中國《數據出境安全評估辦法》及申報指南解讀 ?

#本文僅代表作者觀點，不代表IPRdaily立場，未經作者許可，禁止轉載#

“本文將從《數據出境安全評估辦法》的適用范圍、安全評估流程、所需提交材料介紹以及企業合規建議角度對《辦法》及申報指南進行簡要解讀?！?/strong>

來源：IPRdaily中文網（iprdaily.cn）

作者：劉海生 夏琳 上海魏和劉律師事務所

備受關注的中國《數據出境安全評估辦法》（以下簡稱“《辦法》”）已經于2022年9月1日起生效，而就在生效前夕中國國家網信辦又公布了與《辦法》配套使用的《數據出境安全評估申報指南（第一版）》（以下簡稱“指南”），至此，《網絡安全法》、《數據安全法》、《個人信息保護法》中均有提及的“安全評估”終于從紙上程序落實到了實處。是否需要進行數據出境安全評估以及如何開展也成了許多涉及數據出境場景的公司，尤其是駐華跨國企業的重要合規課題。

本文將從《辦法》的適用范圍、安全評估流程、所需提交材料介紹以及企業合規建議角度對《辦法》及申報指南進行簡要解讀。

一、適用范圍

《辦法》中規定的數據出境場景包括哪些呢?根據《辦法》第2條及指南第一條，數據出境包括兩類情形，一種是主動出境，即數據處理者在日常運營中收集和產生的數據傳輸、存儲至境外，實踐中常見的場景是境內主體通過軟件包括電子郵件、FTP、跨境搭建的VPN、API等傳輸信道以及硬件包括U盤、移動硬盤、甚至裝載數據的便攜筆記本等向境外主體提供數據，或者境內主體使用海外服務器時產生的數據上傳或存儲；另外一種是被動出境，即數據處理者收集和產生的數據存儲在境內，境外的機構、組織或者個人可以查詢、調取、下載、導出，實踐中常見的場景是境外主體通過訪問境內主體部署于境內的公開網頁、服務器、數據庫或信息系統等獲取數據。相比于主動出境的情形，數據被動出境的情形更容易被企業忽略。

什么樣的情況下需要進行申報安全評估呢？根據《辦法》第四條，當符合以下四個條件之一時，便需依照《辦法》的規定，進行申報：

（1）向境外提供重要數據；

（2）關鍵信息基礎設施運營者和處理100萬人以上個人信息的處理者向境外提供個人信息；

（3）自上年1月1日起累計向境外提供10萬人個人信息或者1萬人敏感個人信息的數據處理者向境外提供個人信息；

（4）網信部門規定的需要進行申報的情形。

然而，目前現行有效的法律法規、國家標準以及指南中并沒有對《辦法》中未釋明的部分（比如哪些屬于重要數據、個人信息數量的計算標準等）作進一步的細化和解釋，現階段企業還是需要參考已發布的相關信息安全技術國家標準的征求意見稿進行判斷，這同時也為企業在短時間進行數據合規的內部排查帶來了不小的挑戰。

二、申報安全評估

若企業經梳理，落入了《辦法》的適用范圍，應該依照怎樣的流程開展數據安全評估工作呢？

《辦法》明確了安全評估的具體流程，首先是應進行自評估，自評估結束形成自評估報告后并齊備其他所需材料提交所在地省級網信部門，省級網信部門在收到材料后5個工作日內進行形式審查并決定是否報送國家網信部門進行審查。國家網信部門在收到后7個工作日內確定是否受理，并在發出受理通知后45個工作日完成安全評估并告知申請人結果。整個申報流程最短需57個工作日。若出現補充、更正材料的，該周期將會進一步延長。

明白了申報流程，那么需要進行申報的企業應準備哪些材料呢？

《辦法》第六條規定了提交安全評估所需提交的材料，而指南則進一步細化并提供了相應模板。從提交的申報材料來看，主要有申報人身份信息材料、經辦人授權委托書、申報表、與數據接收方簽訂的數據出境相關合同或其他法律文件、自評估報告以及其他證明材料。值得一提的是，申報表中要求數據處理者提供自身基本信息、法定代表人、數據安全負責人和管理機構信息、經辦人信息、數據出境的業務、目的、方式、鏈路、出境數據情況、境外接收方信息及接收方數據安全責任人和管理機構信息，且要求數據處理者對于遵守中國法律、行政法規、部門規章情況進行說明。

