个人信息出境标准合同》合规落地全解析

背景

《中华人民共和国个人信息保护法》（" 《个保法》"）第三十八条规定，" 个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一：

（一）依照本法第四十条的规定通过国家网信部门组织的安全评估；

（二）按照国家网信部门的规定经专业机构进行个人信息保护认证；

（三）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；

（四）法律、行政法规或者国家网信部门规定的其他条件。

......"

对于因开展业务等而需要向中国境外提供个人信息的中国境内企业，《个保法》明确提供了上述三条主要合规路径，即通过安全评估、进行个人信息保护认证，以及与境外接收方订立标准合同。

对于安全评估这一路径，国家互联网信息办公室（" 网信办"）在2022年7月发布了《数据出境安全评估办法》，并于2022年8月发布《数据出境安全评估申报指南（第一版）》，对数据出境安全评估的原则性要求提供进行扩充，并为数据处理者申报数据出境安全评估、开展相关准备工作提供了更为详细的指引和申报要求¹。

针对个人信息保护认证的合规路径，网信办于2022年11月发布了《个人信息保护认证实施规则》，明确了开展跨境处理活动的个人信息处理者，需要在符合GB/T 35273《信息安全技术 个人信息安全规范》的基础上，满足TC260-PG-20222A《个人信息跨境处理活动安全认证规范》的要求。《个人信息保护认证实施规则》同时也对认证模式、认证程序、认证结果等做出了进一步要求，为企业依靠开展个人信息保护认证的方式保证个人信息出境行为的合规性提供了基本的可操作性。