網(wǎng)上投稿
2022年7月21日，中央網(wǎng)絡(luò)安全和信息化委員會(huì)辦公室（下稱“網(wǎng)信辦”）宣布依據(jù)《網(wǎng)絡(luò)安全法》、《數(shù)據(jù)安全法》、《個(gè)人信息保護(hù)法》以及《行政處罰法》等法律法規(guī)對(duì)滴滴全球股份有限公司作出網(wǎng)絡(luò)安全審查相關(guān)行政處罰，對(duì)公司處以人民幣80.26億元罰款，占其前一年?duì)I收的4.6%，并對(duì)其董事長兼CEO程維、總裁柳青各處人民幣100萬元罰款。本次對(duì)滴滴的行政處罰無疑是我國《網(wǎng)絡(luò)安全法》實(shí)施以來開出的“創(chuàng)紀(jì)錄”罰單，遠(yuǎn)超一年前亞馬遜因違反歐盟GDPR受到的7.43億歐元的處罰，成為全球數(shù)據(jù)保護(hù)領(lǐng)域歷史級(jí)最高額罰單。結(jié)合滴滴此前赴美上市的背景，業(yè)內(nèi)猜測(cè)依法未公開的滴滴的部分違法事實(shí)可能與違規(guī)數(shù)據(jù)跨境傳輸有關(guān)?？梢灶A(yù)見在強(qiáng)監(jiān)管下，數(shù)據(jù)跨境傳輸將成為跨國企業(yè)和出海企業(yè)的數(shù)據(jù)合規(guī)重點(diǎn)。
就在滴滴的處罰結(jié)果公示前不久，我國的數(shù)據(jù)出境規(guī)則相繼制定或落地，為企業(yè)規(guī)范自身數(shù)據(jù)跨境傳輸活動(dòng)送來了“及時(shí)雨”。2022年7月7日，網(wǎng)信辦發(fā)布《數(shù)據(jù)出境安全評(píng)估辦法》（下稱“《評(píng)估辦法》”），定于2022年9月1日起正式施行；同時(shí)，網(wǎng)信辦于2022年6月30日發(fā)布了《個(gè)人信息出境標(biāo)準(zhǔn)合同規(guī)定（征求意見稿）》（下稱“《標(biāo)準(zhǔn)合同規(guī)定》”）及其附件《標(biāo)準(zhǔn)合同》，《評(píng)估辦法》與《標(biāo)準(zhǔn)合同規(guī)定》互為補(bǔ)集，形成了重要數(shù)據(jù)與個(gè)人信息出境的高低路徑。此外，國家信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)（簡稱“信安標(biāo)委”）于2022年6月24日發(fā)布了《網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實(shí)踐指南——個(gè)人信息跨境處理活動(dòng)安全認(rèn)證規(guī)范》（下稱“《認(rèn)證規(guī)范》”），為個(gè)人信息跨境處理活動(dòng)安全認(rèn)證的流程提供了初步依據(jù)與參考。
至此，《個(gè)人信息保護(hù)法》第三十八條所述的個(gè)人信息跨境傳輸合規(guī)的三條主要路徑規(guī)則已大致完備，即（一）通過國家網(wǎng)信部門組織的安全評(píng)估；（二）按照國家網(wǎng)信部門的規(guī)定經(jīng)專業(yè)機(jī)構(gòu)進(jìn)行個(gè)人信息保護(hù)認(rèn)證；和（三）按照國家網(wǎng)信部門制定的標(biāo)準(zhǔn)合同與境外接收方訂立合同，約定雙方的權(quán)利和義務(wù)。
本文旨在通過介紹上述三項(xiàng)數(shù)據(jù)出境規(guī)則的亮點(diǎn)要求，落腳于其所對(duì)應(yīng)的三條數(shù)據(jù)跨境傳輸合規(guī)路徑，并對(duì)照企業(yè)各業(yè)務(wù)領(lǐng)域與應(yīng)用場(chǎng)景進(jìn)行分析，以期為企業(yè)選擇數(shù)據(jù)跨境傳輸合規(guī)路徑提供參考和借鑒。
