平衡安全与发展：数据出境风险自评估

引言

为了规范数据出境活动，保护个人信息权益，维护国家安全和社会公共利益，促进数据跨境安全、自由流动。2022年7月7日，国家互联网信息办公室根据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》等法律法规出台了《数据出境安全评估办法》（以下称《办法》）。《办法》坚持安全和发展并重，明确了数据出境安全评估的流程和要求，并对开展数据出境风险自评估时应重点评估的事项进行规定，对规范促进数据依法有序流动具有十分重要的制度价值和实践意义，标志着我国数据治理法治实践走出关键一步。

一、《办法》中有关数据出境风险自评估的适用场景

依据《办法》第五条，数据处理者在申报数据出境安全评估前，应当开展数据出境风险自评估。因此，为了厘清风险自评估适用的场景，首先需要理解“数据出境”的定义以及应当进行“安全评估”的场景。

就数据出境方面，国家互联网信息办公室有关负责人就《办法》答记者问时也明确，《办法》所称数据出境活动包括：

（1）数据处理者将在境内运营中收集和产生的数据传输、存储至境外；

（2）数据处理者收集和产生的数据存储在境内，境外的机构、组织或者个人可以访问或者调用。

就数据出境安全评估的场景，《办法》也明确“申报数据出境安全评估”针对属于以下条件的数据处理者：

1.向境外提供重要数据

依据《办法》第十九条，重要数据是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用等，可能危害国家安全、经济运行、社会稳定、公共健康和安全等的数据。重要数据出境，无论数量大小，都受到严格的限制。

2.向境外提供个人信息

与重要数据出境不同，个人信息出境依据数据处理者类型、数据类型不同，其出境限制、合规严格程度也不相同，而需要进行安全评估的情形如下：

1)关键信息基础设施运营者向境外提供个人信息；

2)处理100万人以上个人信息的数据处理者向境外提供个人信息；

3)自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者向境外提供个人信息。

3.兜底条款：国家网信部门规定的其他需要申报数据出境安全评估的情形。

二、《办法》有关数据出境风险自评估规定的价值和意义

(一）是完善我国数据出境法律体系的关键一步

如前所述，《办法》有关数据出境安全评估的场景，既包括个人信息也包括重要数据，对于完善我国数据出境法律体现而言具有重大意义。

1.个人信息出境

《个人信息保护法》第三十八条规定了个人信息跨境的三条路径，即安全评估、个人信息保护认证、标准合同。此外，在第五十五条规定了，向境外提供个人信息个人信息处理者应当事前进行个人信息保护影响评估。《网络安全法》第37条规定关键信息基础设施的运营者因业务需要，确需向境外提供个人信息的，应当进行安全评估。本次《办法》的出台，正是对个人信息出境的第一条路径，即安全评估，进一步的完善。《办法》要求数据处理者在申报数据出境安全评估前，应当开展数据出境风险自评估并规定了自评估的主要内容，这是对《个人信息保护法》第五十五条规定的个人信息保护影响评估要求的具体体现。

2. 重要数据

《数据安全法》第三十一条规定了关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理，适用《网络安全法》的规定；其他数据处理者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理办法，由国家网信部门会同国务院有关部门制定。《数据安全法》第三十条规定重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。《办法》规定的安全评估与出境风险自评估要求，也正是对上述两部法律中关于重要数据出境要求的进一步完善，明确了重要数据出境要首先进行风险自评估，再申报数据出境安全评估。

综上，数据出境风险自评估，是对顶层立法中相关原则的进一步完善，是针对《个人信息保护法》、《网络安全法》、《数据安全法》中评估要求的重要性配套制度，促进了数据出境自评估要求的进一步落地。

(二）是促进企业依法合规开展自评估工作的必然要求

《办法》第五条规定了自评估的具体内容，主要包括以下几点：在合法正当必要性要求方面，主要包括数据出境和境外接收方处理数据的目的、范围、方式等的合法性、正当性、必要性；在风险评估方面，主要包括出境数据的规模、范围、种类、敏感程度，数据出境可能对国家安全、公共利益、个人或者组织合法权益带来的风险，数据出境中和出境后遭到篡改、破坏、泄露、丢失、转移或者被非法获取、非法利用等的风险，个人信息权益维护的渠道是否通畅等；在境外接收方条件方面，主要包括境外接收方承诺承担的责任义务，以及履行责任义务的管理和技术措施、能力等能否保障出境数据的安全，以及与境外接收方拟订立的数据出境相关合同或者其他具有法律效力的文件等（以下统称法律文件）是否充分约定了数据安全保护责任义务。

综上，《办法》较为具体的规定了企业自评估报告应当涵盖的内容，为企业依法合规开展自评估工作指明了方向，解决了企业自评估工作无法可依的状态。

(三）是在保障数据安全的基础上促进数据流动的重要举措

数据的生命在于流动，只有在流动中才能产生源源不断的价值，才能真正成为拉动和推动新时代先进生产力不断创新发展的关键抓手和主要推手。但是，数据跨境流动带来数据红利的同时，也容易带来个人信息安全、社会公共利益、经济发展和国家安全等多方面的风险。因此，平衡数据安全与数据流动一直是各国数据立法的主要目的之一。《办法》的出台，明确了企业数据出境的流程、要求与责任，进一步落实了企业社会责任。企业通过自评估，可以进一步确定出境数据的类型，对企业组织保障与技术保障进行自检自查，自评估在保障数据安全的基础上促进数据流动。

