處理跨境個(gè)人信息新措施
我國內(nèi)地跨境電商行業(yè)蓬勃發(fā)展，吸引了不少香港企業(yè)前來內(nèi)地開展電商業(yè)務(wù)，為確保港商合規(guī)經(jīng)營有關(guān)業(yè)務(wù)，相關(guān)部門出臺了規(guī)定，2023年6月1日起實(shí)施《個(gè)人信息出境標(biāo)準(zhǔn)合同辦法》（下稱《辦法》）。
《辦法》要求內(nèi)地信息處理商與境外企業(yè)簽訂個(gè)人信息出境標(biāo)準(zhǔn)合同后，方可把低風(fēng)險(xiǎn)的境內(nèi)個(gè)人信息輸出境外(包括香港、澳門及臺灣等地)，以保護(hù)個(gè)人信息權(quán)益以及規(guī)范個(gè)人信息跨境活動。
處理跨境個(gè)人信息新措施
該《辦法》實(shí)施后，如果境外企業(yè)需要將中國境內(nèi)的個(gè)人信息匯出至境外 (包括香港、澳門及臺灣)，在風(fēng)險(xiǎn)較低、少量個(gè)人信息出境的情況下，例如中小型規(guī)模的跨境企業(yè)內(nèi)部跨境處理員工數(shù)據(jù)、小型跨境電商平臺在提供跨境電商服務(wù)時(shí)涉及個(gè)人信息出境等，內(nèi)地個(gè)人信息處理者(即內(nèi)地信息提供方)與境外接收方(即境外企業(yè)或境外個(gè)人身份)需要通過簽署個(gè)人信息出境標(biāo)準(zhǔn)合同，方可合法地把內(nèi)地的個(gè)人信息從中國境內(nèi)匯出至境外。
上述《辦法》訂明，在符合下列情況下，內(nèi)地信息提供方可與境外企業(yè)訂立個(gè)人信息出境標(biāo)準(zhǔn)合同：
1、內(nèi)地信息提供方是非關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者；
2、處理不足100萬人的個(gè)人信息；
3、自上年1月1日起累計(jì)向境外提供不足100,000人的個(gè)人信息；
4、自上年1月1日起累計(jì)向境外提供不足10,000人的敏感個(gè)人信息。
內(nèi)地信息提供方在標(biāo)準(zhǔn)合同生效起10個(gè)工作日內(nèi)，須向所在地省級網(wǎng)信部門備案，并提交材料包括標(biāo)準(zhǔn)合同、個(gè)人信息保護(hù)影響評估報(bào)告。
在高風(fēng)險(xiǎn)數(shù)據(jù)出境方面，包括關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者、重要數(shù)據(jù)、處理逾100萬人的個(gè)人信息者、近兩個(gè)自然年度累積出境100,000人的個(gè)人信息或10,000人的敏感個(gè)人信息，上述情況適用安全評估制度，不能以簽訂標(biāo)準(zhǔn)合同方式代替，更不能通過分拆數(shù)量的方式規(guī)避，而須申報(bào)數(shù)據(jù)出境安全評估，由有關(guān)網(wǎng)信部門查驗(yàn)。
境外接收方獲得內(nèi)地個(gè)人信息后，應(yīng)采取妥善的安全保護(hù)措施，如加密、匿名化、去標(biāo)識化、訪問控制等技術(shù)和管理方式，確保個(gè)人信息在傳輸過程中及接收后存儲、使用等各個(gè)環(huán)節(jié)的安全性，同時(shí)記錄處理活動并保存紀(jì)錄至少3年，待監(jiān)管機(jī)構(gòu)要求時(shí)可提供相關(guān)證明。
《辦法》出臺的意義
第一，《辦法》的出臺有利于推動《個(gè)人信息保護(hù)法》更好實(shí)施。《個(gè)人信息保護(hù)法》第三十八條規(guī)定了個(gè)人信息處理者向境外提供個(gè)人信息的三個(gè)途徑，即安全評估、個(gè)人信息保護(hù)認(rèn)證、標(biāo)準(zhǔn)合同以及其他條件。《辦法》正文對“標(biāo)準(zhǔn)合同”途徑下的個(gè)人信息出境要求作了詳細(xì)規(guī)定，明確了個(gè)人信息出境標(biāo)準(zhǔn)合同的適用范圍、訂立條件和備案要求；附件列出了標(biāo)準(zhǔn)合同的基本條款，將法律規(guī)范轉(zhuǎn)化為合同規(guī)則。