一、 數(shù)據(jù)跨境傳輸合規(guī)路徑一——申報(bào)數(shù)據(jù)出境安全評(píng)估
《評(píng)估辦法》正式稿的出臺(tái)，標(biāo)志著歷經(jīng)三次征求意見后，數(shù)據(jù)出境安全評(píng)估的要求終于得以明確。同時(shí)，《評(píng)估辦法》將個(gè)人信息與重要數(shù)據(jù)的出境規(guī)則合并規(guī)定，也標(biāo)志著2017年以來一度分立的個(gè)人信息和重要數(shù)據(jù)出境規(guī)則再次回歸統(tǒng)一監(jiān)管。
1.1 《評(píng)估辦法》的適用范圍
根據(jù)《評(píng)估辦法》第四條，下述特定數(shù)據(jù)出境主體或活動(dòng)，應(yīng)當(dāng)采用向企業(yè)所在地省級(jí)網(wǎng)信部門申報(bào)安全評(píng)估（不得選擇其他路徑）作為向境外提供數(shù)據(jù)的合規(guī)路徑：
? 向境外提供重要數(shù)據(jù)：根據(jù)《數(shù)據(jù)安全法》的規(guī)定，各地區(qū)、各部門應(yīng)當(dāng)確定本地區(qū)、本部門以及相關(guān)行業(yè)、領(lǐng)域的重要數(shù)據(jù)具體目錄。但截至發(fā)稿時(shí)，相關(guān)部門尚未發(fā)布該等具體目錄，我們建議企業(yè)可先行參考尚在征求意見之中的國家標(biāo)準(zhǔn)《重要數(shù)據(jù)識(shí)別指南》中提出的重要數(shù)據(jù)識(shí)別因素，識(shí)別企業(yè)自身是否具有重要數(shù)據(jù)。
? 關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者：目前，關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者系由相關(guān)行業(yè)主管部門、監(jiān)督管理部門進(jìn)行認(rèn)定和通知。但企業(yè)可以依據(jù)《國家網(wǎng)絡(luò)安全檢查操作指南》，初步判斷自己是否可能屬于關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者，做到未雨綢繆。為此，可參考本團(tuán)隊(duì)于今年二月撰寫的《能源化工領(lǐng)域數(shù)據(jù)合規(guī)不得不關(guān)注的事兒-上篇》中所述判斷步驟。
? 處理100萬人以上個(gè)人信息的數(shù)據(jù)處理者：本條與滴滴網(wǎng)絡(luò)安全審查啟動(dòng)后發(fā)布的《網(wǎng)絡(luò)安全審查辦法》中關(guān)于掌握超過100萬用戶個(gè)人信息的網(wǎng)絡(luò)平臺(tái)運(yùn)營者國外上市，必須申報(bào)網(wǎng)絡(luò)安全審查的規(guī)定相呼應(yīng)。因此，處理個(gè)人信息達(dá)到該門檻的網(wǎng)絡(luò)平臺(tái)運(yùn)營者赴國外上市可能需同時(shí)申報(bào)數(shù)據(jù)出境安全評(píng)估與網(wǎng)絡(luò)安全審查，而兩者可能在審查要素方面存在重合。
? 自上年1月1日起累計(jì)向境外提供10萬人份個(gè)人信息或者1萬人份敏感個(gè)人信息：該條采用累計(jì)計(jì)算標(biāo)準(zhǔn)，意味著數(shù)據(jù)處理者若在最長2年（上年1月1日到今年12月31日）的期限內(nèi)“多次少量”地進(jìn)行個(gè)人信息出境，也可能需要申報(bào)安全評(píng)估。
