個人信息跨境流動監管趨勢展望——《粵港澳大灣區（內地、香港）個人信息跨境流動標準合同實施指引》解讀
作者：吳鵬飛 吳金冬 2023-12-202023年12月10日，國家互聯網信息辦公室、香港特別行政區政府創新科技及工業局共同制定的《粵港澳大灣區（內地、香港）個人信息跨境流動標準合同實施指引》（下稱“《大灣區指引》”）正式公布并施行。本文將對《大灣區指引》的要點進行解讀，并嘗試預測個人信息跨境流動監管的趨勢。
一、適用范圍受限制
整體上看《大灣區指引》簡化了一些監管的要求，下文會詳細介紹。但是，首先要說明的是《大灣區指引》在適用范圍上有以下兩方面限制：
第一，《大灣區指引》只適用于注冊于粵港澳大灣區內地部分（廣東省廣州市、深圳市、珠海市、佛山市、惠州市、東莞市、中山市、江門市、肇慶市）以及香港特別行政區的個人信息處理者及接收方之間的個人信息跨境流動，如果個人信息處理者是注冊于粵港澳大灣區以外的外商投資企業，就不能適用《大灣區指引》。
第二，《大灣區指引》及標準合同均明確，接收方不得向大灣區以外的組織、個人提供個人信息（比如接收方繼續向其歐美總部提供），因此《大灣區指引》也排除了外商投資企業借道香港向境外總部提供個人信息的可能。
由于上述限制，《大灣區指引》可能并不適用于絕大多數跨國企業因集中管理需求而在內部跨境傳輸個人信息的情況。
二、安全評估要求較現有法規有所放松
《大灣區指引》僅規定了訂立標準合同并備案這一種合規路徑。《大灣區指引》并未對出境個人信息的數量、敏感程度等加以限制，這可能意味著即使處理100萬以上個人信息的處理者向境外提供個人信息也可以采用訂立標準合同并備案的合規路徑。但由于《大灣區指引》法律效力低于現有的《數據出境安全評估辦法》和《個人信息出境標準合同辦法》，《大灣區指引》是否還是受到上位法的約束，仍存在疑問。
值得注意的是，今年9月底，國家互聯網信息辦公室發布了《規范和促進數據跨境流動規定（征求意見稿）》（下稱“征求意見稿”），該征求意見稿規定了預計一年內向境外提供不滿1萬人個人信息的，無需適用三種合規路徑（即申報數據出境安全評估、訂立個人信息出境標準合同或通過個人信息保護認證），但此次發布的《大灣區指引》卻未做類似“松綁”。
三、個人信息保護影響評估要求放寬
《大灣區指引》對個人信息保護影響評估的要求也有所放寬：
第一，評估的內容予以簡化，刪除了“出境個人信息的規模、范圍、種類、敏感程度”“個人信息出境后遭到篡改、破壞、泄露、丟失、非法利用等的風險，個人信息權益維護的渠道是否通暢”以及“境外接收方所在國家或者地區的個人信息保護政策和法規對標準合同履行的影響”等內容。
第二，標準合同備案材料也大為簡化，并未要求提供個人信息保護影響評估報告。對于企業來說，盡管仍要在跨境提供個人信息前進行個人信息保護影響評估，但因無需按照《個人信息出境標準合同備案指南（第一版）》（下稱“《備案指南》”）中個人信息保護影響評估報告模板提供評估報告，企業可以自行合理判斷評估工作的顆粒度。
根據我們此前的經驗，企業按照數據出境風險自評估報告（模板）或《備案指南》中的個人信息保護影響評估報告（模板）的要求，通常需要花費幾個月的時間收集材料、起草評估報告，這期間需要協調境內外團隊，投入很多的人力物力，增加了企業的負擔。而《大灣區指引》放寬個人信息保護影響評估的要求，無疑將有效減輕企業的負擔。近期，我們團隊協助個人信息處理量小的外資企業采用簡易方式進行個人信息保護影響評估工作。
四、標準合同雙方義務和責任減輕
大灣區版標準合同刪除了接收方允許個人信息處理者對必要的數據文件和文檔進行查閱的義務，以及按照相關法律法規要求直接或者通過個人信息處理者向監管機構提供相關記錄文件的義務。此外，依據雙方簽訂的標準合同向同轄區內的第三方提供個人信息時，無需再進行標準合同備案，也無需向個人信息主體提供與第三方的協議副本。
五、從《大灣區指引》預測個人信息跨境流動監管的趨勢
我們在上一篇文章《個人信息出境不再需要簽署標準合同？答案比較復雜》中曾預測征求意見稿將會于11月底前正式出臺，但被現實無情打臉，截至目前正式稿仍未發布。我們理解，這說明正式稿可能會對征求意見稿做出一些調整，我們電話咨詢國家網信辦得到的反饋也證實了這一點。粵港澳大灣區有著政策先行先試的優勢，《大灣區指引》尚且未“松綁”向境外提供1萬人以下個人信息時訂立標準合同并備案的合規要求，我們再次勇敢地預測全國適用的《規范和促進數據跨境流動規定》在正式發布時可能也不會放松這一要求，但可能會參考《大灣區指引》放寬對個人信息保護影響評估的要求，減輕企業負擔。
希望《規范和促進數據跨境流動規定》正式稿能盡快出臺，以厘清個人信息跨境流動的監管要求，為企業提供更加明確的操作指引。這也是眾多外資企業所期盼的。
實習生魏歆倢對本文亦有貢獻。
