《數據出境安全評估辦法》9月實施

明確四種情形須申報 專家：數據合法合規出境利於企業海外擴張

香港文匯報訊（記者 海巖 北京報道）在滴滴、滿幫（內地最大城際整車物流與車貨匹配信息平台運營企業）、BOSS直聘等互聯網平台赴美上市引發數據出境擔憂及網絡安全審查一年之後，由國家互聯網信息辦公室擬定的《數據出境安全評估辦法》正式對外發布，並將從2022年9月1日起施行。該辦法明確，關鍵信息基礎設施運營者和處理100萬人以上個人信息的數據處理者，以及自上年1月1日起累計向境外提供10萬人個人信息或者1萬人敏感個人信息的數據處理者向境外提供個人信息時等四種情形下，應當通過所在地省級網信部門向國家網信部門申報數據出境安全評估。專家表示，隨着內地一系列法律法規出台，數據出境規則日益清晰，將改變目前數據信息出境一團煙霧的窘境，讓企業真正能夠合法合規實現數據出境。

網信辦相關負責人在答記者問中表示，近年來，隨着數字經濟的蓬勃發展，數據跨境活動日益頻繁，數據處理者的數據出境需求快速增長。明確數據出境安全評估的具體規定，是促進數字經濟健康發展、防範化解數據跨境安全風險的需要，是維護國家安全和社會公共利益的需要，是保護個人信息權益的需要。此次辦法規定了數據出境安全評估的範圍、條件和程序，為數據出境安全評估工作提供了具體指引。

數據出境堅持事前評估和持續監督

辦法明確，數據處理者向境外提供在中華人民共和國境內運營中收集和產生的重要數據和個人信息的安全評估適用本辦法。提出數據出境安全評估堅持事前評估和持續監督相結合、風險自評估與安全評估相結合等原則。

網信辦早在去年10月對外發布《數據出境安全評估辦法》草案公開徵求意見。與公開徵求意見稿相比，最終落地文件中明確四種情形下需要申報網絡安全評估，其中一項重要修改是，為申報安全評估的個人信息出境數量積累設定了明確時間節點，即「自上年1月1日起累計向境外提供10萬人個人信息或者1萬人敏感個人信息的數據處理者向境外提供個人信息」，需要申報數據出境安全評估。

業內專家指出，對於數據信息數量的計算一直都是難題，此前通常以個人信息「條數」為單位，但如何成為「一條個人信息」本身存在很大爭議，導致計算結果有很大不確定性。新規使用個人信息主體數量作為單位，同時明確計算周期，使得企業可以精確識別是否需要申報安全評估。比如一些跨國企業設在境外的辦公、人力、郵件系統，只要在連續兩年期間內所傳輸出境的數據相關個人信息主體數量在1萬人之下，就可以確定不必進行安全評估申報。

此外，最新發布的文件延續徵求意見稿中所要求的「關鍵信息基礎設施運營者和處理100萬人以上個人信息的數據處理者向境外提供個人信息」時，需要申報安全審查。

存量數據出境整改給予6個月過渡期

此次新發布的辦法明確了省級網信部門和國家網信部門的逐級審查要求。在正常流程中，數據出境安全評估需要57個工作日，如果情況複雜或者需要補充、更正材料的還會需要2-4個月甚至更長的時間，如果需要複評則也會需要更長時間。

另外，此次文件提出對於本辦法施行前已經開展的數據出境活動，即存量數據出境，不符合本辦法規定的，應當自本辦法施行之日起6個月內完成整改。業內認為，此舉既保障了已有業務的連續性，避免一些重要跨境服務被打斷；也通過給予6個月過渡期，相關企業盡快完成安全評估或完成業務調整，避免不必要的重要數據和過量個人信息出境。

內地數據出境監管日益完善

去年6月30日，內地出行平台滴滴在紐交所低調掛牌，但搶跑上市不足48個小時，就被中國政府啟動網絡安全審查，此後經歷暫停新用戶註冊、App下架、部門進駐等一系列監管風暴，內地針對數據出境的監管拉開大幕；2021年12月3日，上市155天後，宣布啟動紐交所退市和中國香港主板上市準備工作。與滴滴同時遭遇監管衝擊的還有內地貨運平台「運滿滿」「貨車幫」以及互聯網招聘平台「BOSS直聘」，官方均對其宣布實施網絡安全審查、停止新用戶註冊等。今年6月29日晚，在網絡安全審查一年之後，BOSS直聘、滿幫均宣告，經報網絡安全審查辦公室同意，即日起恢復「BOSS直聘」和「運滿滿」「貨車幫」的新用戶註冊，而同樣受到網絡安全審查的滴滴尚未公布進展及App恢復情況。

中國信息通信研究院互聯網法律研究中心高級研究員劉耀華向香港文匯報記者指出，數據跨境是跨國企業的「剛需」，長期以來中國數據跨境的具體規則沒有落地，導致合規工作無從下手。過去一年，隨着《網絡安全法》配套法規陸續落地，《數據安全法》、《個人信息保護法》先後觸痛，《數據出境安全評估辦法》即將實施，《個人信息出境標準合同規定》等配套文件對外徵求意見稿，數據跨境的監管規則日益補充完善。這對中國企業海外擴張及上市，以及外資企業在華運營的數據跨境監管，明確了監管規格，有利於企業長期穩定經營。

數據出境安全評估四種情況

（一）數據處理者向境外提供重要數據；

（二）關鍵信息基礎設施運營者和處理100萬人以上個人信息的數據處理者向境外提供個人信息；

（三）自上年1月1日起累計向境外提供10萬人個人信息或者1萬人敏感個人信息的數據處理者向境外提供個人信息；

（四）國家網信部門規定的其他需要申報數據出境安全評估的情形。

整理：香港文匯報記者 海巖