个人信息出境标准合同落地，企业应对的"道"与"法"

《个人信息保护法》第三十八条确立了个人信息出境的四条合规路径，即：（1）通过网信部门组织的安全评估；（2）通过专业机构的保护认证；（3）签订网信部门制定的标准合同；（4）符合法律、行政法规或网信部门规定的其他条件。

2023年2月24日，国家网信办公布《个人信息出境标准合同办法》（以下简称 "《办法》"），正式宣告个人信息跨境传输"四选一"的第三条路径——个人信息跨境传输标准合同——开始落地。结合实务经验，本文对《个人信息出境标准合同》（以下简称 "标准合同"）的重点内容进行了逐一分析，希望能对相关企业开展数据出境合规工作有所帮助。

一、标准合同的特点

（1）国家"格式条款"

"意思自治"原则是现代社会合同法的基石，这一原则几乎被所有国家的立法和判例以及国际条约所认可。除违反效力性强制规定而导致合同无效的情形以外，合同当中的绝大多数商业安排可以由合同双方自由约定。但与之并存的是格式合同。格式合同最初是为了提高交易效率，提供标准化服务而由合同一方当事人创设的。随后为了平衡交易双方的地位，保护弱者利益，由国家制定的格式合同也相继出台。此前中国也曾发布《特定资产管理合同内容与格式指引》《网络交易平台合同格式条款规范指引》用以规制特殊领域的合同格式。

而标准合同无疑是目前中国法下最严格的格式合同。其内容完整、全面，且境内个人信息主体与境外接收方须严格按照国家网信办提供的制式条款签订与履行。企业在签订标准合同或进行补充约定时，注意两层"不得冲突"得要求：

* 合同双方在补充约定时，不得与标准合同中的制式条款相冲突。依据《办法》第六条以及官方答记者问，有权变更标准合同的主体是国家网信办，企业在签订标准合同时可以约定其他条款，但不能与标准合同当中的制式条款相冲突。即制式条款优先适用于双方约定的其他条款。