《数据出境安全评估办法》正式发布，倒计时开始！

将时间倒回至5年前，彼时《网络安全法》刚刚生效，大家虽对关键信息基础设施这个概念还比较陌生，但都对附随其的数据本地化要求及出境安全评估非常关注。那时就有种说法，出境的要求要在半年内落地。此后，经历了相关国标的起草和难产、 新草案的深夜发布、安全评估试点等等，《数据出境安全评估办法》终于在今日正式发布【数据出境安全评估办法】，安全评估要求要在半年整改期内落地。

在笔者看来，5年来安全评估的主旨和根本思路一脉相承，并未发生实质性变化；安全评估看似特殊，但实际上它的每一块拼图都可以在国际上找到对应的规则和要求。也就是说，一方面安全评估和国际数据出境规则普遍兼容，另一方面，国际经验也对企业落地安全评估落地提供借鉴；在这五年内，企业侧自发探索安全评估落地方案或参与试点项目，做了很多有益的尝试。考虑到上述安全评估规则立法思路的延续性，这些经验对今天规则的落地也是非常有帮助的。综上，对5年来各个过程稿的梳理分析、国际经验借鉴以及企业尝试的总结，可以帮助我们更好地理解新规及准备落地方案，而这也是笔者希望通过后续的一系列文章供各位批评指正的。本文作为这一系列文章的第一篇，希望回到规则本身，一方面通过比较今日新规与上一版的文本，看看在最后时刻规则有哪些重要调整；另一方面基于新规，探讨下在接下来六个月整改期里优先级最高的几项工作。

