最新数据跨境流动规定对企业的影响（附个人信息出境标准合同白皮书）

‍
编者按：
随着《网络安全法》《数据安全法》《个人信息保护法》这三部数据合规领域“基本法”的落地，数据出境的条件和要求均已具备了相应的规定。其中《个人信息保护法》更是明确了个人信息出境的三条基本合规路径，在中国企业“走出去”以及境外企业来华开展业务的过程中，数据出境合规义务已成为企业开展涉外业务时所应关切的重要问题。
自数据出境申报制度落地以来，已经有大量企业向国家网信办及各地网信部门提交了数据出境申报，但最后通过数据出境申报的企业仅仅是九牛一毛。从“网信北京”今年1月披露的数据来看，彼时社会向北京网信办提交正式申报的有16家单位，但最终通过率仅为12.5%，即仅有2家单位最终通过了数据出境安全评估。相对于较低的通过率，北京市数据出境的申报率更低，270余家具有数据出境需求的主体中仅有16家提交正式申报，仅占主体总数约5.93%。
可见目前数据出境安全评估通过率较低，许多企业认为申报通过难度大，仍处于观望状态。那么在数据出境项目中有哪些重要的点是需要特别关注的？
一、数据出境政策大幅调整的监管考量为何？
在过去的几十年里，国家、企业之间的竞争已经从传统的领土争端扩展到技术和数据的领域。拥有核心技术和数据的国家或企业拥有更强大的经济地位和国际话语权。互联网公司通常以其快速的更新和激烈的市场竞争而著称，它们不断努力占据市场的话语权，从而吸引大量资金和用户，以实现自身利润最大化。然而，传统制造业中的一些企业在拥有核心技术方面却已经领先该行业多年。这些企业可能看起来沉稳且不急于迎头赶上，但它们仍然保持着世界销售额榜首的地位。这是因为拥有核心技术，就等于拥有了经济和国际社会的话语权，规定正是回应这一新现实的一部分。2015年互联网发展平民化以后积累了非常多的数据，数据的价值被挖掘，数据的跨境流动便可能涉及例如数据泄露或滥用的风险。新规定的目标之一是确保数据在跨境传输过程中的安全性，以维护国家和个人的信息安全。
无论是国内企业还是国际企业，无论是国家与国家之间，那些掌握更多数据的实体都有机会主导话语权。以自媒体平台为例，拥有更多用户和内容产量的一方可以吸引更多的用户，提供更多受欢迎的内容，从而实现整体用户增长和更高的效益。因此，个体或公司逐渐掌握了平台话语权，这也包括未来在新业务领域做出决策和布局。现在，人们更多地考虑数据的价值和控制权。
国际社会在数据控制权问题上大致可以分为三个派别。首先，欧盟倾向于支持个人信息在有条件下的自由流动。与其他国家的数据管理方式有所不同，这是因为欧盟没有类似于重要数据的概念，而数据管理规定分散在各个行业的法规中。最近，大西洋地区也出现了关于跨境数据自由流动的相关讨论，而欧盟一直倡导这种方式。跨境流动有一个关键前提，在欧洲，采用小政府理念的国家和地区通常更侧重于事后处罚，以鼓励企业更严格合规。在欧洲，与国内的评估和备案制度不同，企业通常需要签署标准合同、制定章程并进行认证等。如果违规被发现，处罚非常严厉，这是欧洲监管的一个理念。然而，美国的情况可能截然不同。美国因其拥有众多核心技术，因此也积累了大量数据（核心技术的持有者通常也掌握大量数据）。
当涉及到数据出境时，必须遵循一系列严格的规定。这种立法背后的大背景可以追溯到去年的数据出境安全评估办法、今年的标准合同备案，甚至是2021年的数据安全法。这些法规确立了一个基本原则，即数据的出境不是自由无序的，它受到一定的前提和限制的约束。
二、如何准确理解新的数据出境政策？
在解读法规时，应注意法规文本的精确定义，以避免歧义。对于法规的理解，需要结合当前监管趋势，这样才能更好地把握法规的内涵。当前生效的法规可以总结如下：首先，确定数据的重要性；其次，判断是否需要暂停数据流出；最后，核实数据是否达到100万条以上。如果数据不符合以上任何条件，可以考虑选择标准合同或认证程序。
