修改对比及要点速览 |《个人信息出境标准合同办法》发布

2023年2月24日，国家网信办发布《个人信息出境标准合同办法》（以下简称“《办法》”）及其附件《个人信息出境标准合同》（以下简称“《标准合同》”），自2023年6月1日起施行。《办法》施行前已经开展的个人信息出境活动，不符合《办法》规定的，应自施行之日起6个月内完成整改。
为了帮助企业全面理解标准合同内容以及其适用要求，我们于本篇推送梳理了《办法》及《标准合同》的修改内容，并将在后续推送中，对《办法》、《标准合同》及其适用要求进行详细解读，并提出企业应对的To-Do-List，敬请关注。
1. 《办法》修改重点
国家网信办曾于2022年6月30日发布《个人信息出境标准合同规定（征求意见稿）》（以下简称“征求意见稿”）。与征求意见稿相比，《办法》重点修改了如下内容（完整版对比稿请见后文）。
（1）适用范围上，进一步强调标准合同与数据出境安全评估的两层次适用规则：新增款项禁止个人信息处理者采取数量拆分等手段，规避数据出境安全评估；增加“法律、行政法规或者国家网信部门另有规定的，从其规定”例外规定。（《办法》第四条）
（2）明确《标准合同》不可修改：明确标准合同内容须严格按照《办法》附件《标准合同》订立，不可修改，但合同双方可以约定与《标准合同》不相冲突的其他条款；同时，国家网信部门有权对《标准合同》文本进行调整。（《办法》第六条）
（3）细化《标准合同》重新备案的附随义务：与《办法》第七条《标准合同》备案时需提交的材料（《标准合同》及个人信息保护影响评估报告）相衔接，明确标准合同有效期内发生重大变化需重新备案时，个人信息处理者应重新开展个人信息保护影响评估，补充或者重新订立标准合同。（《办法》第七条、第八条）
（4）新增6个月整改期限：明确《办法》自2023年6月1日起施行。《办法》施行前已经开展的个人信息出境活动，不符合《办法》规定的，应自施行之日起6个月内完成整改。（《办法》第十三条）
（5）缓和法律责任：将个人信息出境活动存在较大风险或者发生个人信息安全事件时，个人信息处理者可能面临的法律后果，从省级以上网信部门应当书面通知个人信息处理者“终止个人信息出境活动”且个人信息处理者应当在收到通知后“立即终止个人信息出境活动”修改为：省级以上网信部门“可以对个人信息处理者进行约谈”，个人信息处理者应当“按照要求整改，消除隐患”。（《办法》第十一条）
2. 《标准合同》修改重点
如前述，根据《办法》第六条，个人信息处理者需严格按照《标准合同》订立数据跨境传输合同，在该合同生效后，即可开展个人信息跨境传输活动。此次生效版《标准合同》较征求意见稿重点修改了如下内容（完整版对比稿请见后文）。
（1）新增列举《中华人民共和国民事诉讼法》作为适用法律法规。在第一条“术语定义”下于“相关法律法规”中新增《中华人民共和国民事诉讼法》。
（2）调整合同双方协作义务，进一步实现以境内数据处理者为抓手，监管境外个人信息处理活动。如第二条“个人信息处理者的义务”第（七）项删除原合同双方均同意的情况下，可由境外接收方答复来自监管机构关于境外接收方的个人信息处理活动的询问的例外情形，明确仅能通过境内数据处理者答复监管询问；第四条“境外接收方所在国家或者地区个人信息保护政策和法规对合同履行的影响”下新增境外接收方接到所在国家或者地区的政府部门、司法机构关于提供本合同项下的个人信息要求时，应当立即通知个人信息处理者的义务。
（3）明确单独同意仅适用于以同意为合法性基础的场景。于第二条“个人信息处理者的义务”第（三）项下明确单独同意仅适用于以同意为合法性基础的场景，并同步调整第三条“境外接收方的义务”第（一）项等多处相关内容。
（4）灵活义务履行方式，增加实操性。如第二条“个人信息处理者的义务”第（九）项及第三条“境外接收方的义务”第（三）项将对于涉及商业秘密等内容合同进行“遮蔽处理”的义务调整为在不影响个人信息主体理解的前提下，“对本合同副本相关内容进行适当处理”；如第三条“境外接收方的义务”第（五）项将原境外接收方对超出存储期限的个人信息可采取删除或匿名化处理的约定调整为“应当删除个人信息（包括所有备份）”“如删除个人信息从技术上难以实现的，应当停止除存储和采取必要的安全保护措施之外的处理”，并将受托处理个人信息的境外接收方应在删除个人信息后，向数据处理者提供审计报告的义务调整为“向个人信息处理者提供书面说明”。
（5）对标《个人信息保护法》等适用法律法规调整境外接收方的合同权利与义务，以实现同等保护标准。如在第三条“境外接收方的义务”下新增第（二）项，明确境外接收方受委托处理个人信息时，不得超出与个人信息处理者约定的处理目的、处理方式等处理个人信息；于第（四）项新增要求境外接收方采取对个人权益影响最小的方式处理个人信息。
（6）调整个人信息主体就合同争议行使第三方受益人权利的法律依据。第六条“救济”第（四）项将“解决依据为中华人民共和国相关法律法规”修改为“个人信息主体选择适用中华人民共和国相关法律法规的，从其选择”。
（7）调整合同解除情形。于第七条“合同解除”下新增因境外接收方所在国或地区原因导致无法履约的合同解除情形；删除境外接收方破产、解散或清算及因监管机构原因导致的合同解除的情形。
（8）调整双方违约责任，于第八条“违约责任”下删除“双方之间的责任限于非违约方所遭受的损失”“个人信息处理者应就境外接收方因违反本合同而对个人信息主体造成的任何物质和非物质损失向个人信息主体负责，个人信息主体有权向其主张损害赔偿责任”等约定；并增加明确了《标准合同》项下的连带责任内涵（对外连带，对内按份）。
（9）附录一“个人信息出境说明”项目调整。删除个人信息主体类别，将“传输个人信息的数量”调整为“出境个人信息的规模”。
文档对比