一、最后时刻的变化，Last but not least

2022年7月发布版和2021年10月版的对照表

2021年10月版	2022年7月发布版	备注
第一条 为了规范数据出境活动，保护个人信息权益，维护国家安全和社会公共利益，促进数据跨境安全、自由流动，根据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》等法律法规，制定本办法。	第一条为了规范数据出境活动，保护个人信息权益，维护国家安全和社会公共利益，促进数据跨境安全、自由流动，根据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》等法律法规，制定本办法。
第二条 数据处理者向境外提供在中华人民共和国境内运营中收集和产生的重要数据和依法应当进行安全评估的个人信息，应当按照本办法的规定进行安全评估；法律、行政法规另有规定的，依照其规定。	第二条数据处理者向境外提供在中华人民共和国境内运营中收集和产生的重要数据和依法应当进行安全评估的个人信息的安全评估，应当按照本办法的规定进行安全评估适用本办法。法律、行政法规另有规定的，依照其规定。
第三条 数据出境安全评估坚持事前评估和持续监督相结合、风险自评估与安全评估相结合，防范数据出境安全风险，保障数据依法有序自由流动。	第三条数据出境安全评估坚持事前评估和持续监督相结合、风险自评估与安全评估相结合，防范数据出境安全风险，保障数据依法有序自由流动。
第四条 数据处理者向境外提供数据，符合以下情形之一的，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估。 （一）关键信息基础设施的运营者收集和产生的个人信息和重要数据； （二）出境数据中包含重要数据； （三）处理个人信息达到一百万人的个人信息处理者向境外提供个人信息； （四）累计向境外提供超过十万人以上个人信息或者一万人以上敏感个人信息； （五）国家网信部门规定的其他需要申报数据出境安全评估的情形。	第四条数据处理者向境外提供数据，符合以下有下列情形之一的，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估： （一）数据处理者向境外提供重要数据； （二）关键信息基础设施的运营者收集和产生的个人信息和重要数据和处理100万人以上个人信息的数据处理者向境外提供个人信息； （二）出境数据中包含重要数据； （三）处理个人信息达到一百万人的个人信息处理者向境外提供个人信息； （三）自上年1月1日起累计向境外提供超过十万人以上10万人个人信息或者一万人以上1万人敏感个人信息的数据处理者向境外提供个人信息； （四）国家网信部门规定的其他需要申报数据出境安全评估的情形。
第五条 数据处理者在向境外提供数据前，应事先开展数据出境风险自评估，重点评估以下事项： （一）数据出境及境外接收方处理数据的目的、范围、方式等的合法性、正当性、必要性； （二）出境数据的数量、范围、种类、敏感程度，数据出境可能对国家安全、公共利益、个人或者组织合法权益带来的风险； （三）数据处理者在数据转移环节的管理和技术措施、能力等能否防范数据泄露、毁损等风险； （四）境外接收方承诺承担的责任义务，以及履行责任义务的管理和技术措施、能力等能否保障出境数据的安全； （五）数据出境和再转移后泄露、毁损、篡改、滥用等的风险，个人维护个人信息权益的渠道是否通畅等； （六）与境外接收方订立的数据出境相关合同是否充分约定了数据安全保护责任义务。	第五条数据处理者在向境外提供数据前，申报数据出境安全评估前，应事先开展数据出境风险自评估，应当开展数据出境风险自评估，重点评估以下事项： （一）数据出境及和境外接收方处理数据的目的、范围、方式等的合法性、正当性、必要性； （二）出境数据的数量、规模、范围、种类、敏感程度，数据出境可能对国家安全、公共利益、个人或者组织合法权益带来的风险； （三）数据处理者在数据转移环节的管理和技术措施、能力等能否防范数据泄露、毁损等风险； （三）境外接收方承诺承担的责任义务，以及履行责任义务的管理和技术措施、能力等能否保障出境数据的安全； （四）数据出境和再转移后中和出境后遭到毁损、篡改、破坏、泄露、滥用、丢失、转移或者被非法获取、非法利用等的风险，个人维护个人信息权益维护的渠道是否通畅等； （五）与境外接收方拟订立的数据出境相关合同或者其他具有法律效力的文件等（以下统称法律文件）是否充分约定了数据安全保护责任义务； （六）其他可能影响数据出境安全的事项。
第六条 申报数据出境安全评估，应当提交以下材料： （一）申报书； （二）数据出境风险自评估报告； （三）数据处理者与境外接收方拟订立的合同或者其他具有法律效力的文件等（以下统称合同）； （四）安全评估工作需要的其他材料。	第六条申报数据出境安全评估，应当提交以下材料： （一）申报书； （二）数据出境风险自评估报告； （三）数据处理者与境外接收方拟订立的合同或者其他具有法律效力的文件等（以下统称合同）法律文件； （四）安全评估工作需要的其他材料。
第七条 国家网信部门自收到申报材料之日起七个工作日内，确定是否受理评估并以书面通知形式反馈受理结果。	第七条省级网信部门应当自收到申报材料之日起5个工作日内完成完备性查验。申报材料齐全的，将申报材料报送国家网信部门；申报材料不齐全的，应当退回数据处理者并一次性告知需要补充的材料。 国家网信部门应当自收到申报材料之日起七个7个工作日内，确定是否受理评估并以书面通知形式反馈受理结果数据处理者。
第八条 数据出境安全评估重点评估数据出境活动可能对国家安全、公共利益、个人或者组织合法权益带来的风险，主要包括以下事项： （一）数据出境的目的、范围、方式等的合法性、正当性、必要性； （二）境外接收方所在国家或者地区的数据安全保护政策法规及网络安全环境对出境数据安全的影响；境外接收方的数据保护水平是否达到中华人民共和国法律、行政法规规定和强制性国家标准的要求； （三）出境数据的数量、范围、种类、敏感程度，出境中和出境后泄露、篡改、丢失、破坏、转移或者被非法获取、非法利用等风险； （四）数据安全和个人信息权益是否能够得到充分有效保障； （五）数据处理者与境外接收方订立的合同中是否充分约定了数据安全保护责任义务； （六）遵守中国法律、行政法规、部门规章情况； （七）国家网信部门认为需要评估的其他事项。	第八条数据出境安全评估重点评估数据出境活动可能对国家安全、公共利益、个人或者组织合法权益带来的风险，主要包括以下事项： （一）数据出境的目的、范围、方式等的合法性、正当性、必要性； （二）境外接收方所在国家或者地区的数据安全保护政策法规及和网络安全环境对出境数据安全的影响；境外接收方的数据保护水平是否达到中华人民共和国法律、行政法规的规定和强制性国家标准的要求； （三）出境数据的规模、范围、种类、敏感程度，出境中和出境后遭到篡改、破坏、泄露、丢失、转移或者被非法获取、非法利用等风险； （四）数据安全和个人信息权益是否能够得到充分有效保障； （五）数据处理者与境外接收方拟订立的合同法律文件中是否充分约定了数据安全保护责任义务； （六）遵守中国法律、行政法规、部门规章情况； （七）国家网信部门认为需要评估的其他事项。