不同企业和业务模式会影响不同的选择。一些企业可能会发现标准合同更为便捷，而另一些企业可能更偏向认证。然而，需要客观地看待认证机制的成熟度和案例积累，目前这些方面仍有提升的空间，同时还需考虑成本因素。因此，多数企业在无法进行自我评估的情况下更倾向于选择标准合同。值得一提的是，标准合同中的许多方面与先前在欧盟使用的SCCs（标准合同条款）相对应，因此对于企业而言更容易接受。
我们曾遇到一个案例。客户最初未意识到他们的数据可能涉及数据出境，因此他们向中国子公司咨询，询问是否需要采取相关合规措施，因为中国颁布了新的法律。国内法务的回应是不需要，因为他们认为并不存在数据跨境传输的行为。
然而，在后续的一次培训中，客户的兄弟公司发现了他们实际上存在着跨境数据访问的情况。这是因为很多跨国企业使用全球化的系统，这些系统由国际企业在全球范围内统一管理。例如，像SAP和Office 365这样的系统通常以全球采购的方式使用，各地的子公司使用相同的系统，但在不同地区付费。这种全球系统的使用往往容易被忽视，但却可能导致数据出境的问题。
在我们的一些项目中，最初的预调研阶段明确了特定的数据出境场景和系统。然而，一旦我们进入项目实施阶段，我们常常会发现一些额外的情况。首先，一些系统可能是由海外提供的，即使最初未被列入数据出境计划。其次，有些系统虽然在国内采购或自建，但由于全球IT管理的需要，其运维和支持可能涉及跨境合作。例如，一家公司可能在全球范围内设有技术运维保障中心，以确保在不同时区都有专业人员提供24小时的运维支持。
尽管某些系统并非最初为海外使用，而是在国内采购或自建的，但它们的整体运维却可能牵涉到跨境操作，这也常常需要进行风险评估。因此，许多客户在咨询我们时通常会提到一些担忧，例如他们的数据促进计划需要如何实施，需要多长时间，以及相关费用预估等问题。对于这类客户，我们通常会坚持向他们强调，单纯的数据内容是无法进行全面评估的。这是因为数据内容只是数据合规评估中的一个要素，我们还需要评估其他方面，例如你的系统、数据出境的场景和数据流通链路。
以员工信息为例，一家公司可能只有100名员工，或者可能有1000名员工，但他们的数据可能以不同的方式流出。首先，公司可能内部使用员工管理系统，如OA系统。此外，他们还可能使用其他系统，如报销和请假管理系统。此外，员工在日常操作中还可能涉及其他系统，用于辅助生产流程，如门禁、打卡、工业设备控制等。因此，员工信息可能以多种方式流出公司。这些系统不能被简单地视为一个整体，因为每个系统的安全性、托管服务器情况、安全性能以及接收方的情况都可能各不相同。
因此，仅仅了解员工数量的初期需求沟通是不准确的。有些公司的员工数量可能很少，但他们的数据出境链路可能相当复杂。在我们曾经处理的项目中，我们遇到了一些极端的情况，有些公司拥有5000多名员工，可能需要将近70个不同的系统来管理数据，包括门禁、打卡、工业设备控制等。所有这些都需要进行数据出境，因此链路非常复杂。这些情况在以往的项目中经常出现。
根据《征求意见稿》第一至七条规定，涉及数据出境的多个场景可豁免前置程序，即不需要申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。其第十一条还明确，“《数据出境安全评估办法》《个人信息出境标准合同办法》等相关规定与本规定不一致的，按照本规定执行”。首先，需要明确，当前新规定尚处于征求意见稿的阶段。为了更好地理解这一新规，我们可以将新规分为不同类别。