? 國家網(wǎng)信部門規(guī)定的其他需要申報(bào)數(shù)據(jù)出境安全評(píng)估的情形：該條作為兜底條款，為未來可能產(chǎn)生的其他適用安全評(píng)估辦法的情形留下了立法空間，如《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例（征求意見稿）》所規(guī)定核心數(shù)據(jù)的出境。
1.2 申報(bào)數(shù)據(jù)安全評(píng)估的“兩步走”流程
《評(píng)估辦法》將數(shù)據(jù)出境風(fēng)險(xiǎn)自評(píng)估明確為申報(bào)安全評(píng)估的前置流程。就評(píng)估事項(xiàng)，數(shù)據(jù)出境風(fēng)險(xiǎn)自評(píng)估與數(shù)據(jù)出境申報(bào)安全評(píng)估的具體事項(xiàng)大致相同，惟后者多了“境外接收方所在國家或者地區(qū)的數(shù)據(jù)安全保護(hù)政策法規(guī)和網(wǎng)絡(luò)安全環(huán)境對(duì)出境數(shù)據(jù)安全的影響；境外接收方的數(shù)據(jù)保護(hù)水平是否達(dá)到中華人民共和國法律、行政法規(guī)的規(guī)定和強(qiáng)制性國家標(biāo)準(zhǔn)的要求；遵守中國法律、行政法規(guī)、部門規(guī)章情況”等國家安全與數(shù)據(jù)安全考量因素。
1.3 其他要點(diǎn)
數(shù)據(jù)出境安全評(píng)估的流程較復(fù)雜，評(píng)估用時(shí)可能較長。理論上，無需材料補(bǔ)正與審查時(shí)限延長情況下的最長用時(shí)為5+7+45=57個(gè)工作日，若評(píng)估結(jié)果為不得出境，另有15個(gè)工作日的復(fù)評(píng)申請(qǐng)期。由于數(shù)據(jù)出境安全評(píng)估的有效期僅為兩年，企業(yè)需定期在有效期屆滿60個(gè)工作日前，或有效期內(nèi)出境情況變化時(shí)重新申報(bào)評(píng)估，還意味著企業(yè)需定時(shí)完成數(shù)據(jù)出境自評(píng)估。
《評(píng)估辦法》雖未直接規(guī)定處罰，但其罰則直接指向《網(wǎng)絡(luò)安全法》、《數(shù)據(jù)安全法》、《個(gè)人信息保護(hù)法》等法律法規(guī)。綜合上述法律，非法數(shù)據(jù)出境的責(zé)任主體最高可被處以五千萬元以下或者上一年度營業(yè)額百分之五以下罰款，并可能被責(zé)令暫停相關(guān)業(yè)務(wù)或者停業(yè)整頓、吊銷相關(guān)業(yè)務(wù)許可或者吊銷營業(yè)執(zhí)照；直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員可被處十萬元以上一百萬元以下罰款，并可能被禁止在一定期限內(nèi)擔(dān)任相關(guān)企業(yè)的董事、監(jiān)事、高級(jí)管理人員和個(gè)人信息保護(hù)負(fù)責(zé)人?！对u(píng)估辦法》一并規(guī)定，違反《評(píng)估辦法》構(gòu)成犯罪的，還應(yīng)依法追究刑事責(zé)任。
二、 數(shù)據(jù)跨境傳輸合規(guī)路徑二——完成個(gè)人信息跨境處理活動(dòng)安全認(rèn)證
《個(gè)人信息保護(hù)法》第三十八條所規(guī)定的個(gè)人信息出境第二條合規(guī)路徑為個(gè)人信息跨境處理活動(dòng)安全認(rèn)證。截至目前，網(wǎng)信辦仍未就該條路徑頒布具體的實(shí)施細(xì)則，但考慮到信安標(biāo)委為多部信息安全技術(shù)領(lǐng)域國家標(biāo)準(zhǔn)的制定方，《認(rèn)證規(guī)范》作為一部標(biāo)準(zhǔn)相關(guān)技術(shù)文件，對(duì)企業(yè)仍具有一定的參考價(jià)值。