第九条 数据处理者与境外接收方订立的合同充分约定数据安全保护责任义务，应当包括但不限于以下内容： （一）数据出境的目的、方式和数据范围，境外接收方处理数据的用途、方式等； （二）数据在境外保存地点、期限，以及达到保存期限、完成约定目的或者合同终止后出境数据的处理措施； （三）限制境外接收方将出境数据再转移给其他组织、个人的约束条款； （四）境外接收方在实际控制权或者经营范围发生实质性变化，或者所在国家、地区法律环境发生变化导致难以保障数据安全时，应当采取的安全措施； （五）违反数据安全保护义务的违约责任和具有约束力且可执行的争议解决条款； （六）发生数据泄露等风险时，妥善开展应急处置，并保障个人维护个人信息权益的通畅渠道。	第九条数据处理者应当在与境外接收方订立的合同法律文件中充分明确约定数据安全保护责任义务，应当包括但不限于至少包括以下内容： （一）数据出境的目的、方式和数据范围，境外接收方处理数据的用途、方式等； （二）数据在境外保存地点、期限，以及达到保存期限、完成约定目的或者合同法律文件终止后出境数据的处理措施； （三）限制对于境外接收方将出境数据再转移给其他组织、个人的约束性条款要求； （四）境外接收方在实际控制权或者经营范围发生实质性变化，或者所在国家、地区数据安全保护政策法规和网络安全法律环境发生变化以及发生其他不可抗力情形导致难以保障数据安全时，应当采取的安全措施； （五）违反法律文件约定的数据安全保护义务的补救措施、违约责任和具有约束力且可执行的争议解决方式条款； （六）出境数据遭到篡改、破坏、泄露、丢失、转移或者被非法获取、非法利用等风险时，妥善开展应急处置的要求和保障个人维护其个人信息权益的途径和方式。
第十条 国家网信部门受理申报后，组织行业主管部门、国务院有关部门、省级网信部门、专门机构等进行安全评估。 涉及重要数据出境的，国家网信部门征求相关行业主管部门意见。	第十条国家网信部门受理申报后，根据申报情况组织行业主管部门、国务院有关部门、省级网信部门、专门机构等进行安全评估。 涉及重要数据出境的，国家网信部门征求相关行业主管部门意见。
	第十一条安全评估过程中，发现数据处理者提交的申报材料不符合要求的，国家网信部门可以要求其补充或者更正。数据处理者无正当理由不补充或者更正的，国家网信部门可以终止安全评估。 数据处理者对所提交材料的真实性负责，故意提交虚假材料的，按照评估不通过处理，并依法追究相应法律责任。	新增
第十一条 国家网信部门自出具书面受理通知书之日起四十五个工作日内完成数据出境安全评估；情况复杂或者需要补充材料的，可以适当延长，但一般不超过六十个工作日。 评估结果以书面形式通知数据处理者。	第十二条国家网信部门应当自向数据处理者发出出具书面受理通知书之日起四十五个45个工作日内完成数据出境安全评估；情况复杂或者需要补充、更正材料的，可以适当延长，但一般不超过六十个工作日并告知数据处理者预计延长的时间。 评估结果应当书面通知数据处理者。
	第十三条数据处理者对评估结果有异议的，可以在收到评估结果15个工作日内向国家网信部门申请复评，复评结果为最终结论。	新增
第十二条 数据出境评估结果有效期二年。在有效期内出现以下情形之一的，数据处理者应当重新申报评估： （一）向境外提供数据的目的、方式、范围、类型和境外接收方处理数据的用途、方式发生变化，或者延长个人信息和重要数据境外保存期限的； （二）境外接收方所在国家或者地区法律环境发生变化，数据处理者或者境外接收方实际控制权发生变化，数据处理者与境外接收方合同变更等可能影响出境数据安全的； （三）出现影响出境数据安全的其他情形。 有效期届满，需要继续开展原数据出境活动的，数据处理者应当在有效期届满六十个工作日前重新申报评估。 未按本条规定重新申报评估的，应当停止数据出境活动。	第十四条通过数据出境安全评估的结果有效期为二2年，自评估结果出具之日起计算。在有效期内出现以下情形之一的，数据处理者应当重新申报评估： （一）向境外提供数据的目的、方式、范围、类型种类和境外接收方处理数据的用途、方式发生变化影响出境数据安全的，或者延长个人信息和重要数据境外保存期限的； （二）境外接收方所在国家或者地区数据安全保护政策法规和网络安全法律环境发生变化以及发生其他不可抗力情形、数据处理者或者与境外接收方实际控制权发生变化、数据处理者与境外接收方合同法律文件变更等可能影响出境数据安全的； （三）出现影响出境数据安全的其他情形。 有效期届满，需要继续开展数据出境活动的，数据处理者应当在有效期届满六十60个工作日前重新申报评估。 未按本条规定重新申报评估的，应当停止数据出境活动。
第十三条 数据处理者应当按照本办法的规定提交评估材料，材料不齐全或者不符合要求的，应当及时补充或者更正，拒不补充或者更正的，国家网信部门可以终止安全评估；数据处理者对所提交材料的真实性负责，故意提交虚假材料的，按照评估不通过处理。	第十三条 数据处理者应当按照本办法的规定提交评估材料，材料不齐全或者不符合要求的，应当及时补充或者更正，拒不补充或者更正的，国家网信部门可以终止安全评估；数据处理者对所提交材料的真实性负责，故意提交虚假材料的，按照评估不通过处理。	新版删除本条内容
第十四条 参与安全评估工作的相关机构和人员对在履行职责中知悉的国家秘密、个人隐私、个人信息、商业秘密、保密商务信息等数据应当依法予以保密，不得泄露或者非法向他人提供。	第十五条参与安全评估工作的相关机构和人员对在履行职责中知悉的国家秘密、个人隐私、个人信息、商业秘密、保密商务信息等数据应当依法予以保密，不得泄露或者非法向他人提供、非法使用。
第十五条 任何组织和个人发现数据处理者未按照本办法规定进行评估向境外提供数据的，可以向省级以上网信部门投诉、举报。	第十六条任何组织和个人发现数据处理者未按照违反本办法规定进行评估向境外提供数据的，可以向省级以上网信部门举报。
第十六条 国家网信部门发现已经通过评估的数据出境活动在实际处理过程中不再符合数据出境安全管理要求的，应当撤销评估结果并书面通知数据处理者，数据处理者应当终止数据出境活动。需要继续开展数据出境活动的，数据处理者应当按照要求进行整改，并在整改完成后重新申报评估。	第十七条国家网信部门发现已经通过评估的数据出境活动在实际处理过程中不再符合数据出境安全管理要求的，应当撤销评估结果并书面通知数据处理者终止数据出境活动。数据处理者应当终止数据出境活动。需要继续开展数据出境活动的，数据处理者应当按照要求进行整改，并在整改完成后重新申报评估。
第十七条 违反本办法规定的，依照《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》等法律法规的规定处理；构成犯罪的，依法追究刑事责任。	第十八条违反本办法规定的，依据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》等法律法规处理；构成犯罪的，依法追究刑事责任。
	第十九条本办法所称重要数据，是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用等，可能危害国家安全、经济运行、社会稳定、公共健康和安全等的数据。	新增
第十八条 本办法自 年 月 日起施行。	第二十条本办法自2022年9月1日起施行。本办法施行前已经开展的数据出境活动，不符合本办法规定的，应当自本办法施行之日起6个月内完成整改。

