配合數(shù)據(jù)跨境新規(guī)適用——安全評(píng)估申報(bào)和SCC備案指南(第二版)解析
作者：吳衛(wèi)明 劉芷均 2024-03-233月22日，為了配套最新發(fā)布的《促進(jìn)和規(guī)范數(shù)據(jù)跨境流動(dòng)規(guī)定》(“《數(shù)據(jù)跨境新規(guī)》”)，國(guó)家網(wǎng)信辦發(fā)布更新版本的指南文件，通過(guò)《數(shù)據(jù)出境安全評(píng)估申報(bào)指南(第二版)》(“《安全評(píng)估指南(第二版)》”)和《個(gè)人信息出境標(biāo)準(zhǔn)合同備案指南(第二版)》(“《SCC備案指南(第二版)》”，與《安全評(píng)估指南(第二版)》合稱為“《指南(第二版)》”)向涉及數(shù)據(jù)/個(gè)人信息出境活動(dòng)的處理者提供符合《數(shù)據(jù)跨境新規(guī)》要求的數(shù)據(jù)出境安全評(píng)估申報(bào)(“安全評(píng)估申報(bào)”或“申報(bào)”)/個(gè)人信息出境標(biāo)準(zhǔn)合同備案(“SCC備案”或“備案”)指引。
以下就兩份指南更新的核心內(nèi)容以及對(duì)擬申報(bào)/備案的處理者帶來(lái)的影響進(jìn)行簡(jiǎn)要說(shuō)明：
一、適用范圍更新，境外處理者需要予以關(guān)注
1. 應(yīng)申報(bào)/備案情形
應(yīng)申報(bào)/備案情形的更新是同步于《數(shù)據(jù)跨境新規(guī)》的，內(nèi)容與《數(shù)據(jù)跨境新規(guī)》中提供的最新標(biāo)準(zhǔn)一致。
相關(guān)內(nèi)容的變化可以參考我們另外發(fā)布的新規(guī)解讀文章：《促進(jìn)和規(guī)范數(shù)據(jù)跨境流動(dòng)規(guī)定》生效后需要關(guān)注的八大問(wèn)題。
2. 數(shù)據(jù)出境行為囊括了境外處理者的處理活動(dòng)
數(shù)據(jù)出境行為新增了第(三)種，即“符合《個(gè)人信息保護(hù)法》第三條第二款情形，在境外處理境內(nèi)自然人個(gè)人信息等其他數(shù)據(jù)處理活動(dòng)。”《指南(第二版)》對(duì)于“數(shù)據(jù)出境行為”的定義與此前全國(guó)信安標(biāo)委發(fā)布的《TC260-PG-20222A 個(gè)人信息跨境處理活動(dòng)安全認(rèn)證規(guī)范V2.0》中給出的定義基本一致。至此，三種數(shù)據(jù)出境合規(guī)路徑下對(duì)于“數(shù)據(jù)出境行為”的定義達(dá)成統(tǒng)一。
在境外處理境內(nèi)自然人個(gè)人信息的處理者明確成為了數(shù)據(jù)跨境傳輸監(jiān)管主體之一。對(duì)于在境外處理境內(nèi)自然人個(gè)人信息，不涉及其他境內(nèi)主體(如境內(nèi)受托方、境內(nèi)處理者等)的情況，是否也屬于需要履行相關(guān)申報(bào)/備案程序，《指南(第二版)》未提供明確的說(shuō)明；但境外處理者涉及個(gè)人信息跨境傳輸活動(dòng)的已明確屬于監(jiān)管范圍。
針對(duì)這項(xiàng)定義的更新，境外數(shù)據(jù)處理者應(yīng)謹(jǐn)慎對(duì)待，盡快展開涉及中國(guó)個(gè)人信息的處理情況盤點(diǎn)并分析是否符合需要申報(bào)/備案的情形，具體可以參考如下步驟進(jìn)行：
(1) 處理中國(guó)境內(nèi)自然人個(gè)人信息的原因是否涉及如下之一：1) 以向境內(nèi)自然人提供產(chǎn)品或者服務(wù)為目的；2) 分析、評(píng)估境內(nèi)自然人的行為；3) 中國(guó)法律、行政法規(guī)規(guī)定的其他情形。
(2) 相關(guān)數(shù)據(jù)流中是否涉及境內(nèi)外交互或境外向第三國(guó)傳輸?shù)那樾?，比如?) 境外處理者委托境內(nèi)受托方處理個(gè)人信息；2) 境內(nèi)與境外處理者共同處理；3)境外處理者提供給第三國(guó)處理者或委托第三國(guó)受托方處理個(gè)人信息。(在境外處理境內(nèi)自然人個(gè)人信息，不涉及其他境內(nèi)主體(如境內(nèi)受托方、境內(nèi)處理者等)的處理者，建議進(jìn)一步咨詢或委托境內(nèi)專業(yè)機(jī)構(gòu)咨詢網(wǎng)信辦并進(jìn)行適用性分析。)
