数据出境FAQs（五）：如何在自评估报告中描述境外数据保护法律环境？

欢迎点击上方 TMT法律论坛 关注我们

专栏

Law

★

导读

★

随着《数据出境安全评估办法》生效及其指南的发布，触发申报门槛的企业大都在积极地推进着自评估和申报工作。鉴于申报工作是一项崭新的法律要求，企业和监管部门都在探索和积累经验，实操中难免会存在诸多不清晰的问题，我们将通过本FAQs系列栏目，基于法律法规理解、实践案例及多渠道的监管咨询，对焦点问题进行解读和分享。

本期为数据出境FAQs第五期“如何在自评估报告中描述境外接收方所在国家/地区的数据安全保护政策法规和网络安全环境情况？”

需要指出，本FAQs所有内容乃是一家之言，仅供参考，企业的具体行动应当以法律规定、监管要求为准。

往期回顾：

如何在自评估报告中描述境外接收方所在国家/地区的数据安全保护政策法规和网络安全环境情况？

根据《数据出境安全评估办法》（以下简称“《办法》”）第8条规定，境外接收方所在国家或者地区的数据安全保护政策法规和网络安全环境（以下称“境外法律环境”）对出境数据安全的影响是安全评估的重点事项之一。同时，《数据出境安全评估申报指南 （第一版）》（以下简称“《申报指南》”）中亦在自评估报告模板中要求对境外法律环境进行说明。如何在自评估报告中描述该事项，成为企业申报安全评估所面临的共同问题。

_____________    

FAQs

问：要从哪些维度描述境外境外法律环境？

答：

综合业界实践和监管咨询的信息，并参考域外经验，可以考虑从如下维度描述境外接收方所在国家或地区的法律环境：

1）介绍当地现行的数据保护和网络安全法律法规，以及普遍采用的标准，描述当地立法与我国立法的差异；

2）该地区加入区域或全球数据保护和网络安全组织或做出相关具有约束力的国际承诺的情况；

3）当地落实数据保护和网络安全的机制，如当地关于数据安全、网络安全、个人信息保护的监督执法机构和相关司法机构及此等机构关于数据保护和网络安全的实现方式；

4）当地行政、监管或司法程序等可以要求调取个人信息的情况，如调取的权力、应遵循的法律程序与限制措施；

5）当地与其他国家、地区缔结的与数据流通、共享相关的双边或多边协定的情况，包括在执法、监管等方面数据流通、共享的双边或多边协定；

6）个人信息主体在当地寻求司法救济的途径及可行性；

7）除上述已提及要素外的当地的网络安全环境状况等。

问：如何确定应当评估的国家或地区及其范围？ 

答：

所需评估的国家或地区范围应根据境外接收方的所在地确定，如当数据传输至数据接收方（位于A国）控制下的放置于B国的服务器时，一般所需评估的地区为A国。同时，经咨询地方网信部门，本事项内的“境外接收方”一般仅指向第一手境外接收方，数据再传输活动涉及的第三方境外接收方所在国家或地区的相关情况一般不需要评估。

问：涉及多个境外第一手接收方时，如何处理？

答：

经咨询地方网信部门，涉及多个境外第一手数据接收方时，需全量描述各接收方所在国家或地区的法律环境。同时，可在自评估报告中结合业务场景，根据数据出境规模、涉及国家或地区的风险程度等因素，分别评估各接收方所具备的数据安全保障能力。

法律解读

早在《数据安全法》与《个人信息保护法》出台前，全国信安标委即发布《信息安全技术 数据出境安全评估指南》（征求意见稿），就重要数据与个人信息出境时，如何评估数据接收方所在国家或区域的法律环境提供指导。《个人信息保护法》颁布后，通过第五十五条明确数据出境场景需进行个人信息保护影响评估；今年相继发布的《个人信息出境标准合同规定》（征求意见稿）与《网络安全标准实践指南—个人信息跨境处理活动安全认证规范》（v2.0-征求意见稿 202211）从个人信息保护影响评估层面细化了境外接收方所在国家或地区的法律环境评估的要求。虽然前述规定和规范均未发布正式稿，但可为数据出境安全评估机制下评估境外接收方所在国家或地区法律环境提供借鉴。

