也谈《数据出境安全评估办法》涉及到的几个问题

编者按：

7月7日，中央网信办正式发布《数据出境安全评估办法》【数据出境安全评估办法】。本公号发表了系列解读文章：

今天和大家分享的是第三篇解读文章。作者为：王磊（智能科技风险法律防控工信部重点实验室，北京理工大学智能科技法律研究中心研究员）和刘超（北京嘉观律师事务所律师）

一、引言

国家互联网信息办公室公布《数据出境安全评估办法》（下称《办法》），自2022年9月1日起施行。《办法》除了明确申报安全评估的情形、评估内容、具体流程、保密要求等管理措施外，还列明了监管部门受理、开展安全评估的程序性及实质性的审查要求。我们将在本文中就数据出境范围、重要数据识别、风险评估事项、责任承担方式、域外规制做法等几个方面的问题展开讨论，仅供大家参考。

二、对“数据出境”概念的理解

为了更好的理解《办法》适用范围，我们首先需要明确“数据出境”的具体含义。国家互联网信息办公室有关负责人就《办法》相关问题回答记者提问，对《办法》所称数据出境活动予以明确，主要包括：一是数据处理者将在境内运营中收集和产生的数据传输、存储至境外；二是数据处理者收集和产生的数据存储在境内，境外的机构、组织或者个人可以访问或者调用。我们在实务中曾遇到某跨国公司海外总部在当地遭到执法机关刑事调查，应当地执法机关要求，海外总部向其中国子公司调取与案件有关的数据材料，并要求中国子公司向其开放系统访问权限，业务中涉及到的类似数据出境实务案例还有很多。

2017年发布的《信息安全技术-数据出境安全评估指南（征求意见稿）》（下称《指南》）就曾对“数据出境”给出定义，《指南》第3.7条规定网络运营者通过网络等方式，将其在中华人民共和国境内运营中收集和产生的个人信息和重要数据，通过直接提供或开展业务、提供服务、产品等方式提供给境外的机构、组织或个人的一次性活动或连续性活动。

《指南》明确了三种属于数据出境情形：a）向本国境内，但不属于本国司法管辖或未在境内注册的主体提供个人信息和重要数据；b）数据未转移存储至本国以外的地方，但被境外的机构、组织、个人访问查看的（公开信息、网页访问除外）；c）网络运营者集团内部数据由境内转移至境外，涉及其在境内运营中收集和产生的个人信息和重要数据的。

与此同时，《指南》还排除了两种情形：a）非在境内运营中收集和产生的个人信息和重要数据经由本国出境，未经任何变动或加工处理的，不属于数据出境。b）非在境内运营中收集和产生的个人信息和重要数据在境内存储、加工处理后出境，不涉及境内运营中收集和产生的个人信息和重要数据的，不属于数据出境。

尽管《指南》文本并未最终生效，属于征求意见稿，但对于网络运营者判断业务开展过程中“数据出境”问题具有重要的参考价值。

三、需要开展数据出境安全评估的四种情形

《办法》明确了开展数据出境安全评估的四种情形，分别从数据类型、数据处理者、数据数量等方面划定开展出境安全评估的标准线。这四种类型包括：（一）数据类型要求：数据处理者向境外提供重要数据；（二）数据处理者要求：关键信息基础设施运营者和处理100万人以上个人信息的数据处理者向境外提供个人信息；（三）数据数量要求：自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者向境外提供个人信息；（四）其他：国家网信部门规定的其他需要申报数据出境安全评估的情形。

《办法》在对四种情形的表述中涉及到重要数据、关键信息基础设施运营者、个人信息、敏感个人信息等概念。上述概念在官方早先颁布制定的相关法律法规中均有所界定，大家对于个人信息和敏感个人信息已经比较熟悉，我们将就“重要数据”和“关键信息基础设施”展开分析。

关于“重要数据”的理解。2017年施行的《中华人民共和国网络安全法》就对向境外提供重要数据予以规制，第三十七条要求CIIO在境内运营中收集和产生的个人信息和重要数据确需向境外提供的，应当进行安全评估。2021年施行的《中华人民共和国数据安全法》第三十一条对CIIO以外的其他数据处理者将境内运营中收集和产生的重要数据欲作出境安排予以规制。《办法》第十九条从社会危害性评定的角度对“重要数据”给出定义，重要数据是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用等，可能危害国家安全、经济运行、社会稳定、公共健康和安全等的数据。当然，还有更为直观的判断重要数据的方式，《信息安全技术-数据出境安全评估指南（草案）》附录A“重要数据识别指南”划定石油天然气、电力、通信、交通运输、金融、气象等28大类行业领域重要数据的范围，尽管该评估指南草案最终并未生效，但同样是实务中判定“重要数据”参考。