第二，《辦法》的出臺有利于促進(jìn)數(shù)字經(jīng)濟(jì)發(fā)展和數(shù)據(jù)有序跨境流動。《辦法》要求符合條件的個(gè)人信息處理者與境外接收方按照本辦法訂立個(gè)人信息出境標(biāo)準(zhǔn)合同并生效后即可出境個(gè)人信息，簡化了個(gè)人信息出境的流程與環(huán)節(jié)，為個(gè)人信息處理者提供了多元化的個(gè)人信息出境方式。《辦法》附件提供了標(biāo)準(zhǔn)合同的范本，境內(nèi)個(gè)人信息處理者僅需要結(jié)合實(shí)際情況進(jìn)行填充完善，極大降低了境內(nèi)個(gè)人信息處理者的成本，解決了部分中小規(guī)模個(gè)人信息處理者專業(yè)人員不足的難題，便于其健康有序發(fā)展。
第三，《辦法》的出臺有利于提升個(gè)人信息出境活動的規(guī)范化水平。一方面，《辦法》明底線劃紅線，指出合規(guī)方向，細(xì)化適用訂立標(biāo)準(zhǔn)合同的方式向境外提供個(gè)人信息的基本條件，明確個(gè)人信息影響評估和合同備案的基本要求。另一方面，《辦法》也亮規(guī)矩定責(zé)任，要求個(gè)人信息處理者對所備案材料的真實(shí)性負(fù)責(zé)，違反規(guī)定依據(jù)《個(gè)人信息保護(hù)法》等法律法規(guī)處理；構(gòu)成犯罪的，依法追究刑事責(zé)任。
實(shí)施《辦法》的監(jiān)管和合規(guī)
第一，加強(qiáng)個(gè)人信息保護(hù)監(jiān)管執(zhí)法。建議網(wǎng)信部門加大指導(dǎo)、引導(dǎo)、督促力度，推動境內(nèi)個(gè)人信息處理者積極開展評估、備案，監(jiān)督個(gè)人信息處理者業(yè)務(wù)開展中涉及個(gè)人信息出境的合同等法律文件，對未履行備案程序或者提交虛假材料進(jìn)行備案的、未履行標(biāo)準(zhǔn)合同約定的責(zé)任義務(wù)并侵害個(gè)人信息權(quán)益造成損害的依法追究法律責(zé)任。
第二，個(gè)人信息處理者應(yīng)對照《辦法》要求做好合規(guī)。個(gè)人信息處理者應(yīng)當(dāng)加強(qiáng)對《辦法》的學(xué)習(xí)，對照《辦法》要求，用好通過訂立標(biāo)準(zhǔn)合同的方式開展個(gè)人信息出境活動。首先，應(yīng)當(dāng)盡快梳理自身數(shù)據(jù)資產(chǎn)和出境數(shù)據(jù)規(guī)模，識別是否具備《辦法》適用情形。其次，按照《辦法》要求，在向境外提供個(gè)人信息前嚴(yán)格開展個(gè)人信息保護(hù)影響自評估，重點(diǎn)評估個(gè)人信息出境的目的、范圍、方式及其合法性、正當(dāng)性、必要性，通過出境個(gè)人信息的數(shù)量、范圍、種類、敏感程度來判斷其所可能產(chǎn)生的風(fēng)險(xiǎn)，明確境外接收方承諾承擔(dān)的責(zé)任義務(wù)、管理能力、技術(shù)措施以及境外接收方所在國家或者地區(qū)的個(gè)人信息保護(hù)政策法規(guī)。再者，應(yīng)當(dāng)按照《辦法》附件與境外接收方簽署標(biāo)準(zhǔn)合同，并將標(biāo)準(zhǔn)合同與影響評估報(bào)告在標(biāo)準(zhǔn)合同生效之日起10個(gè)工作日內(nèi)向所在地省級網(wǎng)信部門備案。
第三，發(fā)展應(yīng)用法律科技，賦能監(jiān)管與合規(guī)。隨著人工智能、大數(shù)據(jù)等技術(shù)的進(jìn)一步發(fā)展，利用“法律+科技”的手段實(shí)現(xiàn)監(jiān)管與合規(guī)的自動化、智能化，符合數(shù)字經(jīng)濟(jì)發(fā)展和數(shù)字政府建設(shè)的新方向、新趨勢。可以開發(fā)快速審查個(gè)人信息出境標(biāo)準(zhǔn)合同、影響評估報(bào)告的監(jiān)管工具，助力實(shí)現(xiàn)備案監(jiān)管的智慧化、精準(zhǔn)化、全時(shí)化，提高監(jiān)管能力和水平。通過技術(shù)對數(shù)據(jù)收集、存儲、加工、使用、傳輸、刪除等全生命周期進(jìn)行可視化管理，自動分析企業(yè)數(shù)據(jù)資產(chǎn)與合規(guī)風(fēng)險(xiǎn)，根據(jù)分類分級等規(guī)則自動識別個(gè)人信息的數(shù)量、范圍、種類、敏感程度，保障個(gè)人信息處理目的、范圍、方式等的合法性、正當(dāng)性、必要性，助力低成本、高效率完成《辦法》所要求的個(gè)人信息保護(hù)影響評估。
