自2012 年全国人大常委会通过《关于加强网络信息保护的决定》以来，我国个人信息和数据保护的立法与实践已历经十年。这十年中，个人信息等数据出境合规一直是法律实务中的焦点问题。近年来，不仅《网络安全法》（"
《网安法》"）、《数据安全法》（"
《数安法》"）、《个人信息保护法》（"
《个保法》"）对此作了原则性的规定，相关实施细则与指南性文件也密集出台，包括《数据出境安全评估办法》（"
《安全评估办法》"）《数据出境安全评估申报指南（第一版）》（"
《安全评估申报指南》"）《个人信息出境标准合同规定（征求意见稿）》（
"《标准合同规定》"）《网络安全标准实践指南——个人信息跨境处理活动安全认证规范》（"
《认证指南》"）等。
《安全评估办法》对国内数据出境提出了强制性的申报和评估要求，这一影响广大市场主体的新规于2022年9月1日正式实施；2022年8月31日，国家网信办发布了更具实践指导意义的《安全评估申报指南》。本文将立足《安全评估办法》《安全评估申报指南》等一系列新规，基于个人信息出境的三条路径：安全评估、标准合同、认证，对我国个人信息出境合规作实务解读。
一.
立法背景与历史沿革
与其他司法辖区不同，我国数据出境和个人信息出境规则呈现二元架构，即分属两种不同的出境规则体系。2021年，《个保法》《数安法》相继出台，使个人信息和数据在我国明确成为了两种不同的法律概念。个人信息属于个人权益，重要数据则是国家安全考量的产物。在数据出境和个人信息出境二元架构下，不同的出境对象需要适用不同的法律规则。就个人信息出境来说，其宏观架构是基于一致性保护的出境原则，也即要求境外接收方处理个人信息的活动达到《个保法》规定的个人信息保护标准。