第一个类别是指那些不需要特殊监管的情况。在这里，特殊监管是指需要进行标准合同备案认证或安全评估的情形。《征求意见稿》第四条则规定了三类不需要申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证的情形。包含：（一）为订立、履行个人作为一方当事人的合同所必需，如跨境购物、跨境汇款、机票酒店预订、签证办理等，必须向境外提供个人信息的；（二）按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理，必须向境外提供内部员工个人信息的；（三）紧急情况下为保护自然人的生命健康和财产安全等，必须向境外提供个人信息的。
首先，让我们明确定义所涉及的术语。在这个上下文中，“豁免”指的是被排除在特殊监管要求之外的情况。这些特殊监管要求通常包括“一方当事人合同”和“劳动规章”。为了更清晰地阐述“必需性”，可以通过具体案例来加以说明，以强调在某些情况下为什么需要制定规章制度并签署集体合同。考虑到劳动人事的情况，特别是在全球范围内使用全球化的人力资源管理系统（例如，Office 365）的情况。在这种情况下，这种系统可能是必需的，因为它涉及到文档共享和其他功能。然而，这里有一个重要的前提条件，即需要建立规章制度，并签署一方当事人合同或集体合同。这三个条件的满足是必要的，这一点不容忽视。
关于员工个人信息出境，特殊监管情况下出现了一些例外。这些特殊监管要求包括备案、认证以及安全评估，但并非所有情况都适用。有时，在一些项目中，需要收集员工的家庭关系或紧急联系人信息。然而，这些紧急联系人信息实际上不需要遵守出境的特殊监管要求。这是因为这些紧急联系人信息的主要目的是提供紧急联系时的便利。在这种情况下，本地法人主体会直接与紧急联系人联系，而海外公司通常不涉及这一过程。因此，这类信息被视为“非必要”，不受特殊监管的规定的约束。这一情况举例说明了在某些情景下，特殊监管规定可能不适用于特定类型的员工信息。
有些公司在招聘和人事管理过程中会将员工简历等数据存储在海外共享盘上，这个共享盘通常是为了整体人事管理数据的统一性而建立的。尽管在管理方面使用这些数据可能很方便，但需要明确，这并不意味着这些数据需要跨境传输。另外需要强调的是，虽然这些数据在管理流程中可能是必要的，但在跨境传输方面却可能没有同样的必要性。因此，在解释和理解相关条款时，必须理顺这一问题，以确保三个条件（数据必要性、管理方便性以及传输必要性）都得到充分的考虑。
三、企业应对新政策，如何开展下一步的数据出境合规工作？
01、合同内容的理解
在新规实施之前值得注意的是，一些企业在其采购的服务中可能并不包含新规所要求的内容。这意味着，一旦新规生效，企业可能需要对其整个采购流程进行调整和改进，因此需要特别关注此问题。
1、个人作为一方当事人
另外，我们需要考虑在新规中关于的情景。例如，对于涉及跨境机票和酒店预订的情况，通常不是个人直接进行预订，而是通过统一的机构或中介进行预订，然后再由该机构将订单外包给海外供应商。在这种情况下，个人并不被视为合同的一方当事人。因此，需要明确界定哪些情景符合“个人作为一方当事人”的要求，以便遵守新规。
2、跨境行为
在跨境合同执行的过程中，实际的跨境行为涉及国内公司和海外公司之间的合同关系，同时国内公司与其国内相关方之间也存在法律关系。因此，我们需要明晰这一点，其中一个关键前提是，在处理合同条款时，不同人员，尤其是非法律人员，可能会有不同的理解方式。
值得注意的是，在一些项目中，负责管理合同的人员可能是IT人员、HR或其他行政人员，他们可能没有像法律专业人员那样严密地审查法律条款，而是更加注重实际操作。这种差异可能导致在法律条款的解释和执行上出现问题。因此，我们需要明确交流和协作，以确保所有相关方都理解并遵守合同条款。
3、重要数据的认定
另一个常见问题涉及到重要数据的认定，以及与相关法规的一致性。新规中的一些概念和政策可能需要更明确的解释。例如，虽然一些行业已经制定了重要数据目录，但其他行业尚未涵盖。