(3) 具體符合申報(bào)/備案條件的場(chǎng)景下涉及的個(gè)人信息數(shù)量在各維度的統(tǒng)計(jì)數(shù)據(jù)是否達(dá)到申報(bào)/備案門檻。
二、安全評(píng)估申報(bào)和SCC備案以及保護(hù)認(rèn)證開放線上平臺(tái)
根據(jù)《指南(第二版)》和國(guó)家網(wǎng)信辦在《促進(jìn)和規(guī)范數(shù)據(jù)跨境流動(dòng)規(guī)定》答記者問(wèn)中提供的信息，三種數(shù)據(jù)出境路徑均開放了專門的線上平臺(tái)，接收處理者的申請(qǐng)。但CIIO和其他不適合通過(guò)平臺(tái)申報(bào)的數(shù)據(jù)處理者不可以通過(guò)線上進(jìn)行安全評(píng)估申報(bào)，只能按原先的程序通過(guò)所在地省級(jí)網(wǎng)信辦向國(guó)家網(wǎng)信辦提交紙質(zhì)材料。以下是我們整理的線上提交和線下提交分別適用的情況和具體要求：
處理者如通過(guò)線上提交的，需注意線上平臺(tái)相較于線下方式多了一個(gè)角色“系統(tǒng)注冊(cè)人”，該系統(tǒng)注冊(cè)人并不等同于經(jīng)辦人，可以由兩個(gè)人員負(fù)責(zé)；但系統(tǒng)注冊(cè)人的聯(lián)系電話將成為線上平臺(tái)所有通知的接收途徑，務(wù)必要注意該人員要經(jīng)公司授權(quán)、要熟悉項(xiàng)目、且與項(xiàng)目上相關(guān)人員(第三方專業(yè)機(jī)構(gòu)人員)有高效的溝通機(jī)制，以便于線上提交申請(qǐng)時(shí)能不遺漏消息、快速推進(jìn)程序。
三、優(yōu)化了網(wǎng)信部門的審核流程，明確了與處理者妥善溝通的要求
1. 《安全評(píng)估指南(第二版)》明確了省級(jí)網(wǎng)信辦在完成完備性查驗(yàn)時(shí)要向處理者告知查驗(yàn)結(jié)果；未通過(guò)查驗(yàn)的，還要告知未通過(guò)完備性查驗(yàn)的原因。從書面上明確這一要求，有助于保障查驗(yàn)和審核流程的透明、公正，也能夠在網(wǎng)信部門與處理者之間搭建良好溝通的橋梁。
2. 《安全評(píng)估指南(第二版)》新增了一種可以延長(zhǎng)評(píng)估時(shí)間的情形：除了“情況復(fù)雜的”外，新增“需要補(bǔ)充、更正材料的”情形下，國(guó)家網(wǎng)信辦也可以適當(dāng)延長(zhǎng)評(píng)估時(shí)間，并告知處理者預(yù)計(jì)延長(zhǎng)的時(shí)間。
四、明確申報(bào)或備案文件的格式要求
1. 再次明確專用語(yǔ)言為中文
除了此前已經(jīng)明確的出境相關(guān)合同或法律文件以中文為準(zhǔn)且須提交中文版外，《指南(第二版)》中特別強(qiáng)調(diào)《數(shù)據(jù)出境安全評(píng)估申報(bào)表》《數(shù)據(jù)出境風(fēng)險(xiǎn)自評(píng)估報(bào)告》《個(gè)人信息保護(hù)影響評(píng)估報(bào)告(出境版)》須使用中文進(jìn)行撰寫。根據(jù)我們過(guò)往的項(xiàng)目經(jīng)驗(yàn)，報(bào)告等申報(bào)材料中涉及英文詞匯的，比如數(shù)據(jù)種類等，建議在英文旁提供中文翻譯內(nèi)容，可以一定程度上減少反饋、加快流程。
2. 明確申報(bào)書、自評(píng)估報(bào)告的字體、字號(hào)、段落設(shè)置、頁(yè)面設(shè)置要求
為了避免接收格式不一、五花八門的申報(bào)文件，《指南(第二版)》除了提出中文語(yǔ)言要求外，還明確規(guī)定了中文、數(shù)字和字母的字體、字號(hào)以及段落設(shè)置、頁(yè)面設(shè)置要求，具體可參考《指南(第二版)》(不同文件的格式要求略有不同，請(qǐng)注意分別比對(duì))。