在笔者看来，以上修订最主要的影响包括以下四个方面：

第一，为申报安全评估的个人信息出境数量积累设定了非常明确的时间节点——“自上年1月1日”起算。

个人信息数量的计算一直以来都是个难题。有些此类计算是以个人信息的“条数”作为单位的，而什么算作“一条个人信息”本身就存在很大争议，导致计算的结果存在很大的不确定性。新规使用个人信息主体数量作为单位，这个单位定义清晰，计算结果统一；此次发布稿进一步明确了累计的周期，这样企业就可以非常精确地识别出哪些需要申报安全评估。例如，很多跨国企业所普遍关注的服务器设在境外的办公、人力、邮件等系统，只要在连续两个公历年期间内所传输出境的数据相关个人信息主体数量在新规所规定的的门槛之下，就可以确定不必进行安全评估申报。

第二，已经开展的数据出境在6个月内完成整改。

新规给出了6个月的整改期，保障了已有业务的连续性，避免一些重要跨境服务被打断。通过6个月的过渡，一方面可以尽快完成安全评估；另一方面也有时间对业务进行调整，避免不必要的重要数据和过量个人信息出境。

第三，将 “合同”扩大到“法律文件”。

符合要求的合同条款，既是新规的要求之一，也是安全评估的对象和依据。将“合同”扩大到“法律文件”，可以在一定程度上减轻实现新规要求的难度，扩大可被安全评估纳入评估范围的材料类型，也能解决一些诸如科研机构合作等一般没有签订合同的数据出境场景的评估问题。当然，“合同”也好，“法律文件”也罢，其中的条款必然是数据跨境双方寸土必争之地，后续官方如能发布具备一定差别化的多个示范性“法律文件”条款范本，将能进一步帮助企业解决此类条款的合规及评估问题。

