数据跨境传输的实务指南

# 数据跨境传输的实务指南

## 一、数据出境安全评估

数据出境安全评估是保障数据跨境传输安全的重要制度。《数据安全法》第三十一条规定，关键信息基础设施运营者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理，适用《网络安全法》的规定；其他数据处理者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理办法，由国家网信部门会同国务院有关部门制定。

《个人信息保护法》第四十条规定，关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的，应当通过国家网信部门组织的安全评估。

关于安全评估的具体标准，《数据出境安全评估办法》第四条规定，数据处理者向境外提供数据，有下列情形之一的，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估：数据处理者向境外提供重要数据的；关键信息基础设施运营者和处理100万人以上个人信息的数据处理者向境外提供个人信息的；自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者向境外提供个人信息的。

数据出境安全评估的申报材料，《数据出境安全评估办法》第五条规定，应当提交申报材料包括：申报书、数据出境安全评估申报表、与境外接收方拟订的合同等材料。

---

## 二、数据跨境传输的合规路径

除安全评估外，数据跨境传输还有其他合规路径。《个人信息保护法》第三十八条规定，个人信息处理者因业务等需要确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一：通过国家网信部门组织的安全评估；经专业机构进行个人信息保护认证；与境外接收方订立国家网信部门制定的标准合同；符合法律、行政法规规定的其他条件。

关于个人信息保护认证，《个人信息保护法》第三十八条第二款规定，依照本法第四十二条的规定，关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当通过国家网信部门组织的认证。

标准合同是中小型企业常用的数据跨境传输合规工具。《个人信息保护法》第三十八条第三款规定，个人信息处理者向境外提供个人信息与境外接收方订立合同，应当约定个人信息主体权益保障措施，并监督管理者按照合同履行相关义务。

各地方网信部门积极推动标准合同备案工作。根据《个人信息保护法》和《数据出境安全评估办法》的要求，通过标准合同方式向境外提供个人信息的数据处理者，应当在与境外接收方签订合同后向省级网信部门备案。

---

## 三、隐私保护与数据权利

数据主体的隐私保护权利是个人信息保护的核心。《个人信息保护法》第四十四条规定，个人有权撤回同意，请求查阅、复制、更正、补充、删除其个人信息。处理个人信息应当遵循公开、透明原则，公开个人信息处理规则，明确处理目的、方式和范围。

关于敏感个人信息的处理，《个人信息保护法》第二十八条规定，敏感个人信息是一旦泄露或者非法使用，可能导致人格尊严受到侵害或者人身、财产安全受到危害的个人信息。处理敏感个人信息应当取得个人的单独同意。

数据本地化存储要求，《个人信息保护法》第四十条规定，关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的，应当通过国家网信部门组织的安全评估。

关于个人信息出境后的权利保障，《个人信息保护法》第三十九条规定，个人信息处理者向中华人民共和国境外提供个人信息的，应当向个人告知境外接收方的名称、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使法定权利的方式和程序等事项，并取得个人的单独同意。

---

## 四、全球数据治理趋势与合规

全球数据治理呈现多元化特征。欧盟《通用数据保护条例》（GDPR）确立了数据跨境传输的充分性认定、标准合同条款、有约束力的公司规则等机制。美国则采用隐私盾协议（已失效）和标准合同条款等机制。

关于数据跨境传输的国际协议，《个人信息保护法》第三十八条规定了"符合法律、行政法规规定的其他条件"作为兜底条款，为未来国际合作预留了制度空间。

跨境数据传输中的数据本地化要求在全球范围内日益普遍。俄罗斯、印度、澳大利亚等国家均建立了各自的数据本地化制度。中国作为全球数据治理的重要参与者，需要在数据主权与数据流动之间寻求平衡。

企业应对数据跨境传输合规挑战，《个人信息保护法》第五十一条规定，个人信息处理者应当根据个人信息的处理目的、方式、种类以及对个人权益的影响、可能存在的安全风险等，采取下列措施：制定内部管理制度和操作规程；对个人信息实行分类管理；采取相应的加密、去标识化等安全技术措施。

---

## 五、违规传输的法律责任

违反数据跨境传输规定将承担严重的法律责任。《个人信息保护法》第六十六条规定，违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对应用程序责令暂停或者终止提供服务；情节严重的，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照。

直接负责的主管人员和其他直接责任人员也可能受到处罚。《个人信息保护法》第六十六条规定，对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。

《数据安全法》第四十五条规定，在境外开展数据处理活动，损害国家安全、公共利益或者公民、组织合法权益的，依法追究法律责任。

涉及数据出境的违法行为，执法机关可以依法采取约谈、警告、罚款、暂停相关业务等监管措施，并要求限期整改。

---

## 参考来源

1. 《中华人民共和国个人信息保护法》
2. 《中华人民共和国数据安全法》
3. 《数据出境安全评估办法》
4. 《数据出境标准合同办法》
5. 《网络安全法》