新规提到，如果您未收到相关部门的通知，您可以不必将数据视为重要数据进行申报。这突出了通知的重要性，它将决定您的企业是否需要对特定数据进行申报。需要注意的是，未收到通知并不代表您企业没有重要数据。也许目前您手头的重要数据较少，或者对业务影响尚不明显，因此监管部门尚未联系您或发出通知。在这种情况下，您不必进行针对这些数据的安全评估。但这并不意味着您可以免除在中国大陆地区对这些重要数据的合规义务。重要的是要理解，未收到通知只表示您无需以重要数据的身份来提交安全评估。这并不等同于您不拥有重要数据。通知的到来或者监管部门的行动将决定是否需要对特定数据进行申报。在这方面，需要区分这两种情况，以确保对相关义务的理解是正确的。
4、员工数据管理
员工数据管理也需要特别关注一些情景。首先，应聘者和候选人是一个需要考虑的群体。另外，外派员工和外包员工也引发了一些疑问，因为目前的规定对于这些情况并不是很明确。我们计划将这些问题反馈给相关部门以获得更明确的指导。
此外，有些情况下数据不需要进行特殊监管。例如，与个人信息和重要数据无关的数据可能不受某些规定的约束。此外，对于在境外收集的数据，在其传输到境内之前，已经由境外公司收集和提供，这种情况可能可以排除在相关的申报范围之外。
02、数据收集
在数据收集中，还有一种相对特殊的情况需要考虑。这种情况下，业务直接从国内进行信息收集，但背后的运营主体却是海外的公司。针对这种情况，企业有不同的观点。一些企业认为，由于数据直接从国内收集，无需特殊监管。然而，目前关于这个问题存在两种不同的观点，导致争议。
让我们考虑一种可能的情景：如果允许海外公司直接收集个人信息而不受监管，未来可能会发生什么趋势？这个趋势可能是，所有涉及数据跨境传输的企业都会倾向于由海外实体来执行信息收集，以规避国内法律监管。然而，这显然与监管的初衷相悖。如果企业未来为了规避监管义务而普遍选择由海外公司直接收集信息，那将明显与监管目标背道而驰。
在境内数据收集方面，我们需要明确“属地”和“属人”原则之间的区别。属地原则意味着数据收集行为发生在境内，而属人原则是指向境内的个体进行数据收集。这两者之间存在重要区别，正如之前提到的两个案例所示。一种情况是海外实体直接从境内进行数据收集，这可能会面临一些问题，例如不清楚向哪个部门报备。另一种情况是国外实体首先进行数据收集，然后将数据传输到境内实体，对于这种情况，目前不需要特殊监管。这些区别是当前讨论的热点问题。
此外，关于是否需要获得单独同意，根据新规的要求目前是不需要的。这一决定背后有一定的背景。在过去，个人信息保护法中关于同意和单独同意的理解存在一段时间的争议。例如，如果信息收集是订立合同所必需的，或者是从事人力资源所必需的，通常不需要获得单独同意。
在数据收集方面，一个常见问题是在一般情况下是否需要取得数据主体的同意，以及在特定情况下是否需要获得单独的明示同意。以前，这个问题在某些案例中引起了广泛讨论，特别是在处理快递信息等情况时，人们认为这种数据的收集属于合同履行所必需，但是否仍需要单独的同意？
新的规定在这个问题上提供了明确的回答。根据新规，如果在一般情况下数据收集不需要同意，那么在后续的特定情况下，根据新规，也不需要单独的明示同意。
03、尽职调查与合规评估
在遵守法规方面，企业需要履行尽职调查和合规评估的义务，以确保其数据处理活动合乎法律要求。然而，有时企业在证明某些数据处理不需要申报时会面临挑战。举例来说，企业可能认为他们的数据处理不涉及个人信息的出境，因此不需要进行特定的报告。
但当海外法务部要求国内法务部提供书面解释时，事情变得更加复杂。企业的不同部门，如法务部、技术部、行政和业务部门，通常仅掌握关于数据处理的片面信息。因此，企业一开始可能认为他们不需要报告，但在书面解释方面，他们可能会遇到挑战，因为他们不能提供全面的证明。
