数据安全沙龙 ∣《个人信息出境安全评估办法（征求意见稿）》的思考与建议

近日，阿里巴巴数据安全研究中心联合数据保护官（DPO）社群在北京举办沙龙，围绕国家互联网信息办公室近期公开征求意见的《个人信息出境安全评估办法（征求意见稿）》的重点条款展开集中讨论，并提出了创新性的意见和建议。

沙龙现场讨论的部分共识：

《个人信息出境安全评估办法（征求意见稿）》（以下简称“征求意见稿”）针对网络运营者提出了个人信息出境安全评估要求。“征求意见稿”具体内容按照安全评估的全流程逐步展开，如下图。

“征求意见稿”的制度设计，无论是对合同、个人信息出境安全风险及安全保障措施分析报告，还是省级网信部门开展评估的重点等，均强调了个人信息流出国境后持续对个人合法合法权益的保护。

DPO社群认为，国家动用公权力来保护不同类型数据，其核心诉求肯定有所不同。

DPO社群认为，个人信息出境安全，主要是避免出于“经济目的”为导向的数据泄露和滥用事件；重要数据出境，主要是避免出于“政治和安全目的”为导向的数据泄露和滥用事件。

既然个人信息和重要数据出境安全评估所要防范的风险事件有着本质上的不同，出境安全评估的设计也应体现不同的理念、重点。防范性质不同的数据安全事件，采取的手段自然也就不同。对个人信息出境监管来说，制度核心应当是通过安全评估，反向激励企业在个人信息出境时，真正地承担起责任（accountability）原则，管控数据出境链条中各合作方的行为。而对重要数据出境来说，因为面对的是以“政治和安全目的”的攻击，就算企业承担了责任，也经常无济于事。

目前的“征求意见稿”作出了“网络运营者申报”、“省级网信部门评估合格后批准”的设计，在实践中很可能无法起到上述激励作用。相反，企业中负责数据安全和合规的部门，事实上可以将“锅”甩给省级网信部门：原本面对业务部门开展经营的诉求，企业中的数据安全和合规部门本来是站在他们“对立面”，时常要踩刹车；但现在的申报批准制，相当于政府部门承担了原本企业中数据安全和合规的部门“踩刹车”的责任，原本企业中不同部门之间的“制衡”就不复存在。在这样的制度设计中，企业中数据安全和合规的部门的最佳策略肯定是和业务部门站在一起，对业务诉求一律开绿灯，事事申报。申请不过，是监管的责任；申请过了，如果最终出了任何数据安全问题，也是监管的责任。

DPO社群认为，企业天然就具有开展业务获得经济利益的诉求。当下，在全球都开始重视数据安全保护的情况下，正规运营的企业无论高层到一线，均认识到企业加强数据安全和个人信息保护工作，已经是不可逆转的趋势。因此，政府开展包括出境安全评估在内的数据安全保护制度设计，最重要的是让企业意识到：“没有这个金刚钻，就别揽这个瓷器活”。

建立符合“权责一致原则”的个人信息出境安全评估制度建议

首先，综合实际情况，存在以下几种无需备案的情形：

1. 出于维护个人信息主体或其他个人的生命、财产等重大合法权益所必需；

2. 履行境内法律法规规定的义务相关的；

3. 由个人主动发起，且境外数据接收方为数据实际出境过程中唯一或主要的数据控制者的；

[重点说明1：此种情形主要包括个人直接登录境外网站或应用以购买商品或服务，例如买机票、订酒店等；但不包括以下情形：境内网络运营者平台作为中介，个人通过该中介服务购买了境外的商品或服务。在此情形中，境内网络运营者平台和境外数据接收方同为数据控制者。因此，境内平台与境外数据接收方的商业合作模式和数据流动模式应进行备案。

重点说明2：同样起到上述目的的另外一种可能的表述是：由个人主动发起的数据出境活动的必需的，无需备案；但在数据出境过程中为提供该数据出境提供技术支持和协助的第三方平台，应就数据出境技术支持和协助的安全性进行自评估并备案。]

