个人信息出境又添重磅文件

《个人信息保护法》对个人信息出境管理作出顶层设计，规定了国际条约或协定、安全评估、个人信息保护认证、标准合同四种个人信息出境方式。此次出台的《办法》明确了个人信息出境标准合同的适用范围、订立条件和备案要求，将于2023年6月1日起施行。《办法》明确，个人信息处理者通过订立标准合同的方式向境外提供个人信息，应当同时符合下列情形：一是非关键信息基础设施运营者；二是处理个人信息不满100万人的；三是自上年1月1日起累计向境外提供个人信息不满10万人的，同时累计向境外提供敏感个人信息不满1万人的。

业内人士表示，作为一种个人信息出境方式，标准合同具有便捷化、成本低的特征。“100万”“10万”“1万”等数量与《数据出境安全评估办法》明确的四种应当申报数据出境安全评估的情形相呼应，基本上是把标准合同定位在相对“小规模、不重要”的数据出境场景中。

《办法》还要求，个人信息处理者向境外提供个人信息前，应当评估处理个人信息的目的、范围、方式等的合法性、正当性、必要性；出境个人信息的规模、范围、种类、敏感程度，个人信息出境可能对个人信息权益带来的风险；个人信息出境后遭到篡改、破坏、泄露、丢失、非法利用等的风险，个人信息权益维护的渠道是否通畅等内容。

分析指出，个人信息是数据资源中非常重要的组成部分，该《办法》进一步完善了数据出境安全评估制度，确保个人信息出境后个人信息主体权益依然受到保护。

同时，中国“坚持开放发展，推动数据跨境双向有序流动，鼓励国内外企业及组织依法依规开展数据跨境流动业务合作”。《办法》顺应了个人信息出境快速增长的趋势，平衡了发展和监管双重需要。在为中小企业个人信息跨境业务合作提供法治保障的同时，减轻其负担，有利于进一步促进数据自由流通和数字经济发展，对于规范个人信息跨境流动、完善数据跨境管理制度和促进数据领域国际合作具有重大意义。