数据出境安全合规白皮书总结
1. 数据出境安全合规背景概述
1.1 数据出境安全风险
数据出境面临合规风险、技术风险和业务风险。合规风险源于各国数据出境法律法规不同且不断更新；技术风险涉及数据传输和存储过程中的安全威胁，如黑客攻击、拦截或窃取；业务风险则源于企业对数据出境缺乏足够的风险意识和管理手段，可能导致敏感信息泄露。
1.2 数据出境法律框架
中国数据出境的法律框架包括《网络安全法》、《数据安全法》、《个人信息保护法》、《数据出境安全评估办法》、《数据出境安全评估申报指南》等，旨在保障国家数据安全、个人隐私和商业秘密，规范数据跨境流动。
1.3 数据出境制度演进
中国数据出境制度经历了早期探索（2010年以前）、初步建立（2010-2015年）和逐步完善（2016年至今）三个阶段，逐步完善数据安全和隐私保护体系，并加强国际合作。
1.4 数据出境监管现状
中国数据出境监管现状表现为法律法规体系不断完善、监管力度持续加强、监管技术不断创新以及国际合作逐步深化。
2. 数据出境安全合规路径分析
2.1 数据出境合规三种路径
数据出境合规路径包括数据出境安全评估、个人信息出境标准合同和个人信息保护认证。
数据出境安全评估
- 依据：《网络安全法》《数据安全法》《个人信息保护法》《数据出境安全评估办法》等
- 适用数据类型：数据（含个人信息）
- 触发条件：出境数据含重要数据、数据处理者为关键信息基础设施运营者、处理100万人以上个人信息、自上年1月1日起累计向境外提供10万人个人信息或1万人敏感个人信息等
- 申报提交材料：申报书、数据出境风险自评估报告、数据出境相关合同等
- 申报流程：省级网信部门查验材料后报送国家网信部门，国家网信部门进行评估并通知结果
- 评估时限：45个工作日
- 评估有效期：两年
个人信息出境标准合同备案
- 依据：《个人信息保护法》《个人信息出境标准合同办法》等
- 适用数据类型：个人信息
- 适用条件：非关键信息基础设施运营者、处理个人信息不满100万人、自上年1月1日起累计向境外提供个人信息不满10万人或敏感个人信息不满1万人
- 备案要求：标准合同生效后10个工作日内备案
- 备案机构：省级网信办
- 备案流程：材料提交、材料查验及反馈备案结果、补充或者重新备案
- 备案提交材料：统一社会信用代码证件、法定代表人身份证件、经办人身份证件、授权委托书、承诺书、标准合同、个人信息保护影响评估报告等
个人信息保护认证
- 依据：《个人信息保护法》《个人信息保护认证实施规则》等
- 适用数据类型：个人信息
- 适用要求：与境外接收方签订法律文件，开展个人信息保护影响评估，双方均指定个人信息保护负责人、设立个人信息保护机构，并建立个人信息跨境处理规则
- 认证实施程序：认证委托、技术验证、现场审核、认证结果评价和批准、获证后监督
- 证书有效期：三年
- 认证机构：中国网络安全审查技术与认证中心
- 认证时限：70个工作日
2.2 数据出境合规路径适用
数据出境合规路径选择需根据具体情况评估，一般遵循安全评估路径优先的原则。
2.3 数据出境合规路径比较
三种路径在适用条件、流程、材料要求等方面存在差异，企业需根据自身情况选择最适合的合规路径。
3. 数据出境安全评估申报指南
3.1 适用范围
数据处理者向境外提供数据，满足特定条件时需申报数据出境安全评估，包括关键信息基础设施运营者向境外提供个人信息或重要数据，以及其他数据处理者向境外提供重要数据或大量个人信息。
3.2 申报方式及流程
数据处理者通过数据出境申报系统提交申报材料，关键信息基础设施运营者或其他不适合通过系统申报的数据处理者采用线下方式申报。省级网信办进行材料查验，国家网信部门进行受理和评估，并出具评估结果通知书。
3.3 申报材料
申报材料包括统一社会信用代码证件、法定代表人身份证件、经办人身份证件、授权委托书、数据出境安全评估申报书、数据出境相关合同、数据出境风险自评估报告等。
3.4 咨询、举报联系方式
联系电话：010-55627135
电子邮箱：sjcj@cac.gov.cn
4. 个人信息出境标准合同备案指南
4.1 适用范围
关键信息基础设施运营者以外的数据处理者，满足特定条件时需向所在地省级网信部门备案个人信息出境标准合同。
4.2 备案方式
通过数据出境申报系统备案。
4.3 备案流程
材料提交、材料查验及反馈备案结果、补充或者重新备案。
4.4 备案提交材料
统一社会信用代码证件、法定代表人身份证件、经办人身份证件、授权委托书、承诺书、标准合同、个人信息保护影响评估报告等。
4.5 咨询、举报联系方式
联系电话：010-55627565
电子邮箱：bzht@cac.gov.cn
5. 个人信息保护认证指南
5.1 适用范围
个人信息处理者向境外提供个人信息，且不满足数据出境安全评估条件时，可进行个人信息保护认证。
5.2 认证依据
GB/T 35273《信息安全技术个人信息安全规范》、TC260-PG-20222A《个人信息跨境处理活动安全认证规范》等。
5.3 认证模式
技术验证+现场审核+获证后监督。
5.4 认证实施程序
认证委托、技术验证、现场审核、认证结果评价和批准、获证后监督。
5.5 认证证书和认证标志
认证证书有效期三年，认证标志包含认证机构识别信息。
5.6 认证实施细则
认证机构需制定科学、合理、可操作的认证实施细则。
5.7 认证责任
认证机构对现场审核结论、认证结论负责；技术验证机构对技术验证结论负责；认证委托人对认证委托资料的真实性、合法性负责。
5.8 咨询联系方式
联系电话：010-82261100
联系邮箱：data@isccc.gov.cn
6. 数据出境安全合规申报案例
6.1 数据出境安全评估申报案例
首都医科大学附属北京友谊医院、北京现代汽车有限公司、焦点科技股份有限公司等。
6.2 个人信息出境标准合同备案案例
北京德亿信数据有限公司、伟创力技术（长沙）有限公司等。
6.3 个人信息保护认证案例
珠海澳科大科技研究院、支付宝（中国）网络技术有限公司等。
附录
包含数据出境安全评估申报附件、个人信息出境标准合同备案附件、个人信息保护认证附件、常见实务问题Q&A、各地网信部门联系方式、快页数据安全能力介绍等。
参考文献
列出相关法律法规和文献资料。