本次發布的指南也附帶了自評估報告的模板，模板中要求數據處理者對自身的基本情況、出境數據情況、數據安全保障能力等進行說明和評估。且對境外接收方的基本情況和數據安全保障能力進行評估。同時，還應當對評估發現的問題和風險隱患采取了怎樣的整改措施及達到了什么樣的整改效果進行說明。

需要特別注意的是，安全評估并非一勞永逸，評估結果自通過之日起兩年內有效，若企業在兩年后仍有數據出境活動的，則應當在評估結果期滿之前60個工作日重新申報安全評估。由此看來，定期數據安全評估將成為有數據跨境傳輸需求的企業的常態化數據合規工作之一。同時《辦法》給予了尚未進行安全評估的企業6個月的整改期限，要求落入適用范圍的企業在《辦法》生效之日起6個月內完成整改。

三、企業合規建議

數據出境已成為企業經營過程中需要重點關注的合規風險，企業的數據出境合規必須做到全面有效地識別出境數據，持續控制和監管數據出境路徑和出境接口，建立數據出境的管理體系和制度，從而實現企業全面和常態化數據出境合規管理。因此，根據上述內容介紹，我們建議企業可以從以下方面盡快開展數據合規管理工作：

1.指南中發布的申報表中，要求明確數據處理者及境外接收方的數據安全負責人和管理機構信息。為了更加有序高效的開展數據出境安全評估工作，建議尚未設立數據安全負責人和機構的公司，應當盡快指定，并明確工作職責、工作規程等。對于落入《辦法》適用范圍的企業，因安全評估需要定期進行，所以建議設置常設崗位。

2.由于《辦法》給予企業的整改期限僅有6個月，且申報周期也較長，對于存在數據出境場景的企業，建議盡快開展內部梳理，估算整體出境數據規模，盡早決定是否申報安全評估。而且因提交材料中涉及到境外接收者的很多信息，在企業內部梳理同時，也應當并行開展跟境外接收方的溝通及基礎資料準備工作，避免造成因溝通不暢而產生過多的時間和精力。

3.本次指南提供的模板中，數據處理者需要說明自身的“數據安全管理能力，包括管理組織體系和制度建設情況，全流程管理、分類分級、應急處置、風險評估、個人信息權益保護等制度及落實情況”。對于此前未系統開展過數據合規工作的企業，應盡快制定符合前述要求的數據安全管理框架及各項數據合規規章制度，既為了滿足法律法規的要求，也能夠促進數據合規工作的有效順利開展?！掇k法》不過短短20條，指南也只有寥寥幾頁，但是其中卻涉及了紛繁復雜的數據合規工作，給企業的合規工作帶了巨大的挑戰。數字化時代，我們不可能也不應該逆流而行，而應順應時代要求，切實重視數據合規工作，并予以落實。

（原標題：中國《數據出境安全評估辦法》及申報指南解讀）

來源：IPRdaily中文網（iprdaily.cn）

作者：劉海生 夏琳 上海魏和劉律師事務所

編輯：IPRdaily趙甄          校對：IPRdaily縱橫君

注：原文鏈接：中國《數據出境安全評估辦法》及申報指南解讀（點擊標題查看原文）

「關于IPRdaily」

IPRdaily是全球領先的知識產權綜合信息服務提供商，致力于連接全球知識產權與科技創新人才。匯聚了來自于中國、美國、歐洲、俄羅斯、以色列、澳大利亞、新加坡、日本、韓國等15個國家和地區的高科技公司及成長型科技企業的管理者及科技研發或知識產權負責人，還有來自政府、律師及代理事務所、研發或服務機構的全球近100萬用戶（國內70余萬+海外近30萬），2019年全年全網頁面瀏覽量已經突破過億次傳播。

（英文官網：iprdaily.com  中文官網：iprdaily.cn） 

本文來自IPRdaily中文網（iprdaily.cn）并經IPRdaily.cn中文網編輯。轉載此文章須經權利人同意，并附上出處與作者信息。文章不代表IPRdaily.cn立場，如若轉載，請注明出處：“http://www.meihaolucy.com”