Loading
2023-03-14 01:03:00
一、自查適用條件
個人信息處理者需自查是否適用《辦法》，即是否同時符合下述四項條件：1.非關鍵信息基礎設施運營者；2.處理個人信息不滿100萬人的；3.自上年1月1日起累計向境外提供個人信息不滿10萬人的；4.自上年1月1日起累計向境外提供敏感個人信息不滿1萬人的。
就第一個條件關于關鍵信息基礎設施的判斷，主要根據保護工作部門的認定通知，其法律依據為《關鍵信息基礎設施安全保護條例》。該條例第二條涉及的重要行業和領域的主管部門、監督管理部門（或稱保護工作部門）制定認定規則并負責組織認定本行業、本領域的關鍵信息基礎設施。關鍵信息基礎設施主要涉及公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務、國防科技工業等重要行業和領域的，以及其他一旦遭到破壞、喪失功能或者數據泄露，可能嚴重危害國家安全、國計民生、公共利益的重要網絡設施、信息系統等。如個人信息處理者被認定為關鍵信息基礎設施運營者，則個人信息出境處理活動不適用《辦法》。
就第二個條件，從上下文看，該條款應理解為個人信息處理者已處理或擬處理的個人信息總量不應超過100萬人。如發生變化，處理個人信息超過100萬人的，如何處理？《辦法》并沒有規定，標準合同也沒有約定此類情形的處理方法。但從合同文本附錄一需明確數據規模以及《辦法》禁止數量拆分等規定，筆者以為如個人信息處理者處理規模發生變化，其所處理的個人信息滿100萬人的，應當停止通過訂立標準合同方式向境外提供個人信息。
就第三、四個條件，《辦法》明確規定“個人信息處理者不得采取數量拆分等手段，將依法應當通過出境安全評估的個人信息通過訂立標準合同的方式向境外提供。”筆者認為其中之意包含了禁止變相的數量拆分。如：個人信息處理者的關聯方也擬向境外提供個人數據，需留存證據以證明數據獨立控制以及決策獨立，以免被作出不利認定。
另外，除了《辦法》規定的四個條件外，還應當注意符合《個人信息保護法》第三章的規定，即還有以下不適用《辦法》的情形：1.“境外接收方”不是國家機關；2.“境外接收方”不是境外司法機關；3.“境外接收方”不是我國根據對等原則采取的禁止、限制或者其他類似措施的國家或者地區的組織、個人。
二、個人信息保護影響評估
一旦涉及到個人信息出境，個人信息處理者應當在事前對個人信息保護影響進行評估并出具評估報告，且報告及處理情況記錄應當至少保存三年。
根據《個人信息保護法》及《辦法》第八條的規定，評估所涉的個人信息應當進行動態管理，一旦發生變化，需要進行重新評估?！掇k法》詳細規定了對個人信息保護影響評估的重點評估事項。除了規定的內容外，筆者認為個人信息處理者還應當評估是否存在“一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害的個人信息”（可參考GB/T 35273《信息安全技術 個人信息安全規范》及相關標準）。如存在該類個人信息，則該個人信息則存在認定為敏感個人信息的可能，那么在出境個人信息數量上應進行調整，同時判斷是否符合適用《辦法》的條件，以避免監管處罰。
三、簽訂有標準合同
標準合同可見《辦法》附件。從文本看，合同內容不能進行修改。而如有需要補充的，可在附錄二中進行約定。筆者將另撰文對標準合同進行分析。
同時，筆者注意到標準合同文本中對 “個人信息處理者”定義為在個人信息處理活動中自主決定處理目的、處理方式的組織、個人，其范圍小于《個人信息保護法》下“個人信息處理者”。對通過以訂立標準合同方式向境外提供個人信息方式的組織、個人也應當明確其是否符合《辦法》所附標準合同文本的個人信息處理者特征。
四、備案
如以訂立標準合同方式向境外提供個人信息，則應當在標準合同生效之日起10個工作日內向所在地省級網信部門備案。為避免生效日至備案日期間存在情勢變更而引起爭議，建議在標準合同中附錄二中對此進行補充約定。
五、備案后動態管理建設
綜合對個人信息出境的各項要求，筆者建議個人信息處理者進行動態管理和合規審查。例如：制作自查清單，進行動態監控管理，一旦發生變化導致不符合上述條件，則應當依法采取措施。一旦發生《辦法》第八條規定的情形的，依法重新開展個人信息影響評估，補充或者重新訂立標準合同，并履行相應備案手續。一旦發生不適用《辦法》的情形，應依法變更個人信息出境的方式。
結語
數字經濟浪潮之下，個人信息也具有著極大的經濟價值，《個人信息保護法》、“數據二十條”均明確了個人信息保護應為數據合理利用的前提。目前我國堅持“寬進嚴管”原則，壓實企業的數據治理責任。這就要求企業應當嚴格遵守其保護義務。