2022 年 7 月 7
日，国家互联网信息办公室（“
网信办”）正式发布《数据出境安全评估办法》（“
《评
估办法》”），细化和落实《网络安全法》第
37
条、《数据安全法》第
31
条、《个人信息保护法》第
36、38、 40
条等法律中有关数据出境的规定。《评估办法》大体延续了
2021 年 10 月 29
日网信办发布的《数据出境
安全评估办法（征求意见稿）》（“
《征求意见稿》”）对数据出境从严监管的态度，采纳了《征求意见稿》提出
的制度框架，但在细节处有所放松。本文旨在简析《评估办法》的要点，并提示需重点注意的事项与潜在挑
战。
一、何为“向境外提供”个人信息和重要数据
根据《评估办法》第
2
条的规定，《评估办法》适用的数据出境活动系指数据处理者向境外提供在中华
人民共和国境内运营中收集和产生的重要数据和个人信息的情形。此外，根据《个人信息保护法》第
4 条对
个人信息的定义，向境外提供去标识化的个人信息将同样落入《评估办法》的适用范围中。
对于“向境外提供”的理解，根据网信办有关负责人在《评估办法》答记者问（“
《评估办法》答记者问”）
1中的介绍，《评估办法》适用的数据出境活动主要包括两大类：一是数据处理者将在境内运营中收集和产生
的数据传输、存储至境外；二是数据处理者收集和产生的数据存储在境内，境外的机构、组织或者个人可以
访问或者调用。
此外，一个备受关注的问题是，《评估办法》是否适用于《个人信息保护法》第
3 条第 2
款规定的情形，
即境外主体直接从境内个人信息主体收集个人信息是否需要申报安全评估。对此《评估办法》并未明确做出
规定，有待于监管后续在实践中予以明晰。从体系解释的角度看，我们倾向于认为对于个人信息而言，《评
估办法》中的“向境外提供”仅指《个人信息保护法》第三章规范的境内个人信息处理者向境外提供数据的
情形，换言之，境外主体直接从境内个人信息主体收集个人信息可能并不需要履行《评估办法》规定的安全
评估义务。鉴于《评估办法》的适用范围仍存在一定不确定性，建议相关企业密切关注监管动态，并考虑根
据全国信息安全标准化技术委员会秘书处于
2022 年 6 月