三、数据出境风险自评估要点

结合《个人信息保护法》、《数据安全法》、《网络安全法》等相关规定，数据出境的基本路径如下：

可以看出，数据出境风险自评估（个人信息保护影响评估）为企业在数据出境的必经流程，是法律的强制要求。因此，企业应按照法律的要求，积极主动的开展自评估工作。结合《办法》的相关规定，本文主要针对安全评估路径下的自评估要点进行解读。

(一）全面盘点企业数据，准确识别数据出境场景

在开展数据出境业务时，企业应首先对自身处理数据的种类及数量进行盘点，一方面，企业需要通过自评估确定是否落入申报数据出境安全评估的范围，即企业自身是否为关键信息基础设施运营者或重要数据处理者；企业处理个人信息的数量是否达到100万人以上或是自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息。另一方面，部分数据出境场景较为隐蔽，只有通过全面的盘点才能更好地梳理出企业数据出境的现状。

(二）企业数据安全保障能力自评估

数据安全保障能力包括管理制度保障和技术手段保障能力两方面。前者主要关注数据安全管理体系、全生命周期管理、分类分级、应急处置、风险评估等制度及落实情况。后者主要关注企业所采取的全生命周期数据安全技术手段及其有效性。

(三）对境外接收方的评估

对境外接收方的评估，一方面应重点评估境外接收方履行责任义务的管理和技术措施、能力能否保障出境数据的安全，自评估可从境外接收方基本情况、境外接收方处理数据的目的、范围等数据处理情况，以及境外接收方的数据安全保障能力的角度开展。

另一方面，在与境外接收方签订的法律文件中，应明确境外接收方的责任，数据出境的目的、方式和数据范围，境外接收方处理数据的用途、方式，数据在境外保存地点、期限，以及达到保存期限、完成约定目的或者法律文件终止后出境数据的处理措施；对于境外接收方将出境数据再转移给其他组织、个人的约束性要求等内容。

(四）接收方所在国家或区域的政治法律环境

对接收方所在地的法律环境评估不是自评估的必选项，但是鉴于该项评估是数据出境安全评估的重点内容之一，企业也可以在自评估阶段开展对接收方所在地的法律环境的评估。在此方面，主要评估该国家或地区现行的个人信息保护和数据安全方面法律法规情况；该国家或地区落实数据安全和个人信息保护的机构及该国家或地区的行政机关、司法机构等执法部门调取数据的规范法律程序；该国家或地区与其他国家或地区之间有关数据流通、共享以及个人信息共享等方面的双边或多边协定。

(五）整体风险评估

在进行风险评估时，需综合考虑上述《办法》所规定的自评估重点事项，从而对数据出境可能对国家安全、公共利益、个人或者组织合法权益带来的风险进行整体的评估。

四、数据出境风险自评估时间安排

(一）评估有效期

《办法》第十四条规定，数据出境安全评估的结果有效期为2年，自评估结果出具之日起计算。有效期届满，需要继续开展数据出境活动的，数据处理者应当在有效期届满60个工作日前重新申报评估。

此外，在有效期内出现以下情形之一的，数据处理者应当重新申报评估，包括：（1）向境外提供数据的目的、方式、范围、种类和境外接收方处理数据的用途、方式发生变化影响出境数据安全的，或者延长个人信息和重要数据境外保存期限的；（2）境外接收方所在国家或者地区数据安全保护政策法规和网络安全环境发生变化以及发生其他不可抗力情形、数据处理者或者境外接收方实际控制权发生变化、数据处理者与境外接收方法律文件变更等影响出境数据安全的；（3）出现影响出境数据安全的其他情形。

综上，若企业重新申报安全评估，重新开展自评估也是申报安全评估过程中的重要一环。数据出境风险自评估并非一劳永逸的事情，企业应根据自身业务变化，时刻监督自身数据出境风险，及时开展自评估。

(二）整改期

《办法》自2022年9月1日起施行。在《办法》施行前已经开展的数据出境活动，不符合《办法》规定的，应当自《办法》施行之日起6个月内完成整改。《办法》给予了企业一定的宽限期，因此企业应利用该宽限期及时完成数据出境整改，降低企业合规风险。

结论

数据出境自评估，是我国在数据出境方面的又一重要制度安排。风险自评估使得企业能够及时发现自身风险，确保相关数据安全出境，落实企业社会责任。企业应积极主动开展自评估，努力做到数据出境自评估常态化，对自身风险做到自查自纠，同时应加强与网信部门等监管机构的沟通协调，确保数据安全流动。随着数字经济的发展，未来中国的数据流动制度将会更加具体和完善。