一、 前言

資料安全是國家安全的重要組成部分，資料的出境不僅關乎個人資料的安全，更是關乎國家安全和社會公共利益。2022年7月7日，國家網際網路資訊辦公室公布了《資料出境安全評估辦法》（以下簡稱《評估辦法》），自2022年9月1日起實施。《評估辦法》的出台旨在落實《網路安全法》、《資料安全法》、《個人資料保護法》中關於資料出境的相关規定，規範資料出境活動，保護個人資料權益，維護國家安全和社會公共利益，促進資料跨境安全、自由流動。本文將從企業的角度出發，對《評估辦法》進行解讀。

二、 法律規定

《評估辦法》中明確了資料處理者向境外提供在中華人民共和國境內運營中收集和產生的路人資料和個人資料的安全評估適用本辦法。同時《評估辦法》中規定了應當申報資料出境安全評估的情形以及資料出境安全評估的具體要求、評估程序、監督管理制度、法律責任、合規整改要求等。

以下將從適用範圍、資料出境的情形以及資料出境的安全評估三方面來進行法律規定方面的解讀。

1.適用範圍

根據《評估辦法》的相關規定[①]，有4項情形的應當通過所在地省級網信部門向國家網信部門申報資料安全評估：

（1）資料處理者向境外提供重要資料；

重要資料，通常是指一旦遭到竄改、破壞、洩露或者非法獲取、非法利用等，可能危害國家安全、經濟運行、社會穩定、公共健康和安全等的資料。但《資料安全法》中指出重要資料的目錄由各地區和各部門負責確認。所以從事不同行業領域的企業，需要根據所在地以及所在行業的相關部門的規定確定所需要進行安全評估的重要資料。

（2）關鍵資訊基礎設施營運者和處理100萬人以上個人資料的資料處理者向境外提供個人資料；

（3）自上年1月1日起累計向境外提供10萬人個人資料或者1萬人敏感性個人資料的資料處理者向境外提供個人資料；

（4）國家網信部門規定的其他需要申報資料出境安全評估的情形。

其中的重點為重要資料的認定、關鍵資訊基礎設施營運者的認定、敏感性個人資料的認定。

Ø重要資料

通常是指一旦遭到竄改、破壞、洩露或者非法獲取、非法利用等，可能危害國家安全、經濟運行、社會穩定、公共健康和安全等的資料。但《資料安全法》中指出重要資料的目錄由各地區和各部門負責確認[②]。所以從事不同行業領域的企業，需要根據所在地以及所在行業的相關部門的規定確定所需要進行安全評估的重要資料。

Ø關鍵資訊基礎設施營運者

根據《關鍵資訊基礎設施安全保護條例》的相關規定，重要行業和領域的主管部門、監督管理部門作為安全保護工作的部門負責對營運者進行認定，對認定的結果及時通知營運者[③]。所以如果企業收到了保護工作部門的通知，則企業屬於關鍵資訊基礎設施營運者。

Ø敏感性個人資料

敏感性個人資料的認定可以根據《個人資料保護法》對於敏感性個人資料的相關定義進行認定[④]。同時可以根據《資訊安全技術 個人資料安全規範》中列舉的個人敏感資料，例如個人財產資訊、個人健康生理資訊、個人生物識別資訊、個人身分資訊等。敏感性個人資料也應當根據所使用的場景進行認定。

2.資料出境的情形

根據《評估辦法》答記者問，資料出境活動主要包括：一是資料處理者將在境內運營中收集和產生的資料傳輸、存儲至境外。二是資料處理者收集和產生的資料存儲在境內，境外的機構、組織或者個人可以訪問或者調用。

同時，根據《網路安全審查辦法》、《資料安全法》、《個人資料保護法》、《網路安全法》的相關規定[⑤]，資料出境的具体情形主要包含：（1）赴海外上市；（2）境外司法或執法機構調取；（3）境外收集境內資訊；（4）向境外提供資料；（5）其他資料出境的情形。

三、 資料出境安全評估的實踐

1.資料出境安全評估的流程

根據《評估辦法》的相關規定[⑥]，企業在確認所需要進行跨境傳輸符合《評估辦法》的適用範圍後，首先需要進行資料出境風險自評估。重點評估如下事項：

（1）資料出境和境外接收方處理資料的目的、範圍、方式等的合法性、正當性、必要性；

（2）出境資料的規模、範圍、種類、敏感程度，資料出境可能對國家安全、公共利益、個人或者組織合法權益帶來的風險；

（3）境外接收方承諾承擔的責任義務，以及履行責任義務的管理和技術措施、能力等能否保障出境資料的安全；

（4）資料出境中和出境後遭到竄改、破壞、洩露、丟失、轉移或者被非法獲取、非法利用等的風險，個人資料權益維護的管道是否通暢等；

（5）與境外接收方擬訂立的資料出境相關契約或者其他具有法律效力的檔等（以下統稱法律檔）是否充分約定了資料安全保護責任義務；

（6）其他可能影響資料出境安全的事項。

在經過自評估後，企業應向省級網信部門提交申報資料，省級網信部門應當自收到申報資料之日起5個工作日內完成完備性查驗。申報資料齊全的，將申報資料報送國家網信部門；申報資料不齊全的，應當退回資料處理者並一次性告知需要補充的資料。國家網信部門應當自收到申報資料之日起7個工作日內，確定是否受理並書面通知資料處理者[⑦]。

在安全評估過程中，發現資料處理者提交的申報資料不符合要求的，國家網信部門可以要求其補充或者更正。資料處理者無正當理由不補充或者更正的，國家網信部門可以終止安全評估。國家網信部門將在受理後45個工作日內完成安全評估；情況複雜或者需要補充、更正資料的，將會延長並告知資料處理者預計延長的時間[⑧]。

資料出境安全評估的結果有效期為2年。資料處理者對評估結果有異議的，可以在收到評估結果15個工作日內向國家網信部門申請複評。有效期屆滿，但需要繼續開展資料出境活動的，企業應當在有效期屆滿60個工作日前重新申報評估[⑨]。

2.資料出境安全評估的申報資料

根據《評估辦法》的相關規定[⑩]，申報資料出境安全評估，應當提交以下資料：

（1）申報書（包括承諾書、申報表）；

（2）資料出境風險自評估報告（需要在申報前三個月以內完成）；

（3）資料處理者與境外接收方擬訂立的法律檔（可以是契約、公司內部章程等）；

（4）安全評估工作需要的其他資料（用於支撐上述三個資料的其他資料）。

四、 結語

通過以上對於《評估辦法》的解讀，可以看出資料出境安全評估工作已經規範化程序化。相關企業在進行資料跨境傳輸時應當對安全評估進行提前規劃，以及加強自身的監管達到合規狀態才能不影響正常經營。《評估辦法》所保障的不僅僅是個人資料的安全，更是國家安全和社會公共利益。

[①]《資料出境安全評估辦法》第4條

[②]《中華人民共和國資料安全法》第21條第1、3款

[③]《關鍵資訊基礎設施安全保護條例》第8條

[④]《中華人民共和國個人資料保護法》第28條

[⑤]《網路安全審查辦法》第7條；《中華人民共和國資料安全法》第36條；《中華人民共和國個人資料保護法》第3條第2款

[⑥]《資料出境安全評估辦法》第5條

[⑦]《資料出境安全評估辦法》第7條

[⑧]《資料出境安全評估辦法》第11、12條

[⑨]《資料出境安全評估辦法》第13、14條

[⑩]《資料出境安全評估辦法》第6條