为了解决这一问题，企业需要在内部建立更好的信息共享和沟通机制，以确保各个部门了解合规评估的要求，并能够提供适当的书面解释。这将有助于提高合规评估的效率和透明度。
对于如何评估合规风险，特别是在使用表单尽调和一对一访谈作为评估工具的情况下。从第三方服务机构和企业的角度来看，存在不同的担忧和需求。
对于第三方服务机构，他们通常会依赖于客户的反馈和提供的信息来评估风险。这种方法的风险相对较小，因为它是基于客户所提供的数据和信息。然而，对于企业来说，情况可能更为复杂。企业可能会感到他们已经完整地执行了合规评估流程，但他们对流程和结果是否可信不确定。一些企业可能发现，第三方机构提供的合规评估报告并不包括他们的盖章。在这种情况下，第三方服务机构实际上只是提供了代为书写报告的服务，这意味着他们仅仅提供了形式上的报告。这可能会引发一系列问题。首先，这种报告的真实性和可信度可能会受到质疑。其次，企业可能需要更全面地了解其合规情况，而不仅仅是为了满足海外监管要求而获得一份形式上的报告。
在项目初期，企业和第三方服务提供商需要清晰地明确需求。如果这一点不得当，会导致需求和供给之间的差距。在以往的一些未通过的案例中，这种情况非常常见，即形式上的尽调没有转化为实质性尽调。这会导致信息差，进而影响后续的顺利通过。信息差对项目的影响非常重要，因为形式性的尽调通常会包含一些套话，这使得实质性的合规评估变得困难。企业需要更全面地了解其合规情况，而不仅仅是迎合监管要求。
在监管审查中，经验丰富的审查团队通常具有深厚的技术、法律合规和行业知识。他们经常能够识别出许多潜在问题。然而，企业在进行尽调时可能未充分涉及这些问题，可能导致问题被忽视。一旦审查团队指出问题，企业可能需要重新进行尽调，提供额外的材料以满足监管要求。这可能导致企业陷入一种不断补充材料、审查退回、再次增加材料的循环之中。这不仅拖延了项目的进展，也增加了企业的不确定性。
04、1万人及以下个人信息的豁免情况
《征求意见稿》第五条指出，预计一年内向境外提供不满1万人个人信息的，不需要申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。但是，基于个人同意向境外提供个人信息的，应当取得个人信息主体同意。第六条提出，预计一年内向境外提供1万人以上、不满100万人个人信息，与境外接收方订立个人信息出境标准合同并向省级网信部门备案或者通过个人信息保护认证的，可以不申报数据出境安全评估；向境外提供100万人以上个人信息的，应当申报数据出境安全评估。但是，基于个人同意向境外提供个人信息的，应当取得个人信息主体同意。
关于1万人及以下企业的豁免情况，我们需要考虑两个关键问题。
首先，我们需要弄清楚这种数据出境是持续性的，还是只针对新的1万人。对于某些企业，他们在2022年1月1日之前已经出了100万份数据，因为他们在国内的业务已经经营多年。然而，从去年的1月1日到现在，他们新增的数据并不多。这在某种程度上取决于企业所在行业，特别是像保险或人力资源招聘方面。以前的数据很大一部分仍然保持活跃，但从去年到现在新增的数据可能不足以满足新的评估要求。然而，需要考虑的另一个问题是，尽管新增数据量不大，但以前出去的那些数据中可能包含了重复的信息。
与此同时，在员工数据的情境中，我们经常遇到一个复杂的问题，即关于数据出境的计算。让我们通过一个容易理解的例子来说明这个问题。有一家制造业大工厂，该工厂在2022年1月1日之前已经出境了20万份员工数据。这家企业的员工队伍相对稳定，制造业通常以较低的员工流动性为特点，这意味着很多员工已经在这里工作了十几年甚至二十年。这些员工的数据涵盖了各种信息，包括家庭关系、紧急联系人、社保、公积金、工资等。尽管这些数据在2022年1月1日之前已经出去，但去年和今年之间不断增加了新信息。这带来了一个问题：在我们的评估范围内，我们是否应该考虑这些在2022年1月1日之前出去的数据，因为这些数据的一部分仍然在活跃使用中。
