数据出境FAQs（四）：如何处理申报安全评估与数据本地化的关系？

欢迎点击上方 TMT法律论坛 关注我们

专栏

Law

★

导读

★

随着《数据出境安全评估办法》生效及其指南的发布，触发申报门槛的企业大都在积极地推进着自评估和申报工作。鉴于申报工作是一项崭新的法律要求，企业和监管部门都在探索和积累经验，实操中难免会存在诸多不清晰的问题，我们将通过本FAQs系列栏目，基于法律法规理解、实践案例及多渠道的监管咨询，对焦点问题进行解读和分享。

本期为数据出境FAQs第四期“如何处理申报安全评估与数据本地化的关系？”

需要指出，本FAQs所有内容乃是一家之言，仅供参考，企业的具体行动应当以法律规定、监管要求为准。

往期回顾：

如何处理申报安全评估与数据本地化的关系？

按照《数据出境安全评估办法》（以下简称“《办法》”）规定，数据处理者向境外传输重要数据，或传输个人信息达到“100万”“10万”“1万”门槛时，需要向网信办申报安全评估。同时，《网络安全法》《数据安全法》和《个人信息保护法》分别要求关键信息基础设施运营者在境内收集和产生的重要数据和个人信息，达到网信部门规定数量的个人信息处理者在境内收集和产生的个人信息应当存储在境内；其他特殊行业（如汽车、金融等）亦有类似的境内存储要求。

当前，在企业的安全评估申报工作中，如何在准备评估报告时厘清申报安全评估与数据本地化（如适用）的关系，是顺利通过安全评估的关键。

问

《办法》规定的需要申报安全评估的情形，是否会必然触发数据本地化义务？

答

现行法律法规中，并没有明确规定数据出境安全评估与数据本地化之间的必然对应关系。根据某地方网信办咨询口径，公司若触发安全评估申报条件即需要进行申报，通过安全评估即可开展数据出境活动，并不会当然导致数据本地化要求。

但是，如果公司的数据处理活动同时落入现行法律法规所规定的数据本地化要求情形，则需要在申报安全评估过程中对此予以说明，例如在自评估报告中明确描述数据在境内的存储情况、数据传输链路，以及数据本地化方案及进展等。

问

接上问，对于有规定明确要求承担数据本地化义务的数据处理者，在同时触发安全评估申报义务的场景下，应如何协调数据本地化与数据出境安全评估申报工作？

答

综合业界实践和监管咨询的信息，此等数据处理者可参考如下步骤开展工作：

• 本地化整改完成后再申报安全评估：数据处理者可按照适用的法规要求，首先进行数据本地化整改，即将数据存储在境内，例如存储于境内云服务器，或将涉及处理数据的网络系统、硬件设备直接部署在境内，整改完成后再申报安全评估；或者

• 本地化整改与申报同时进行：考虑到本地化整改的时间要求及申报时间节点限制，数据处理者也可以在本地化整改的同时申报安全评估，但需要在自评估报告中体现数据本地化的具体执行方案及进展，清晰描述数据在境内的存储情况、数据传输链路等。

解读

法律背景

关于“数据本地化”，目前未有明确的定义，一般指出于国家安全、公共利益等考量，对特定数据处理者在境内运营中收集和产生的特定数据施以控制、监管，要求此等数据处理者将该等数据存储于境内。当前我国关于数据本地化的规定散见于法律法规及行业特殊监管要求，大致包括以下情形：

• 法律法规：

  CIIO在境内运营中收集和产生的个人信息和重要数据（《网络安全法》第三十七条，《数据安全法》第三十一条）；

  CIIO和处理个人信息达到国家网信部门规定数量的个人信息处理者在境内收集和产生的个人信息(《个人信息保护法》第四十条）；

  国家机关处理的个人信息（《个人信息保护法》第三十六条）。

• 行业特殊监管要求：

  其它对特定行业数据的本地存储要求，比如汽车、金融、医疗健康、测绘等。

点击可查看大图

解读

由上图可见，虽然数据出境安全评估的触发情形与数据本地化要求情形有一定重叠，但安全评估触发情形在《办法》规定下更为明确，二者之间并无必然联系。

实务中，对于《办法》规定的需要申报安全评估的情形，是否必然触发数据本地存储的义务，存在争议。核心争议在于，个保法第四十条规定，“处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内”，而《办法》所规定的“100万”门槛，是否构成“国家网信部门规定数量”目前尚无明确的法律法规对此进行确认。

结合监管咨询，虽然目前法律法规并未明确“100万人”处理者的本地化义务，但由于其涉及个人信息量级较大，会引发国家安全和社会公共利益之考虑，仍建议公司在申报安全评估的同时尽快开展数据本地化工作，并在自评估报告中予以体现，以最大程度确保顺利通过安全评估。

相关规范

《网络安全法》第三十七条：

关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估；法律、行政法规另有规定的，依照其规定。

《数据安全法》第三十一条：

关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理，适用《中华人民共和国网络安全法》的规定；其他数据处理者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理办法，由国家网信部门会同国务院有关部门制定。

《个人信息保护法》第三十六条：

国家机关处理的个人信息应当在中华人民共和国境内存储；确需向境外提供的，应当进行安全评估。安全评估可以要求有关部门提供支持与协助。

《个人信息保护法》第四十条：

关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的，应当通过国家网信部门组织的安全评估；法律、行政法规和国家网信部门规定可以不进行安全评估的，从其规定。

重要提示：

本文仅作为信息性参考，不构成法律意见，不能作为任何行动的依赖。本文中的回复意见可能是不全面的，考虑到监管的不断实践，不排除后续的进一步变化。任何的行动，请以律师的正式意见和监管的意见为准。

作者往期文章推荐

中伦解读

域外关注

本期编辑：陈瑊 陈煜烺 张媛媛