1. 个人主动拨打电话，以及发送短信、传真、电子邮件等；

2. 涉及已经合法公开的个人信息或个人自行公开的个人信息。

其次，境内的数据发送方在其自行决定的具体数据跨境业务启动日期，提前二十日向省级网信部门提交材料，进行备案。提交的材料包括：

1. 备案表；

2. 数据出境相关的合同条款，或专门的数据出境合同[重点说明：业务合作合同中涉及企业大量的商业秘密。建议向仅仅备案与数据出境相关的具体合同条款；或者作为业务合作合同附件的专门就数据出境作出约定的协议文本。业务合作中会对数据出境安全造成影响的因素，企业会在“个人信息出境安全风险及安全保障措施分析报告”作出披露并开展风险分析];

3. 个人信息出境安全风险及安全保障措施分析报告。

随后，数据发送方备案后二十日内未接到省级网信部门的通知，可自行启动数据跨境业务。如果省级网信部门收到备案材料二十日内，发现特定企业所开展的数据出境业务有可能存在以下情形的，省级网信部门通知该数据发送方，并组织专家或技术力量进行安全评估。安全评估启动情形如下：

1. 存在个人合法权益无法保障的风险；

2. 存在损害国家安全、社会公共利益的风险；

3. 国家有关部门认定的其他风险。

建立“权责一致原则”的个人信息出境安全评估制度的益处

1.从企业的角度来看

如此制度设计的好处在于给了企业非常强的数据安全和合规激励。即，如果企业在选择境外业务合作伙伴、设计相关合同或条款等方面做出足够的努力，提供了足够的安全水平，并且就准备了一目了然、令人信服的个人信息出境安全风险及安全保障措施分析报告，那业务开展就能有比较大的确定性和可控性，特别是业务部门不用等待政府部门的“绿灯”，才能开展业务——只要在具体业务启动提前二十日提交备案材料，随后就能如期开展与境外的合作。相反如果某个企业对数据出境的安全“漫不经心”，随意选择合作伙伴，且准备的材料不充分，自然政府部门将启动评估，合作将不得不作出显著调整，甚至于中止。

2.从省级网信部门的角度来看

如此的制度设计，避免了省级网信部门可能需要承担原本由企业内部数据安全和合规部门所应该承担的职责。企业有非常强的动力去选择合作伙伴以及进行相关的条款设计。并且，企业在提供“个人信息出境安全风险及安全保障措施分析报告”时，有动力做到详细、周全，免去了省级网信部门开展调查、问询等大量的获取信息的成本。更重要的是，这样的制度设计给了省级网信部门“能进能退”的自主空间。且根据外部形势变化和风险的演进，省级网信部门能够灵活地“拧紧”或者“放松”数据出境的“闸口”。

3.对于备案系统的设计

对于备案系统及在备案系统中提交的文件，可进一步参考《具有舆论属性或社会动员能力的互联网信息服务的安全评估报告（模板）》，主要包含以下事项：

(1) 开展数据出境评估的情形[例如：新数据出境安全评估、两年后的再评估、重大变更后的重新评估等];

(2) 数据发送方和接收方安全负责人及安全管理机构设立情况；

(3) 数据出境安全风险分析及采取的控制措施情况分析；

(4) 数据出境评估合同的情况[例如，使用的是标准合同，或者使用的是其他类型合同。DPO社群期待：全国性网络安全标准化组织或者行业协会能够制定符合本办法要求的“数据出境示范合同”，并获得国家网信部门的同意];

(5) 数据出境自评估记录保存情况。

整理：博雷

责编：张晶晶

生成海报

免责声明：本网站内容主要来自原创、合作伙伴供稿和第三方自媒体作者投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。任何单位或个人认为本网站中的网页或链接内容可能涉嫌侵犯其知识产权或存在不实内容时，应及时向本网站提出书面权利通知或不实情况说明，并提供身份证明、权属证明及详细侵权或不实情况证明。本网站在收到上述法律文件后，将会依法尽快联系相关文章源头核实，沟通删除相关内容或断开相关链接。