在欧洲，Schrems II案后，欧盟数据保护委员会（EDPB）发布《Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data  version 2.0》（《关于补充数据传输工具的 01/2020号建议 第2版》）与《Recommendations 02/2020 on the European Essential Guarantees for surveillance measures》（《针对监控措施的关于欧盟重要保障的02/2020号建议》），明确要求在依据标准合同作为数据跨境传输保障机制时应进行数据跨境传输评估（Transfer Impact Assessment，TIA），尤其强调要评估第三国的数据保护法律或实践，以保证数据接收方可以达到与传输方所在国家/地区的同等保护水平。英国信息专员办公室（ICO）则发布有《International Transfer Risk Assessment and Tool（Draft）（跨境转移风险评估工具草案）》，规定了与之类似的数据跨境传输风险评估机制（Transfer Risk Assessment, TRA），同样涉及对第三国法律环境的评估。前述规范所追求的同等保护原则，与我国数据出境的申报安全评估机制具有相同的价值取向，故此等规范所提出的关于第三国法律环境的评估因素，可作为企业在自评估报告中描述境外接收方所在国家或地区法律环境的参考。

跨法域对比

我们梳理了上述规范所提出的境外接收方所在国家或地区的法律环境的评估要点，如下表所示（可放大图片查看）。

从整体上看，我国相关规范明确的评估点主要包括：

1）当地现行的数据保护法律法规，包括普遍适用的标准（及与我国立法的差异）；

2）该地区加入区域或全球数据保护组织或做出相关具有约束力的国际承诺的情况；

3）当地落实数据保护的机制，如数据安全、个人信息保护的监督执法机构和相关司法机构；

4）当地行政、监管或司法程序等要求调取个人信息的情况，如调取的权力与法律程序；

5）当地与其他国家、地区缔结的与数据流通、共享相关的双边或多边协定的情况，包括在执法、监管等方面数据流通、共享的双边或多边协定；

6）当地的网络安全环境。

TIA与TRA则更着眼于强调当地立法与司法对调取个人信息的规制情况及对个人信息主体权益的保护情况，所明确的评估要素主要包括：

1）当地整体的法治环境，如是否施行法治、是否尊重人权；

2）当地的司法环境，如是否承认和执行外国判决或仲裁裁决，是否有充分保护海外个人信息主体权益的诉讼机制，司法程序是否廉正独立；

3）当地的立法环境，如是否具备成熟的数据保护和/或隐私保护法律体系，是否存在第三方数据访问管控制度（包括管控第三方数据访问、保障个人信息主体权利、要求第三方采取适当安全保障措施等内容），是否对生物识别数据进行管理等；

4）当地的执法环境，如是否存在数据保护机构，是否对公共当局的数据访问活动进行审计等。

综合上述要素，我们理解，企业在描述境外接收方法律环境时，可参考如下维度：

1）当地现行的数据保护和网络安全法律法规，包括普遍使用的标准，描述当地立法与我国立法的差异；

2）该地区加入区域或全球数据保护和网络安全组织或做出相关具有约束力的国际承诺的情况；

3）当地落实数据保护和网络安全的机制，如网络安全、数据安全、个人信息保护的监督执法机构和相关司法机构及此等机构关于数据保护和网络安全的实现方式；

4）当地行政、监管或司法程序等要求调取个人信息的情况，如调取的权力、法律程序与管控措施；

5）当地与其他国家、地区缔结的与数据流通、共享相关的双边或多边协定的情况，包括在执法、监管等方面数据流通、共享的双边或多边协定；

6）个人信息主体在当地寻求司法救济的可行性，如是否有充分保护海外个人信息主体权益的诉讼机制，司法程序是否廉正独立；

7）除上述已提及要素外的当地的网络安全环境等。

考虑到域外法律环境评估具有一定专业性，在具体评估实践中，企业可通过寻求境外接收方法务部或合规部等相关部门的协助，或通过聘请境外律师、国际公认的审计机构或者跨国的服务机构以实现全面、专业的评估。EDPB建议中列明的评估第三国数据保护水平的部分信息来源，如欧盟法院和欧洲人权法院的判例法、欧盟委员会的充分性认定、政府间组织和区域机构（例如欧洲委员会和联合国机构）的决议和报告、相关的国家判例法、学术机构和民间社会组织（例如非政府组织和贸易协会）的报告等，可供企业评估时参考。此外，企业应注意对相关报告进行留存，以备监管核查。

相关规范

《个人信息保护法》

《个人信息出境标准合同规定（征求意见稿）》

《数据出境安全评估申报指南（第一版）》

《网络安全标准实践指南 —个人信息跨境处理活动安全认证规范》（v2.0-征求意见稿 202211）

《信息安全技术 数据出境安全评估指南》（征求意见稿）

EDPB Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data version 2.0

EDPB Recommendations 02/2020 on the European Essential Guarantees for surveillance measures

ICO International Transfer Risk Assessment and Tool（Draft）

重要提示：

本文仅作为信息性参考，不构成法律意见，不能作为任何行动的依赖。本文中的回复意见可能是不全面的，考虑到监管的不断实践，不排除后续的进一步变化。任何的行动，请以律师的正式意见和监管的意见为准。

作者往期文章推荐

中伦解读

域外关注

本期编辑：陈瑊 陈煜烺 林婉琪