五、為多場(chǎng)景申報(bào)和多接收方申報(bào)的特殊情形提供特殊申報(bào)方案
1. 同一處理者涉及多場(chǎng)景只須填寫一份申報(bào)表
《安全評(píng)估指南(第二版)》中提供了更新的申報(bào)表，要求擬申報(bào)的處理者以場(chǎng)景為維度來(lái)描述數(shù)據(jù)出境情況，而不同場(chǎng)景的分開單獨(dú)填報(bào)每個(gè)場(chǎng)景的擬出境情況、涉及的境外接收方等情況即可。這一更新項(xiàng)說(shuō)明，同一處理者涉及多個(gè)場(chǎng)景存在跨境數(shù)據(jù)傳輸活動(dòng)的，只需要填報(bào)一份申報(bào)表(參考線上平臺(tái)提供的使用手冊(cè)可以看出，線上流程也是提交一次即可)。
2. 接收方多、不確定、無(wú)法列舉的，可以填寫統(tǒng)計(jì)數(shù)據(jù)
針對(duì)境外接收方數(shù)量眾多、范圍不確定、無(wú)法逐一列舉的，境外接收方情況可以只填寫統(tǒng)計(jì)數(shù)據(jù)。具體關(guān)于數(shù)量眾多的認(rèn)定標(biāo)準(zhǔn)暫未明確，而統(tǒng)計(jì)數(shù)據(jù)如何填寫，按何種標(biāo)準(zhǔn)來(lái)填寫也并未在本次更新的指南中提供。
根據(jù)我們以往的項(xiàng)目經(jīng)驗(yàn)，統(tǒng)計(jì)數(shù)據(jù)可以考慮從過(guò)去年度的接收方數(shù)量、分布國(guó)家或地區(qū)情況、接收方涉及行業(yè)/領(lǐng)域分布情況、接收方類型等維度出發(fā)進(jìn)行統(tǒng)計(jì)。
六、《安全評(píng)估指南(第二版)》更新了申報(bào)表模板，線上平臺(tái)已將申報(bào)表內(nèi)容進(jìn)行拆分并流程化
1. 減少填空題，增加選擇題
基于前一階段審核工作的經(jīng)驗(yàn)基礎(chǔ)，網(wǎng)信辦優(yōu)化了申報(bào)表中部分字段，從開放式填空題改為了選擇題，一定程度上提供了更為明確的填表要求，相信在今后的申報(bào)工作中能夠節(jié)省大量審核工作量。
2. 新增必要填報(bào)內(nèi)容，刪去非必要填報(bào)項(xiàng)
(1) 關(guān)于“數(shù)據(jù)處理者情況”：
新增要求填寫“單位類型”，可選擇為內(nèi)資、外資、中外合資、港澳臺(tái)資或其他(另填)；
新增要求填寫“是否為關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者” “處理個(gè)人信息規(guī)模”，便于在申報(bào)開始就對(duì)該項(xiàng)目是否適用于線上流程進(jìn)行判斷；
刪去“營(yíng)業(yè)有效期”“郵政編碼”“注冊(cè)資金”“主營(yíng)業(yè)務(wù)”。
(2) 關(guān)于“境外接收方情況”：
刪去“注冊(cè)登記號(hào)碼”“注冊(cè)資金”“員工數(shù)量”“負(fù)責(zé)人證件類型”“負(fù)責(zé)人證件號(hào)碼”等項(xiàng)目，對(duì)接收方負(fù)責(zé)人的聯(lián)系方式也僅要求提供電話或郵箱中的一種；但我們提請(qǐng)?zhí)幚碚咦⒁?，在填寫時(shí)仍需關(guān)注聯(lián)系方式是否有效、可供有關(guān)部門聯(lián)系。
3. 明確重要數(shù)據(jù)須經(jīng)有關(guān)部門認(rèn)定，并須提交認(rèn)定主管部門名稱。涉及重要數(shù)據(jù)的，我們建議將重要數(shù)據(jù)認(rèn)定依據(jù)作為補(bǔ)充材料提交。
4. 確定出境個(gè)人信息數(shù)量要提供兩種數(shù)據(jù)并說(shuō)明關(guān)系
涉及出境自然人數(shù)量的，不僅要去重，還要提供當(dāng)年已出境數(shù)量、未來(lái)三年出境數(shù)量這兩類統(tǒng)計(jì)或預(yù)估數(shù)量，并說(shuō)明兩個(gè)數(shù)據(jù)之間的關(guān)系。處理者在統(tǒng)計(jì)和填寫時(shí)要注意兩個(gè)數(shù)據(jù)之間的計(jì)算關(guān)系以及統(tǒng)計(jì)口徑是否合理。