关于“关键信息基础设施”的理解。根据《关键信息基础设施安全保护条例》（下称《保护条例》）第二条的规定，关键信息基础设施是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等。《保护条例》第九条还对保护工作部门如何确定本行业、本领域的关键信息基础设施清单做出规定，并明确制定认定规则需要考虑的下列因素: (一)网络设施、信息系统等对于本行业、本领域关键核心业务的重要程度; (二)网络设施、信息系统等一旦遭到破坏、丧失功能或者数据泄露可能带来的危害程度; (三)对其他行业和领域的关联性影响。同时，还规定当关键信息基础设施发生较大变化，可能影响认定结果的，运营者应当及时将相关情况报告保护工作部门。

此外，《办法》还对公民个人信息数量的核算方式予以明确。确定个人信息数量的起算点，即自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息时需开展数据出境安全评估。针对一直以来存有争议的个人信息统计方式问题，《办法》选择按照“人数”的方式核算，而不是依照“条数”核算。

四、如何开展数据出境风险自评估

企业申报数据出境安全评估前，应当开展数据出境风险自评估，评估可能影响数据出境安全的事项。企业也可以委托专业的第三方机构协助开展自评估工作。《办法》第五条列出了开展风险自评估需要重点评估的六大事项。我们结合过往的实务经验，梳理在自评估中需要关注的问题。

重点评估事项	需要关注的问题
（一）数据出境和境外接收方处理数据的目的、范围、方式等的合法性、正当性、必要性	关注是否属于法律禁止事项；是否符合数据出境条约、协议规定；是否获取个人信息主体的授权；是否属于业务开展所必需；是否属于其他依法应当开展的情形等。
（二）出境数据的规模、范围、种类、敏感程度；数据出境可能对国家安全、公共利益、个人或者组织合法权益带来的风险	建议出境方企业根据具体业务场景，针对数据的规模、范围、种类、敏感程度等特点采取相应的分级、分类管理，同时根据数据属性，结合出境方数据出境的技术和管理能力，分析研判数据出境发生安全事件的风险。
（三）境外接收方承诺承担的责任义务，以及履行责任义务的管理和技术措施、能力等能否保障出境数据的安全	关注境外接收方内部管理和防护技术的可靠性，结合其既往安全管理水平，采取的具体保护措施评估安全保护能力，同时需关注外部因素影响，例如接收方所在国家或地区的政治法律环境等因素。在相应的法律文件明确接收方的责任义务，由其作出承诺。
（四）数据出境中和出境后遭到篡改、破坏、泄露、丢失、转移或者被非法获取、非法利用等的风险，个人信息权益维护的渠道是否通畅等	关注保障数据传输的保密性、完整性、真实性等问题的技术能力以及针对数据安全风险的响应能力，考察访问权限管理、数据源鉴别、存储介质等方面。实操上具备相应的技术工具防范DDOS、网络攻击、数据爬虫等异常行为。畅通的个人信息权益维护渠道。
（五）与境外接收方拟订立的数据出境相关合同或者其他具有法律效力的文件等是否充分约定了数据安全保护责任义务	《办法》第九条规定数据出境双方订立的法律文件中需明确约定数据安全保护责任义务，涵盖数据出境目的、方式、数据范围、保存期限、数据出境后再转移的约束、补救措施、争议解决方式等等。 2022年6月发布的《个人信息出境标准合同规定（征求意见稿）》作为出境的配套文件，也在第六条就条款设计规定了标准合同需要包括的主要内容。相关企业可以根据自身业务涉及到的数据类型对照两个文件开展自评估。
（六）其他可能影响数据出境安全的事项	近几年，中美两国因PCAOB审验在美中概股审计底稿等问题存有分歧，并开展多次磋商。如确需送交审计底稿等材料将涉及财务数据出境问题，关乎信息安全，也需关注数据出境风险评估事宜。

五、违反出境管理条例可能面临的处罚

《办法》第十八条规定，违反本办法规定的，依据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》等法律法规处理；构成犯罪的，依法追究刑事责任。

《网络安全法》第六十六条对违法在境外存储网络数据，或者向境外提供网络数据的行为处罚规定。

《数据安全法》第四十六条针对向境外提供重要数据行为的处罚规定。

《个人信息保护法》第六十六条对违反规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的行为处罚规定。

六、数据出境管理规制的域外经验

欧盟非常重视数据出境的安全问题，对与数据出境问题持谨慎、保守的态度，有关安全评估的规定相对比较成熟，形成了一套可供借鉴的的规则。美国对数据跨境传输持积极态度，鼓励数据交流，但在涉及到重要科技、敏感公民信息等行业领域对外国投资者设定一定的限制条件。