根據(jù)《認(rèn)證規(guī)范》，個(gè)人信息跨境處理活動(dòng)安全認(rèn)證的適用情形相對(duì)較狹窄，僅包括跨國公司或者同一經(jīng)濟(jì)、事業(yè)實(shí)體下屬子公司或關(guān)聯(lián)公司之間的個(gè)人信息跨境處理活動(dòng)，以及《個(gè)人信息保護(hù)法》第三條第二款所規(guī)定的境外處理境內(nèi)自然人個(gè)人信息的活動(dòng)。
《認(rèn)證規(guī)范》除明確了個(gè)人信息保護(hù)認(rèn)證的部分實(shí)體與程序要求之外，還規(guī)定個(gè)人信息處理者應(yīng)當(dāng)符合GB/T 35273《信息安全技術(shù) 個(gè)人信息安全規(guī)范》的要求。但是，受制于其體例與效力層級(jí)，個(gè)人信息保護(hù)認(rèn)證的具體有權(quán)認(rèn)證機(jī)構(gòu)、程序與要求，仍待網(wǎng)信辦后續(xù)進(jìn)一步發(fā)布相關(guān)法規(guī)予以明晰。
三、 數(shù)據(jù)跨境傳輸合規(guī)路徑三——簽訂標(biāo)準(zhǔn)合同
3.1 適用范圍
簽訂標(biāo)準(zhǔn)合同這一路徑與數(shù)據(jù)出境安全評(píng)估互為補(bǔ)集，前者的條件上限與后者的條件下限能夠完整對(duì)應(yīng)。具體而言，可以將簽訂標(biāo)準(zhǔn)合同作為合規(guī)數(shù)據(jù)出境路徑的個(gè)人信息處理者需同時(shí)滿足以下條件：
? 非關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者
? 處理個(gè)人信息不滿100萬人
? 自上年1月1日起累計(jì)向境外提供未達(dá)到10萬人個(gè)人信息
? 自上年1月1日起累計(jì)向境外提供未達(dá)到1萬人敏感個(gè)人信息
如前文所述，《評(píng)估辦法》要求企業(yè)在進(jìn)行數(shù)據(jù)跨境傳輸前進(jìn)行數(shù)據(jù)出境風(fēng)險(xiǎn)自評(píng)估，與之類似，《標(biāo)準(zhǔn)合同規(guī)定》也要求企業(yè)在進(jìn)行個(gè)人信息跨境傳輸前進(jìn)行個(gè)人信息保護(hù)影響評(píng)估，二者雖然不具有相互替代性，但評(píng)估事項(xiàng)的內(nèi)容大體一致，均在《個(gè)人信息保護(hù)法》第五十六條規(guī)定基礎(chǔ)上細(xì)化了與數(shù)據(jù)出境相關(guān)的評(píng)估要點(diǎn)。
3.2 《標(biāo)準(zhǔn)合同》要點(diǎn)
《標(biāo)準(zhǔn)合同規(guī)定》所附的《標(biāo)準(zhǔn)合同》的要點(diǎn)頗多，例如：
? 必備條款：締約雙方應(yīng)確保《標(biāo)準(zhǔn)合同》包含《標(biāo)準(zhǔn)合同規(guī)定》第六條所列的必備條款，以及確保所簽訂的個(gè)人信息出境其他相關(guān)合同不與《標(biāo)準(zhǔn)合同》相沖突。
? 當(dāng)?shù)貍€(gè)人信息保護(hù)政策法規(guī)的影響：《標(biāo)準(zhǔn)合同》采取了較為寬松的表述，要求個(gè)人信息處理者和境外接收方均保證，已經(jīng)經(jīng)過合理努力仍未獲悉當(dāng)?shù)氐南嚓P(guān)政策法規(guī)會(huì)阻止境外接收方履行本合同規(guī)定的義務(wù)。