第四，进一步完善安全评估申报的流程。

正式版对相关条款的顺序及表述做了合理的调整，从而使申报流程的时间节点、顺序等更加清晰及符合逻辑。特别是加入了复评程序，为企业侧提出不同意见提供了一条可能的渠道。

二、整改期优先级较高的工作

违反新规规定，未履行安全审查申报义务，会承担相应的行政甚至刑事责任。而要履该义务，当然就要先识别出数据出境行为。而根据贯穿于各个过程稿中的识别标准，数据出境的定义是比较宽泛的：只要是将境内业务场景采集的关于境内人和事的数据传输至境外，就属于数据出境；不管是转让，还是委托处理等，并不影响对数据出境的认定；传输至境外服务器属于跨境，被境外所查看也属于跨境。根据笔者的经验，上述识别工作是特别困难的，如果是境内业务与境外业务的关联比较单一的企业，尚可以通过问卷的方式，根据场景、目的逐项梳理数据出境情况；如是业务场景较为复杂的全球化企业，则更应借助技术手段识别数据的跨境传输，以此避免遗漏。

识别出数据跨境传输的基础后，可以进一步判断传输所涉数据的属性：包括个人信息的，应关注连续两个公历年内已发生或可能发生的传输所涉个人信息主体人数；通过对数据的属性、数据传输行为特征及数据接收方利用及再利用等因素的判断，确定数据中是否包含重要数据。根据以上工作的结论，一方面判断哪些数据跨境传输需要安全评估申报；另一方面可以充分利用6个月整改期进行调整，个人信息能少传就少传，重要数据能不传就不传，这样除了可以降低企业侧的合规成本外，更重要的是可以切实避免数据出境造成负面影响的风险，并可以节约宝贵的行政资源。

另外，还需要对各个评估流程进行整合。以个人信息为例，根据《个人信息保护法》的相关要求，个人信息出境要进行个人信息保护影响评估；相关个人信息主体达到一定规模，需要进行安全评估申报，企业要进行自评估，监管侧要进行安全评估。根据笔者的观察，这三种评估思路相仿：一方面考虑数据处理行为的影响，另一方面考虑通过与影响相匹配的技术手段和管理措施降低风险发生的可能。就个人信息出境这种行为，在设计过程中可以将个人信息保护影响评估作为基础，在自评估阶段加入新规的一些特殊要求作为评估点，并在此基础上输出自评估报告；此外，企业侧可以在自评估的基础上，再增加安全评估的国家个人信息保护水平等宏观评估点，从而可以更好地预测安全评估结果，保障自身业务的合规性及连续性。通过以上流程的整合，可以节约合规资源，也可以避免业务侧受反复填写评估问卷所困扰，在六个月整改期内更具效率地完成新规落地工作。

业务场景中的数据跨境流动的文章如下：

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过400人。关于DPO社群和沙龙更多的情况如下：

域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：

DPO线下沙龙的实录见：

关于美国出口管制制度，本公号发表过系列文章：

供应链安全文章：

传染病疫情防控与个人信息保护系列文章

关于数据与竞争政策的翻译和分析：

健康医疗大数据系列文章：

网联汽车数据和自动驾驶的系列文章：

网络空间的国际法适用问题系列文章：

关于保护网络和信息系统安全的相关文章包括：

《网络数据安全管理条例（征求意见稿）》系列文章：

《数据安全法》的相关文章包括：

赴美上市的网络、数据安全方面的两国监管乃至冲突方：

个性化广告或行为定向广告（behavioral targeting advertising）系列的文章：

关于我国的《个人信息保护法》的相关文章包括：

围绕着美国方面的个人信息保护立法，本公号发表了以下文章：

关于数据要素治理的相关文章包括：

人脸识别系列文章：

内容安全方面的文章如下：

关于中美与国家安全相关的审查机制的文章：

地缘政治与跨国科技公司运营之间的互动影响：

关于数据的安全、个人信息保护、不正当竞争等方面的重大案例：

关于欧盟技术主权相关举措的翻译和分析：

围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：

关于个人数据和域外国家安全审查之间的关系，见：

关于健康医疗数据方面的文章有：

关于人工智能安全和监管，本公号发布过以下文章：

关于数据执法跨境调取的相关文章：

第29条工作组/EDPB关于GDPR的指导意见的翻译：

数字贸易专题系列：