有一些企业之所以保留在2022年1月1日之前出去的数据，是因为员工可能会回流，或者以后可能会有法律争议。然而，有些数据虽然已出境，但实际上没有发生太多的互动。这些数据在出境后没有经常更新或有新信息的添加。这种情况下，我们会根据具体情况决定是否将这些数据纳入评估范围。
05、对企业的减负效应
如果一家公司目前符合新规规定的豁免条件，是否意味着他们可以免除标准合同、安全评估和个人信息保护认证的义务，从而回到最初的数据出境方式，即不受太多监管。这个问题的解答似乎存在一些误导，因为如果是这种情况，网信办可能会更直截了当地发布一项决定，明确规定标准合同备案，对于1万以下的情形都被豁免，而不需要一一解释。
为了更好地理解这个问题，让我们明确一些情况。首先，新规中的豁免条件是相对严格的，通常涉及到小型规模的数据处理和特定领域。在这些条件下，公司可能免于执行标准合同等要求。但这并不意味着公司完全无需关注数据保护。即便符合豁免条件，也需要遵循一些基本的数据保护措施。
如果公司满足了豁免条件，他们仍然需要进行内部数据管理，确保合法、安全、透明地处理个人信息。此外，即使不需要标准合同备案，公司仍然需要建立适当的数据保护政策和程序，以响应潜在的数据泄露或侵犯事件。所以，虽然标准合同备案和其他特定要求可能会减少，但仍需要保持对数据保护的高度警惕。
新规的出台对企业来说是一个利好消息，因为它在某种程度上减轻了企业的负担。然而，重要的是要明确，这并不意味着企业可以免除其在个人信息出境合规方面的义务。这些合规义务在《个人信息保护法》中已经明确定义，因此企业必须遵守这些法律规定，无法选择性地遵从。
新规主要对企业在递交材料方面减轻了负担。以前，可能需要向监管部门提交大量材料，而现在则有了更灵活的方式。企业可以将个人信息保护影响评估留存，而其他合规文件则可以正常提交。对于大部分企业，这意味着它们无需进行繁琐的材料递交，只需要确保合规文档保留备查即可。这样的改进将有效减少企业的行政负担。
06、标准合同继续签订
在标准合同出台之前，企业也需要签订合同。这是因为《个人信息保护法》要求数据的接收方只能在约定的范围内处理相应的数据，包括数据的目的、方式、范围等等。即使是集团公司的母子公司，一旦问题出现，它们被视为独立的公司主体。因此，确保你的权利和义务得到保障需要透过合同，而不是仅仅依赖心理上的默契。新规强调了这一点，强调合同和内部规章制度的必要性。
07、出境申报
在项目启动的初期，存在一个普遍的问题，即企业对法律法规的认知以及对自身需求的认知往往存在不明确或有偏差。举个例子，我们常常遇到一些企业，当他们咨询时，仅提供员工和客户的数量，然而，他们却未明确员工数据的字段、数据出境的具体系统以及数据传输链路等关键细节。他们可能误认为，提供数据的数量就足够了。这个问题背后存在着更深层次的挑战，需要更全面的理解。企业不仅需要知道其拥有多少员工和客户，还需要了解员工数据的具体内容，数据是通过哪些系统生成的，通过哪些链路出去。只有这样，企业才能更好地满足合规要求。
数据与一般资产存在显著差异。在企业进行资产盘点时，通常只需了解有多少不动产、动产等，然后进行估值和风险评估。然而，数据是一种特殊的资产，其可复制性和泄露后难以溯源是其特征。此外，数据可能通过多种系统和链路出去，且可能由多个海外接收方接收。因此，尽管涉及的是相同的个人数据，但在不同的情境中，风险差异可能极大。
