一、 前言

数据安全是国家安全的重要组成部分，数据的出境不仅关乎个人信息的安全，更是关乎国家安全和社会公共利益。2022年7月7日，国家互联网信息办公室公布了《数据出境安全评估办法》（以下简称《评估办法》），自2022年9月1日起实施。《评估办法》的出台旨在落实《网络安全法》、《数据安全法》、《个人信息保护法》中关于数据出境的相关规定，规范数据出境活动，保护个人信息权益，维护国家安全和社会公共利益，促进数据跨境安全、自由流动。本文将从企业的角度出发，对《评估办法》进行解读。

二、 法律规定

《评估办法》中明确了数据处理者向境外提供在中华人民共和国境内运营中收集和产生的重要数据和个人信息的安全评估适用本办法。同时《评估办法》中规定了应当申报数据出境安全评估的情形以及数据出境安全评估的具体要求、评估程序、监督管理制度、法律责任、合规整改要求等。

以下将从适用范围、数据出境的情形以及数据出境的安全评估三方面来进行法律规定方面的解读。

1.适用范围

根据《评估办法》的相关规定[①]，有4项情形的应当通过所在地省级网信部门向国家网信部门申报数据安全评估：

（1）数据处理者向境外提供重要数据；

重要数据，通常是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用等，可能危害国家安全、经济运行、社会稳定、公共健康和安全等的资料。但《数据安全法》中指出重要数据的目录由各地区和各部门负责确认。所以从事不同行业领域的企业，需要根据所在地以及所在行业的相关部门的规定确定所需要进行安全评估的重要数据。

（2）关键信息基础设施运营者和处理100万人以上个人信息的数据处理者向境外提供个人信息；

（3）自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者向境外提供个人信息；

（4）国家网信部门规定的其他需要申报数据出境安全评估的情形。

其中的重点为重要数据的认定、关键信息基础设施运营者的认定、敏感个人信息的认定。

Ø重要数据

通常是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用等，可能危害国家安全、经济运行、社会稳定、公共健康和安全等的资料。但《数据安全法》中指出重要数据的目录由各地区和各部门负责确认[②]。所以从事不同行业领域的企业，需要根据所在地以及所在行业的相关部门的规定确定所需要进行安全评估的重要数据。

Ø关键信息基础设施运营者

根据《关键信息基础设施安全保护条例》的相关规定，重要行业和领域的主管部门、监督管理部门作为安全保护工作的部门负责对运营者进行认定，对认定的结果及时通知运营者[③]。所以如果企业收到了保护工作部门的通知，则企业属于关键信息基础设施运营者。

Ø敏感个人信息

敏感个人信息的认定可以根据《个人信息保护法》对于敏感个人信息的相关定义进行认定[④]。同时可以根据《信息安全技术 个人信息安全规范》中列举的个人敏感信息，例如个人财产信息、个人健康生理信息、个人生物识别信息、个人身份信息等。敏感个人信息也应当根据所使用的场景进行认定。

2.数据出境的情形

根据《评估办法》答记者问，资料出境活动主要包括：一是数据处理者将在境内运营中收集和产生的数据传输、存储至境外。二是数据处理者收集和产生的数据存储在境内，境外的机构、组织或者个人可以访问或者调用。

同时，根据《网络安全审查办法》、《数据安全法》、《个人信息保护法》、《网络安全法》的相关规定[⑤]，资料处境的具体情形主要包含：（1）赴海外上市；（2）境外司法或执法机构调取；（3）境外收集境内信息；（4）向境外提供数据；（5）其他资料出境的情形。

三、 数据出境安全评估的实践

1.数据出境安全评估的流程

根据《评估办法》的相关规定[⑥]，企业在确认所需进行跨境传输符合《评估办法》的适用范围后，首先需要进行数据出境风险自评估。重点评估如下事项：

（1）资料出境和境外接收方处理资料的目的、范围、方式等的合法性、正当性、必要性；

（2）出境数据的规模、范围、种类、敏感程度，数据出境可能对国家安全、公共利益、个人或者组织合法权益带来的风险；

（3）境外接收方承诺承担的责任义务，以及履行责任义务的管理和技术措施、能力等能否保障出境数据的安全；

（4）数据出境中和出境后遭到篡改、破坏、泄露、丢失、转移或者被非法获取、非法利用等的风险，个人信息权益维护的管道是否通畅等；

（5）与境外接收方拟订立的数据出境相关合同或者其他具有法律效力的档等（以下统称法律档）是否充分约定了资料安全保护责任义务；

（6）其他可能影响数据出境安全的事项。

在经过自评估后，企业应向省级网信部门提交申报材料，省级网信部门应当自收到申报材料之日起5个工作日内完成完备性查验。申报材料齐全的，将申报材料报送国家网信部门；申报材料不齐全的，应当退回数据处理者并一次性告知需要补充的材料。国家网信部门应当自收到申报材料之日起7个工作日内，确定是否受理并书面通知数据处理者[⑦]。

在安全评估过程中，发现数据处理者提交的申报材料不符合要求的，国家网信部门可以要求其补充或者更正。数据处理者无正当理由不补充或者更正的，国家网信部门可以终止安全评估。国家网信部门将在受理后45个工作日内完成安全评估；情况复杂或者需要补充、更正材料的，将会延长并告知数据处理者预计延长的时间[⑧]。

数据出境安全评估的结果有效期为2年。数据处理者对评估结果有异议的，可以在收到评估结果15个工作日内向国家网信部门申请复评。有效期届满，但需要继续开展数据出境活动的，企业应当在有效期届满60个工作日前重新申报评估[⑨]。

2.资料出境安全评估的申报材料

根据《评估办法》的相关规定[⑩]，申报资料出境安全评估，应当提交以下材料：

（1）申报书（包括承诺书、申报表）；

（2）数据出境风险自评估报告（需要在申报前三个月以内完成）；

（3）数据处理者与境外接收方拟订立的法律档（可以是合同、公司内部章程等）；

（4）安全评估工作需要的其他材料（用于支撑上述三个材料的其他材料）。

四、 结语

通过以上对于《评估办法》的解读，可以看出资料出境安全评估工作已经规范化程序化。相关企业在进行数据跨境传输时应当对安全评估进行提前规划，以及加强自身的监管达到合规状态才能不影响正常经营。《评估办法》所保障的不仅仅是个人信息的安全，更是国家安全和社会公共利益。

[①]《数据出境安全评估办法》第4条

[②]《中华人民共和国数据安全法》第21条第1、3款

[③]《关键信息基础设施安全保护条例》第8条

[④]《中华人民共和国个人信息保护法》第28条

[⑤]《网络安全审查办法》第7条；《中华人民共和国数据安全法》第36条；《中华人民共和国个人信息保护法》第3条第2款

[⑥]《数据出境安全评估办法》第5条

[⑦]《数据出境安全评估办法》第7条

[⑧]《数据出境安全评估办法》第11、12条

[⑨]《数据出境安全评估办法》第13、14条

[⑩]《数据出境安全评估办法》第6条