七、優(yōu)化自評(píng)估報(bào)告和PIA報(bào)告(出境版)的結(jié)構(gòu)，避免篇幅冗長(zhǎng)影響審核
《指南(第二版)》對(duì)《數(shù)據(jù)出境風(fēng)險(xiǎn)自評(píng)估報(bào)告(模板)》和《個(gè)人信息保護(hù)影響評(píng)估報(bào)告(出境版)(模板)》的結(jié)構(gòu)都進(jìn)行了優(yōu)化和調(diào)整，兩份報(bào)告模板都將“數(shù)據(jù)/個(gè)人信息出境涉及業(yè)務(wù)和信息系統(tǒng)情況”中的內(nèi)容融合至“擬出境數(shù)據(jù)/個(gè)人信息情況”中，使得報(bào)告中對(duì)于擬出境情況的描述更富有邏輯性、整體性，避免報(bào)告中出現(xiàn)大量重復(fù)內(nèi)容，提高報(bào)告描述擬出境事實(shí)情況的效率，提升報(bào)告的可讀性。在整體結(jié)構(gòu)調(diào)整的基礎(chǔ)上，兩份報(bào)告分別有一些優(yōu)化的重點(diǎn)值得關(guān)注。
1.自評(píng)估報(bào)告結(jié)構(gòu)的優(yōu)化重點(diǎn)：列表呈現(xiàn)出境數(shù)據(jù)項(xiàng)并逐一說(shuō)明必要性
更新后的自評(píng)估報(bào)告嚴(yán)格要求擬申報(bào)的處理者在描述擬出境數(shù)據(jù)情況時(shí)，通過(guò)列表的形式呈現(xiàn)數(shù)據(jù)項(xiàng)，并逐一確認(rèn)出境必要性。在每個(gè)出境申報(bào)業(yè)務(wù)場(chǎng)景下，都需要列表提供數(shù)據(jù)項(xiàng)清單并逐一說(shuō)明具體內(nèi)容、出境必要性、提供示例。涉及出境必要性存在瑕疵的數(shù)據(jù)項(xiàng)，需要在申報(bào)前及時(shí)作出整改，不能和同一場(chǎng)景下的其他數(shù)據(jù)項(xiàng)混合在一起予以申報(bào)。
2. PIA報(bào)告(出境版)的優(yōu)化重點(diǎn)：修正不符合《個(gè)人信息出境標(biāo)準(zhǔn)合同辦法》評(píng)估要求的內(nèi)容
更新的PIA報(bào)告(出境版)中刪去了“個(gè)人信息處理者個(gè)人信息保護(hù)能力情況”章節(jié)，不再需要作為事實(shí)情況在報(bào)告中大篇幅進(jìn)行說(shuō)明。查看整份更新后的報(bào)告模板，不難看出這一更新項(xiàng)主要考慮的是，在《個(gè)人信息出境標(biāo)準(zhǔn)合同辦法》第五條規(guī)定的評(píng)估依據(jù)和要求中沒(méi)有提及相關(guān)內(nèi)容。從過(guò)往項(xiàng)目經(jīng)驗(yàn)出發(fā)，如果在PIA報(bào)告撰寫過(guò)程中涉及相關(guān)事項(xiàng)需要充分說(shuō)明出境個(gè)人信息安全的，我們建議可以考慮參照第一版指南的相關(guān)內(nèi)容在“(三)個(gè)人信息處理者認(rèn)為需要說(shuō)明的其他情況”部分對(duì)個(gè)人信息處理者自身的個(gè)人信息保護(hù)能力情況進(jìn)行補(bǔ)充說(shuō)明。
除了以上所述本次《指南(第二版)》的重點(diǎn)更新內(nèi)容外，還有其他關(guān)于報(bào)告、材料的更新要求，比如《安全評(píng)估指南(第二版)》更新的自評(píng)估報(bào)告中要求涉及個(gè)人信息出境的處理者要提供履行《個(gè)人信息保護(hù)法》第三十九條規(guī)定的情況說(shuō)明及佐證材料，包括告知義務(wù)和取得個(gè)人的單獨(dú)同意等(不適用同意合法性基礎(chǔ)的除外)。此外，《個(gè)人信息出境標(biāo)準(zhǔn)合同(模板)》本次沒(méi)有任何修改，仍維持原有版本。
從以上更新和調(diào)整的內(nèi)容不難看出，《指南(第二版)》的發(fā)布是網(wǎng)信辦前期審核經(jīng)驗(yàn)的轉(zhuǎn)化和體現(xiàn)，其中的各項(xiàng)優(yōu)化內(nèi)容體現(xiàn)了對(duì)于材料的精簡(jiǎn)、程序的電子化和便利化。