? 爭議解決方式：履行《標(biāo)準(zhǔn)合同》期間若發(fā)生爭議的，合同雙方可以選擇中國法院進(jìn)行訴訟，也可以選擇《紐約公約》成員國的仲裁機(jī)構(gòu)解決糾紛，且未對(duì)仲裁地作進(jìn)一步規(guī)定。《標(biāo)準(zhǔn)合同》所提供的境外仲裁選項(xiàng)，將增強(qiáng)境外接收方簽訂《標(biāo)準(zhǔn)合同》的意愿。
3.3 《標(biāo)準(zhǔn)合同》的備案管理
就《標(biāo)準(zhǔn)合同》的備案管理，個(gè)人信息處理者應(yīng)向所在地省級(jí)網(wǎng)信部門提交標(biāo)準(zhǔn)合同文本與個(gè)人信息保護(hù)影響評(píng)估報(bào)告。值得注意的是，《標(biāo)準(zhǔn)合同規(guī)定》并未規(guī)定對(duì)備案材料進(jìn)行實(shí)質(zhì)性審查，也未將完成備案作為數(shù)據(jù)出境的前置步驟。標(biāo)準(zhǔn)合同生效后，個(gè)人信息處理者即可開展個(gè)人信息出境活動(dòng)，而備案的時(shí)間節(jié)點(diǎn)則為標(biāo)準(zhǔn)合同生效之日起10個(gè)工作日內(nèi)。
當(dāng)然，《標(biāo)準(zhǔn)合同規(guī)定》第八條還就締約雙方應(yīng)當(dāng)重新簽訂合同并再次履行備案義務(wù)的情形進(jìn)行了列舉，這些情形與安全評(píng)估路徑下應(yīng)當(dāng)重新申報(bào)評(píng)估的情形有一定重合。
四、 三條數(shù)據(jù)跨境傳輸合規(guī)路徑之比較
如上文介紹，三條數(shù)據(jù)跨境傳輸合規(guī)路徑的適用范圍均有明確的界限，其不同之處也較為明顯。
4.1 適用范圍
數(shù)據(jù)出境安全評(píng)估路徑的適用范圍為三者中最廣。我國互聯(lián)網(wǎng)用戶基數(shù)較大，意味著中型互聯(lián)網(wǎng)企業(yè)和其他領(lǐng)域頭部企業(yè)即可達(dá)到“100萬人以上個(gè)人信息”這一門檻，且重要數(shù)據(jù)跨境與關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者所進(jìn)行的跨境傳輸活動(dòng)僅能申報(bào)數(shù)據(jù)出境安全評(píng)估。標(biāo)準(zhǔn)合同的適用范圍又廣于安全認(rèn)證，后者的適用情形較為狹窄、確定。
4.2 流程與時(shí)限
安全評(píng)估的流程為三者中最復(fù)雜，其辦結(jié)時(shí)限也最長。由于標(biāo)準(zhǔn)合同路徑下的個(gè)人信息出境僅以標(biāo)準(zhǔn)合同生效為前置條件，其時(shí)限相對(duì)最短，為處理個(gè)人信息未達(dá)到安全評(píng)估門檻的企業(yè)的最佳選擇。至于安全認(rèn)證，由于《安全認(rèn)證規(guī)范》多為原則性內(nèi)容，也非強(qiáng)制性規(guī)范，相關(guān)認(rèn)證的流程、時(shí)限、具體要求等仍有待更高效力層級(jí)的法規(guī)文件予以補(bǔ)充規(guī)定。
4.3 靈活度
安全評(píng)估與簽訂標(biāo)準(zhǔn)合同都具備“一事一議”性，相關(guān)法規(guī)均規(guī)定了有效期內(nèi)需重新簽訂標(biāo)準(zhǔn)合同或申報(bào)安全評(píng)估的情形。相較而言，安全認(rèn)證適于跨國公司或者同一經(jīng)濟(jì)、事業(yè)實(shí)體下屬子公司或關(guān)聯(lián)公司之間的個(gè)人信息跨境處理活動(dòng)。由于安全認(rèn)證具備長效性，在有效期（待相關(guān)法規(guī)進(jìn)一步規(guī)定）內(nèi)，若認(rèn)證事項(xiàng)沒有發(fā)生實(shí)質(zhì)性變化，業(yè)已取得的安全認(rèn)證可作為人事、郵件信息交換等連續(xù)、高頻率跨境處理活動(dòng)的合法性基礎(chǔ)，企業(yè)無需重復(fù)申請(qǐng)認(rèn)證。
