响评估即双评估。这点要求是借鉴了欧盟最新21年版标准合同即SCCs内容要求
02数据出境实务工作中的重点/难点工作以及应对
在协助企业进行数据出境的工作中（不管是安全评估出境还是标准合同出境），个人认为重点难点工作主要体现在以下三大方面。
（一）企业数据出境情况的盘点（尽职调查）
在企业数据出境涉及多个业务场景、业务系统以及复杂数据链路情况下，全面、准确的盘点上述情况，本身就是一个工作量比较庞大且不易的事情。另外，部分的盘点工作还涉及外部的第三方（如系统供应商等）以及境外接收方等情况，也会给盘点工作带来一定难度。
另外，就是在盘点工作中，如何去把握这些所需盘点情况的颗粒度，如果盘点的信息太粗，后续监管部门可能就相关情况进一步进行询问并要求提供相关证明材料。
应对：
A、前期设计并制定全面且完善的情况盘点/尽调问卷，并尽量将所盘点情况的颗粒度要求，在问卷中予以明确要求。
B、在盘点时，完善并留存好相关证明材料等工作底稿，以便后续监管部门反馈需要补充提供相关证明材料时，可直接予以提供。
（二）境外接收人沟通协调
不管是在盘点（尽调）阶段，还是说同境外接收方签订相关的法律文件/合同等阶段，均会涉及与境外接收方的沟通协调问题，让境外接收方配合数据出境工作。为了满足境内数据出境要求，境外接收方除了要花人力、时间、精力配合之外，甚至还要支出相关成本费用来完成该项配合任务。因此，会往往会出现配合进度缓慢、消极，甚至不愿意配合等情况。
就境外接收方的配合态度而言，一般来说也跟双方的关系/业务直接相关，实务中常见的典型的出境场景或者模式如下：
场景一：境内数据处理者与境外接收方同属一个集团项下的数据出境场景。比如属于总部与子公司关系等。在这种场景下，同境外接收方的沟通与协调一般会比较顺利。
场景二：境内数据处理者与境外接收方是因为供应链/业务合作关系而产生的数据出境场景。在这种情况下，需要看双方合作关系与效益，如果双方合作紧密且合作产生的效益远远大于配合成本，境外接收方一般也是会积极推动相关工作。反之，境外接收方的配合度可能就会比较消极。
场景三：境内数据处理者仅是因为使用境外服务器所产生的数据出境场景。在这种情况下，如果境外服务器企业（境外数据接收方）的中国客户有较多都有该需求情况下，一般境外服务器企业会予以配合。反之，如果仅仅个别中国客户有这样的需求的，则境外服务器企业可能会考虑双方的业务合作情况，才会决定是否配合以及配合的力度。
应对：
A、境内律师协助企业向境外接收方说明，并帮助其理解在数据出境项下的各项义务、责任以及法律后果。
B、境内处理者尽量做好、做足相关工作，以减轻境外接收方所需配合的工作量，以此增强境外接收方的配合度以及加快工作进度。
（三）企业合规整改
在所服务的目标企业数据合规体系薄弱，甚至裸奔的情况下，需协助企业去完善/建立整套数据合规体系，因此，合规整改需要的工作量以及时间等成本将会大大增加。
应对：
A、企业尽早启动数据出境工作，为后续的合规整改预留充足时间；或
B、在企业短期内没有启动数据出境工作计划时，企业优先去完善自身的数据合规体系，比如：完善管理组织体系、数据保护相关制度建设以及安全保障措施等。
最后，再谈谈现在有些企业迟迟未启动数据出境安全评估/标准合同工作的一些思虑。
有些企业认为现在的数据出境相关监管细致还不够明确，数据出境实务经验也不够成熟，万一数据出境申报/备案“无法通过”，对企业业务影响会比较大，因此企业希望等后续监管细则以及实务经验进一步完善、成熟再进行。
对于企业的上述安排，个人的看法恰恰相反。等后续监管越完善、实务经验越成熟，通过申报/备案的难度可能会进一步提升（而不是降低）。如以前的私募基金的登记与备案，在早期还是比较容易通过登记备案的。但随着细则的越来越完善，监管部门监管经验的成熟，而今要通过私募基金登记/备案越来越不容易了。简而言之，随着实践经验的丰富，监管部门也会越来越专业，对于企业申报/备案的要求也会越严苛。