在项目初期，存在一个常见的问题，即企业往往只注重数据的数量，而忽略了系统和链路的不确定性。如果您的企业计划进行此类项目或与外部服务提供商讨论服务内容，建议您首先详细了解系统场景和数据传输链路，以便更清晰地明确需求。
此外，如果报价团队仅要求提供数据数量，您还应检查合同是否包括对系统和场景的任何限制，因为这可能会涉及额外的费用，如果未来需要增加场景或系统。在项目启动初期，大多数企业往往在确定预算时犯了这个错误。他们可能根据最初的预算中标，但随着项目的进行，需求的不断增加会导致再次申请预算非常困难，项目进展受阻。
随着数据出境项目逐渐成熟，希望越来越多的企业能够避免这些常见问题。对于第三方服务机构，如果企业只提供数据的数量，它们通常只能根据数量来报价，而后续新增的情况可能会另外收费。因此，如果您需要明确的服务范围，建议在项目启动前与服务提供商详细讨论。
08、数据处理
在许多项目中，信息并不是传统的个人信息，如姓名、身份证号、地址等，而可能是一些间接可识别的信息。这种情况可能导致项目的卡点。
一个需要考虑的问题是，您的数据申报主体是否被认定为数据处理者。只有在您作为数据处理者的情况下，才需要执行相应的数据申报程序。然而，这个问题在国际和国内法规中可能有不同的解释。
在欧盟的法规中，有明确的处理者和受托方之分，而在国内法规中，这个区分可能不那么明确。这意味着，尽管您可能持有数据，但您不一定被视为数据的处理者，而只是一个受托方。
另一个关键因素是您的业务和系统情况。在项目尽调的过程中，部门或企业通常需要清晰地描述其业务运作方式。因为它们直接影响到为何您需要哪些数据以及如何保护这些数据。如果仅关注数据的数量而不了解业务和系统情况，可能会在准备安全评估报告时遇到困难。
09、数据接收方
对于这些境外接收方，主要来自发达国家的企业，他们对数据合规性非常重视。这是因为这些企业通常更害怕法律处罚，同时具有较高的合规意识。这些国家的保护政策和法规已经非常成熟，通常已经建立了完善的合规框架。因此，对于选择进行数据合规项目的企业来说，与这些发达国家的数据接收方合作相对容易。
在考虑各地的数据保护政策法规制度时，除了直接陈述各地法规对合规的要求外，横向对比也非常重要。例如，不同国家对数据保护法律的实施时间是早还是晚？法规的严格程度如何？当前的执法情况如何？这些横向对比可以提供更有说服力的信息。否则，如果只介绍各地的监管机构和法规，可能无法提供足够的参考价值。
10、总结
关于新规的处理方式，我们总结了四个关键阶段或原则，以引导您在新规下采取适当的措施：
评估：首先，需要评估当前项目是否有可能在新规的豁免范围内。如果存在这样的可能性，建议与当地监管部门进行沟通，以确定是继续按照旧规继续报告，还是等待新规的发布。
继续前期工作：即使项目可能符合新规的豁免范围，需要明确的是，通常情况下，隐私影响评估（PIA）报告的准备不在豁免范围内。因此，前期的调查、合规评估、整改工作以及PIA报告的准备可以继续进行，不受新规的影响。
等待新规：如果新规预计在规定的截止日期前出台，您可以等待新规出台后，按照新规的要求进行后续处理。
根据情况处理：如果新规在截止日期前尚未发布，我们建议在截止日期前按照现行规定完成相应的报告，考虑到报告的时效性和现行规定的有效性。
处理境外存在多个接收方的情况：当您的业务特点导致数据交付给多家海外公司时，需要明确这些接收方的角色。例如，可能存在国内公司A将数据传输给国内公司B，但实际上业务是与国内公司C合作的，只是公司C再将数据转发给B，为了方便起见。在这种情况下，需要明确真正的境外接收方，以便确定其在数据处理中的责任。
针对非结构化数据的访谈和清理：在这个领域，我们不能过分依赖工具，因为工具通常存在一定的缺陷。目前，由于申报的企业数量不多，案例样本也相对稀缺，因此现有的工具仍在不断探索和改进中。因此，我们需要在工具和人工之间找到平衡，这必然需要一个过渡期。