4.4 所需的法律文件要求
三條路徑均對(duì)數(shù)據(jù)處理者與境外接收方之間訂立的法律文件有明確要求，其中簽訂標(biāo)準(zhǔn)合同與安全評(píng)估兩條路徑都要求簽訂協(xié)議/合同，惟安全評(píng)估路徑對(duì)文件形式的要求不限于協(xié)議，可以為其他具有法律效力的文件。但是，安全評(píng)估將對(duì)該等文件是否約定數(shù)據(jù)安全保護(hù)責(zé)任進(jìn)行實(shí)質(zhì)審查，故該路徑下法律文件的自由度實(shí)際上有限。
協(xié)議內(nèi)容上，簽訂標(biāo)準(zhǔn)合同對(duì)于境外接收方接受中國法管轄的規(guī)定相較于安全認(rèn)證較為寬松，后者要求境外接收方承諾接受認(rèn)證機(jī)構(gòu)監(jiān)督，并接受中國個(gè)人信息保護(hù)相關(guān)法律、行政法規(guī)管轄，而標(biāo)準(zhǔn)合同僅限定合同受中國法管轄，對(duì)爭議解決方式的規(guī)定也有一定自由度。
五、 結(jié)語
《評(píng)估辦法》規(guī)定了6個(gè)月的整改寬限期。在其適用范圍內(nèi)的企業(yè)須在2023年2月28日之前完成整改，時(shí)間較為緊迫。由于整個(gè)安全評(píng)估流程可達(dá)兩個(gè)月以上，為避免企業(yè)在整改寬限期屆滿時(shí)，因評(píng)估結(jié)果未出而面臨無法開展數(shù)據(jù)出境活動(dòng)的尷尬局面，我們建議相關(guān)企業(yè)在2022年12月1日前盡快完成包括自評(píng)估在內(nèi)的自我整改工作，并準(zhǔn)備好申報(bào)文件，以留出充分的時(shí)間向主管機(jī)關(guān)申報(bào)評(píng)估。
為在上述時(shí)限到來前做到“嚴(yán)陣以待”，具體而言，我們建議企業(yè)參考如下流程盡快完成對(duì)數(shù)據(jù)出境路徑的審視與選擇：
? 數(shù)據(jù)梳理、分類分級(jí)：包括計(jì)算所處理個(gè)人信息的主體數(shù)量、擬出境個(gè)人信息數(shù)量是否達(dá)到上述“門檻”，以及梳理出可能的重要數(shù)據(jù)。我們建議企業(yè)暫緩可能構(gòu)成重要數(shù)據(jù)的數(shù)據(jù)出境，并等待相關(guān)數(shù)據(jù)目錄的正式發(fā)布。
? 可依據(jù)“最小必要”原則剔除并非必須出境的數(shù)據(jù)，以降低出境數(shù)據(jù)規(guī)模。為此，可對(duì)非必要出境數(shù)據(jù)考慮落實(shí)數(shù)據(jù)本地化措施。
? 由于上述事項(xiàng)與個(gè)人信息保護(hù)影響評(píng)估和數(shù)據(jù)出境自評(píng)估的內(nèi)容有一定重合度，可一并進(jìn)行個(gè)人信息保護(hù)影響評(píng)估或數(shù)據(jù)出境自評(píng)估。
? 根據(jù)初步選定的數(shù)據(jù)出境路徑，依據(jù)相關(guān)數(shù)據(jù)出境規(guī)則的要求完成申報(bào)材料、標(biāo)準(zhǔn)合同等文件的準(zhǔn)備。
滬公網(wǎng)安備 31010402007129號(hào)
