《个人信息出境安全评估办法》的流程改进建议：DPO社群的现场讨论
对近期公开征求意见的《个人信息出境安全评估办法（征求意见稿）》，数据保护官（DPO）社群与阿里巴巴数据安全研究中心于6月28日联合举办了一次沙龙集中讨论。
以下是沙龙的现场情况：
以下是DPO社群在现场讨论中的部分认识：
《个人信息出境安全评估办法（征求意见稿）》（以下简称“征求意见稿”）针对网络运营者提出了个人信息出境安全评估要求。“征求意见稿”文本内容按照安全评估的全流程逐步展开，如下图。
“征求意见稿”的制度设计，无论是对合同、个人信息出境安全风险及安全保障措施分析报告、还是省级网信部门开展评估的重点等，均强调了个人信息流出国境后持续对个人合法合法权益的保护。【具体分析见：解析《个人信息出境安全评估办法（征求意见稿）》实体保护规则背后的主要思路】对此监管目标，DPO社群十分认同。
DPO社群同时认为：国家动用公权力来保护不同类型数据，其核心诉求肯定有所不同：
DPO社群认为：个人信息出境安全，主要是避免出于“经济目的”为导向的数据泄露和滥用事件；重要数据出境，主要是避免出于“政治和安全目的”为导向的数据泄露和滥用事件。
既然个人信息和重要数据出境安全评估所要防范的风险事件有着本质上的不同，出境安全评估的设计也应体现不同的理念、重点、强调。防范性质不同的数据安全事件，采取的手段自然也就不同。对个人信息出境监管来说，制度核心应当是通过安全评估，反向激励企业在个人信息出境时，真正地承担起责任（accountability原则），管控数据出境链条中各合作方的行为。而对重要数据出境来说，因为面对的是以“政治和安全目的”的攻击，就算企业承担了责任，也经常无济于事。
目前的“征求意见稿”中，作出了“网络运营者申报”==>“省级网信部门评估合格后批准”的设计，在实践中很可能无法起到上述激励作用。相反，企业中负责数据安全和合规的部门，事实上可以将“锅”甩给省级网信部门：原本面对业务部门开展经营的诉求，企业中的数据安全和合规部门本来是站在他们“对立面”，时常要踩刹车；但现在的申报批准制，相当于政府部门承担了原本企业中数据安全和合规的部门“踩刹车”的责任，原本企业中不同部门之间的“制衡”就不复存在；在这样的制度设计中，企业中数据安全和合规的部门的最佳策略肯定是和业务部门站在一起，对业务诉求一律开绿灯，事事申报。申请不过，是监管的责任；申请过了，如果最终出了任何数据安全问题，也是监管的责任。
DPO社群认为：企业天然就具有开展业务获得经济利益的诉求。当下，在全球都开始重视数据安全保护的情况下，正规运营的企业无论高层到一线，均认识到企业加强数据安全和个人信息保护工作，已经是不可逆转的趋势。因此，政府开展包括出境安全评估在内的数据安全保护制度设计，最重要的是让企业意识到：“没有这个金刚钻，就别揽这个瓷器活”。
从这个角度出发，公号君在DPO社群的讨论基础上，提出了符合“权责一致原则”的个人信息出境安全评估的制度设计。该设计不代表任何组织的官方立场，仅供各界参考：
首先，综合实际情况，存在以下几种无需备案的情形：
出于维护个人信息主体或其他个人的生命、财产等重大合法权益所必需；
履行境内法律法规规定的义务相关的；
由个人主动发起，且境外数据接收方为数据实际出境过程中唯一或主要的数据控制者的；
【重点说明1：此种情形主要包括个人直接登录境外网站或应用以购买商品或服务，例如买机票、订酒店等；但不包括以下情形：境内网络运营者平台作为中介，个人通过该中介服务购买了境外的商品或服务。在此情形中，境内网络运营者平台和境外数据接收方同为数据控制者。因此，境内平台与境外数据接收方的商业合作模式和数据流动模式应进行备案。
