数据出境安全评估十问十答

2022年9月1日，《数据出境安全评估办法》正式施行，标志着中国数据出境管理进入了一个新的阶段。这一政策的出台，旨在规范数据出境活动，保护个人信息权益，维护国家安全和社会公共利益。然而，对于众多企业而言，如何理解和执行这一政策仍存在诸多疑问。本文将围绕企业最关心的十个问题，逐一进行解答。

数据出境安全评估适用范围及申报条件

问：哪些情况需要进行数据出境安全评估？

答：根据《数据出境安全评估办法》，以下三种情况需要进行数据出境安全评估：

1. 数据处理者向境外提供重要数据；
2. 关键信息基础设施运营者和处理100万人以上个人信息的数据处理者向境外提供个人信息；
3. 自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者向境外提供个人信息。

此外，国家网信部门规定的其他需要申报数据出境安全评估的情形，也需要进行评估。

数据出境安全评估申报流程及所需材料

问：如何进行数据出境安全评估申报？需要提交哪些材料？

答：数据处理者应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估。申报时需要提交以下材料：

1. 申报书；
2. 数据出境风险自评估报告；
3. 数据处理者与境外接收方拟订立的法律文件；
4. 安全评估工作需要的其他材料。

省级网信部门将在5个工作日内完成申报材料的完备性查验。国家网信部门将在收到申报材料后7个工作日内，确定是否受理并书面通知数据处理者。

数据出境安全评估重点评估内容

问：数据出境安全评估主要评估哪些内容？

答：数据出境安全评估重点评估数据出境活动可能对国家安全、公共利益、个人或者组织合法权益带来的风险，主要包括：

1. 数据出境的目的、范围、方式等的合法性、正当性、必要性；
2. 境外接收方所在国家或者地区的数据安全保护政策法规和网络安全环境对出境数据安全的影响；
3. 出境数据的规模、范围、种类、敏感程度，出境中和出境后遭到篡改、破坏、泄露、丢失、转移或者被非法获取、非法利用等的风险；
4. 数据安全和个人信息权益是否能够得到充分有效保障；
5. 数据处理者与境外接收方拟订立的法律文件中是否充分约定了数据安全保护责任义务；
6. 遵守中国法律、行政法规、部门规章情况。

数据出境安全评估结果有效期及后续要求

问：数据出境安全评估的结果有效期是多久？需要重新申报评估的情况有哪些？

答：通过数据出境安全评估的结果有效期为2年，自评估结果出具之日起计算。在有效期内，如果出现以下情形之一，数据处理者应当重新申报评估：

1. 向境外提供数据的目的、方式、范围、种类和境外接收方处理数据的用途、方式发生变化影响出境数据安全的，或者延长个人信息和重要数据境外保存期限的；
2. 境外接收方所在国家或者地区数据安全保护政策法规和网络安全环境发生变化以及发生其他不可抗力情形、数据处理者或者境外接收方实际控制权发生变化、数据处理者与境外接收方法律文件变更等影响出境数据安全的；
3. 出现影响出境数据安全的其他情形。

有效期届满，需要继续开展数据出境活动的，数据处理者应当在有效期届满60个工作日前重新申报评估。

数据出境安全评估实施情况及企业面临的挑战

问：目前数据出境安全评估的实施情况如何？企业面临哪些挑战？

答：截至2023年12月，全国共有29家企业成功通过数据出境安全评估，与国家网信办和各地省级网信办已受理的千余件申报相比，通过率仅为1%。这反映出当前数据出境申报效率不高，企业面临较大的合规压力。

从行业分布来看，制造业企业（设备制造与汽车制造等）占五成以上，其次是互联网、医疗、电信、金融、物流、信息与技术服务等行业。这表明数据出境已成为企业开展跨境经营的基本方式，尤其在外资企业中更为普遍。

然而，企业在申报过程中仍面临诸多挑战，如如何确定申报主体、如何应对复杂的地域管辖规定等。此外，由于数据出境申报相关的法律法规实施时间不长，大部分企业还缺乏申报经验，网信部门也在实践中进行探索，导致当前的数据出境申报效率不高。

数据出境安全评估对企业的影响及未来发展趋势

问：数据出境安全评估对企业有何影响？未来发展趋势如何？

答：数据出境安全评估对企业的影响主要体现在以下几个方面：

1. 增加了企业的合规成本和时间投入。
2. 可能会影响企业的跨境业务开展。
3. 促使企业加强数据安全管理，提升数据保护水平。

未来，随着相关法律法规的不断完善和执法力度的加大，数据出境安全评估将更加严格和规范。企业需要建立和完善数据合规管理体系，提前谋划，及早准备，以应对日益严格的数据出境合规要求。

数据出境安全评估是保障国家安全和促进数据跨境流动的重要举措。企业应当积极应对，主动合规，以确保自身的跨境数据流动活动合法合规，同时也要关注政策动态，及时调整自身的数据管理策略，以适应不断变化的监管环境。