1.欧盟《通用数据保护条例》（GDPR）

GDPR在第五章使用一个章节的篇幅对个人信息向第三国或国际组织的传输予以规制，欧盟关于数据出境问题已经形成一套繁简有序的规则制度，包括充分性决定基础上的传输，受到适当保障的传输以及例外情况等。所谓充分性决定基础上的传输是指当欧盟委员会认为第三国能确保数据得到充分保护时，允许向该第三国传输数据。一般认为，充分的保护水平要求第三国或国际组织能够提供等同于欧盟内部的信息保护水平。评估保护水平的充分性时主要会考虑到法律规则、安全措施的有效执行、独立监管机构的有效运行，达成的国际承诺等因素。受到适当保障的传输是指当向不属于“充分性决定”的国家或国际组织传输数据时，若数据传输者提供了适当的保障，也可以将个人信息传输给上述国家或国际组织，无须监管机构的特别授权。适当保障方式主要包括有约束力的公司规则（Binding Corporate Rule, BCR）、标准合同条款（Standard Contractual Clause, SCC）等。此外，第五章还规定了特殊的例外情况。

2.欧盟《数据法案（草案）》

对于非个人数据跨境流动，《数据法案（草案）》则从五个方面对境外传输予以规制，主要包括：（1）数据处理服务的提供者防范数据境外传输所要采取的合理防护措施；（2）明确了要求获取、访问欧盟持有的非个人数据的第三国法院判决或政府当局决定被承认或执行的前提条件；（3）无国际协议情况下，数据处理服务的提供者向境外传输非个人数据需满足的条件；（4）数据处理服务的提供者应根据对请求的合理解释，提供响应请求所允许的最低数据量；（5）明确数据处理服务的提供者在响应第三国行政当局请求前对数据持有人的告知义务。

3.美国关于数据境外传输的规定

与欧盟相比，美国对于数据出境的态度更为积极，在相关政策制定和实施的尺度把握上也较为宽松，美国出台《澄清境外数据的合法使用法案》(又称《云法案》)允许政府取得科技公司存储于美国境外的数据以实现长臂管辖。另一方面，美国又通过颁布施行一系列法案、规则加强对技术信息和个人信息等信息的保护。例如《出口管制条例》（EAR）严格限制特定技术数据出境。外国企业在美投资方面，2018年8月美国总统特朗普签署《外商投资风险审查现代化法案》（FIRRMA）则是对外国人在美投资关键基础设施以及与敏感个人信息相关的基因、生物等行业受到严格审查限制，TikTok在美运营遭受到的相关审查就系受此影响。

结语

《办法》的出台为数据出境安全评估工作确定方向，同时也为企业搭建数据合规体系提供指引。《办法》进一步明晰事前评估、申报评估、开展评估、重新评估和终止出境的风险评估路径。在规则日趋明确的情况下，企业开展数据出境业务的模糊地带也越来越小，违规行为所要面临的处罚风险也在不断增加。企业应在研读《办法》相关规定的基础上主动开展数据出境风险的自查自改工作，充分利用《办法》预留的六个月的整改期，对于《办法》已经予以明确的事项严格依照规定落实整改，而对于《办法》未能明确的争议问题则应审慎对待，必要时可以征询专家学者、专业律师的意见。

（王磊，法学博士，智能科技风险法律防控工信部重点实验室，北京理工大学智能科技法律研究中心研究员；刘超，法学硕士，北京嘉观律师事务所律师，毕业于中国人民公安大学、美国威廉玛丽学院）

本公号曾发表过的关于业务场景中数据跨境流动的文章如下：

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过400人。关于DPO社群和沙龙更多的情况如下：

域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：

DPO线下沙龙的实录见：

关于美国出口管制制度，本公号发表过系列文章：

供应链安全文章：

传染病疫情防控与个人信息保护系列文章

关于数据与竞争政策的翻译和分析：

健康医疗大数据系列文章：

网联汽车数据和自动驾驶的系列文章：

网络空间的国际法适用问题系列文章：

关于保护网络和信息系统安全的相关文章包括：

《网络数据安全管理条例（征求意见稿）》系列文章：

《数据安全法》的相关文章包括：

赴美上市的网络、数据安全方面的两国监管乃至冲突方：

个性化广告或行为定向广告（behavioral targeting advertising）系列的文章：

关于我国的《个人信息保护法》的相关文章包括：

围绕着美国方面的个人信息保护立法，本公号发表了以下文章：

关于数据要素治理的相关文章包括：

人脸识别系列文章：

内容安全方面的文章如下：

关于中美与国家安全相关的审查机制的文章：

地缘政治与跨国科技公司运营之间的互动影响：

关于数据的安全、个人信息保护、不正当竞争等方面的重大案例：

关于欧盟技术主权相关举措的翻译和分析：

围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：

关于个人数据和域外国家安全审查之间的关系，见：

关于健康医疗数据方面的文章有：

关于人工智能安全和监管，本公号发布过以下文章：

关于数据执法跨境调取的相关文章：

第29条工作组/EDPB关于GDPR的指导意见的翻译：

数字贸易专题系列：