重点说明2：同样起到上述目的的另外一种可能的表述是：由个人主动发起的数据出境活动的必需的，无需备案；但在数据出境过程中为提供该数据出境提供技术支持和协助的第三方平台，应就数据出境技术支持和协助的安全性进行自评估并备案。】
个人主动拨打电话，以及发送短信、传真、电子邮件等；
涉及已经合法公开的个人信息或个人自行公开的个人信息；
其次，境内的数据发送方在其自行决定的具体数据跨境业务启动日期，提前二十日向省级网信部门提交材料，进行备案。提交的材料包括：
备案表；
数据出境相关的合同条款，或专门的数据出境合同；【重点说明：业务合作合同中涉及企业大量的商业秘密。建议向仅仅备案与数据出境相关的具体合同条款；或者作为业务合作合同附件的专门就数据出境作出约定的协议文本。业务合作中会对数据出境安全造成影响的因素，企业会在“个人信息出境安全风险及安全保障措施分析报告”作出披露并开展风险分析。】
个人信息出境安全风险及安全保障措施分析报告；
随后，数据发送方备案后二十日内未接到省级网信部门的通知，可自行启动数据跨境业务。如果省级网信部门收到备案材料二十日内，发现特定企业所开展的数据出境业务有可能存在以下情形的，省级网信部门通知该数据发送方，并组织专家或技术力量进行安全评估。安全评估启动情形如下：
存在个人合法权益无法保障的风险；
存在损害国家安全、社会公共利益的风险；
国家有关部门认定的其他风险；
重点说明：
从企业的角度来看
如此制度设计的好处在于给了企业非常强的数据安全和合规激励。即，如果企业在选择境外业务合作伙伴、设计相关合同或条款等方面做出足够的努力，提供了足够的安全水平，并且就准备了一目了然、令人信服的个人信息出境安全风险及安全保障措施分析报告，那业务开展就能有比较大的确定性和可控性，特别是业务部门不用等待政府部门的“绿灯”，才能开展业务——只要在具体业务启动提前二十日提交备案材料，随后就能如期开展与境外的合作。相反如果某个企业对数据出境的安全“漫不经心”，随意选择合作伙伴，且准备的材料不充分，自然政府部门将启动评估，合作将不得不作出显著调整，甚至于中止。
从省级网信部门的角度来看
如此的制度设计，避免了省级网信部门可能需要承担原本由企业内部数据安全和合规部门所应该承担的职责。企业有非常强的动力去选择合作伙伴以及进行相关的条款设计。并且，企业在提供“个人信息出境安全风险及安全保障措施分析报告”时，有动力做到详细、周全，免去了省级网信部门开展调查、问询等大量的获取信息的成本。更重要的是，这样的制度设计给了省级网信部门“能进能退”的自主空间。且根据外部形势变化和风险的演进，省级网信部门能够灵活地“拧紧”或者“放松”数据出境的“闸口”。
对于备案系统的设计
对于备案系统及在备案系统中提交的文件，可进一步参考《具有舆论属性或社会动员能力的互联网信息服务的安全评估报告（模板）》，主要包含以下事项：
开展数据出境评估的情形【例如：新数据出境安全评估、两年后的再评估、重大变更后的重新评估等】;
数据发送方和接收方安全负责人及安全管理机构设立情况；
数据出境安全风险分析及采取的控制措施情况分析；
数据出境评估合同的情况【例如，使用的是标准合同，或者使用的是其他类型合同。DPO社群期待：全国性网络安全标准化组织或者行业协会能够制定符合本办法要求的“数据出境示范合同”，并获得国家网信部门的同意】
数据出境自评估记录保存情况。
以上仅反映了DPO沙龙现场讨论的部分内容，同时限于篇幅原因，公号君没有提供具体条文的修改建议。
数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已经超过200人。关于DPO社群和沙龙更多的情况如下：
DPO社群成果
线下沙龙实录见：
线上沙龙见：
时评见：
DPO社群成员观点