数据出境需申报安全评估
办法意见稿对申报数据出境安全评估做出规定，数据处理者向境外提供数据，符合以下情形之一的，应当通过所在地省级网信部门向国家网信部门申报评估：
一、关键信息基础设施的运营者收集和产生的个人信息和重要数据；
二、出境数据中包含重要数据；
三、处理个人信息达到一百万人的个人信息处理者向境外提供个人信息；
四、累计向境外提供超过十万人以上个人信息或者一万人以上敏感个人信息；
五、国家网信部门规定的其他需要申报数据出境安全评估的情形。
需事先开展数据风险自评估
办法意见稿进一步规定，数据处理者在向境外提供数据前，应事先开展数据出境风险自评估，重点评估以下事项：
一、数据出境及境外接收方处理数据的目的、范围、方式等的合法性、正当性、必要性；
二、出境数据的数量、范围、种类、敏感程度，数据出境可能对国家安全、公共利益、个人或者组织合法权益带来的风险；
三、数据处理者在数据转移环节的管理和技术措施、能力等能否防范数据泄露、毁损等风险；
四、境外接收方承诺承担的责任义务，以及履行责任义务的管理和技术措施、能力等能否保障出境数据的安全；
五、数据出境和再转移后泄露、毁损、篡改、滥用等的风险，个人维护个人信息权益的渠道是否通畅等；
六、与境外接收方订立的数据出境相关合同是否充分约定了数据安全保护责任义务。
数据出境安全评估重点考量
根据办法意见稿规定，数据出境安全评估重点评估数据出境活动可能对国家安全、公共利益、个人或者组织合法权益带来的风险，主要包括以下事项：
一、数据出境的目的、范围、方式等的合法性、正当性、必要性；
二、境外接收方所在国家或者地区的数据安全保护政策法规及网络安全环境对出境数据安全的影响；境外接收方的数据保护水平是否达到中华人民共和国法律、行政法规规定和强制性国家标准的要求；
三、出境数据的数量、范围、种类、敏感程度，出境中和出境后泄露、篡改、丢失、破坏、转移或者被非法获取、非法利用等风险；
四、数据安全和个人信息权益是否能够得到充分有效保障；
五、数据处理者与境外接收方订立的合同中是否充分约定了数据安全保护责任义务；
六、遵守中国法律、行政法规、部门规章情况；
七、国家网信部门认为需要评估的其他事项。
办法意见稿规定，在国家网信部门受理申报后，将组织行业主管部门、国务院有关部门、省级网信部门、专门机构等进行安全评估。涉及重要数据出境的，国家网信部门将进一步征求相关行业主管部门意见。
企业将面临监管合规刚需
值得留意的是，《数据出境安全评估办法》将作为之前发布的《网络安全审查办法》的补充，对国内涉外的相关网络信息化活动做出明确的数据安全界定，此次办法意见稿在意见征集正式出台之后，数据处理者将面临新的合规要求。
即是安全评估，就是要站在国家角度上，将涉及出境的数据做出的零风险把控，而不是降低风险，从数字时代数据的重要性角度而言，办法拥有高度必要性。
从办法意见稿界定的法律责任来看，对违反办法规定的，依照标准将参照《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》等法律法规的规定处理。办法明确规定，构成犯罪的，将依法追究刑事责任。
评估办法重点仍是数据防护能力
从对应的参照法律责任界定，以及风险评估及风险自评估重点考量内容来看，数据处理者除了应遵循制定的规则，其重点还是数据处理者对数据本体的安全防护能力，重重之重还是数据在出境转移过程中不能出现泄露、滥用等事件，也就是说要有相应的安全能力来应对。
从评估要求可以看出，其中涉及数据使用的场景表述为“数据处理者在数据转移环节”或“数据出境和再转移”两处，“转移”对应的是“共享”行为，其中安全能力表现为对应不同风险敞口的数据安全防护能力。
评估要求还有数据“种类”、“敏感程度”提出考量，这实际正是《数据安全法》当中对数据要实行“分类分级”的具体落实，反之也是用各行业合规标准的分类分级方法达成合规。细分下来，金融、电信数据分类分级国家已出台相应的分类分级标准，互联网平台数据分类分级标准也在制订中。
特别值得提及的是，随着办法意见稿征求意见，先前的《个人信息和重要数据出境安全评估办法（征求意见稿）》和《个人信息出境安全评估办法》已自然废止，相关企业应留意跟进。同时，征求意见稿距离规定实施还有段时间，但留给相关企业的缓冲期也只有一个月，各大企业要尽早准备，提前面对监管合规刚需。
京公网安备 11010802033237号
