企業(yè)如何進行出境場景下的個人信息保護影響評估
作者：吳鵬飛 吳金冬 2023-05-19根據《個人信息保護法》，個人信息處理者向境外提供個人信息，應當事前進行個人信息保護影響評估（以下簡稱“PIA”），以保障個人信息安全。我們在此前一篇文章《外商投資企業(yè)數據出境安全評估申報實操指南》中提到，外商投資企業(yè)因為其境外總部集中管理的需求，導致其向境外提供個人信息的場景很常見。本文將嘗試討論企業(yè)如何進行個人信息出境場景下的PIA，為企業(yè)提供參考。
一、相關法律法規(guī)下PIA的重點內容
個人信息出境目前主要有以下三種合規(guī)路徑：（1）通過國家網信部門組織的安全評估；（2）經專業(yè)機構進行個人信息保護認證；（3）與境外接收方訂立國家網信部門制定的標準合同?！秱€人信息保護法》和相關法規(guī)對這三種合規(guī)路徑下進行PIA的重點做了規(guī)定，如下表所示：
通過上述表格，我們不難看出：1、幾個專項法規(guī)或規(guī)范中規(guī)定的重點評估內容均源自《個人信息保護法》第五十六條確立的原則，并針對出境的情形做了細化規(guī)定；2、出境場景下即使采用不同合規(guī)路徑，PIA的重點評估內容基本一致。
二、出境場景下如何進行PIA
前述法規(guī)雖然規(guī)定了PIA的重點評估內容，但對于企業(yè)如何開展PIA工作并沒有詳細規(guī)定。具體來說：1、數據出境安全評估申報路徑下，我們認為做完自評估已經履行了PIA義務，而官方的申報指南提供了自評估報告模板可以遵照；2、通過第三方認證機構進行個人信息保護認證的路徑下，第三方認證機構可以為企業(yè)進行PIA提供幫助和指導。所以，在這里我們主要討論標準合同路徑下企業(yè)如何進行PIA，據我們觀察，這也適用于多數企業(yè)的合規(guī)需求。
1、自評估報告模板可以作為PIA報告的模板
如前表所示，申報路徑下風險自評估和標準合同路徑下PIA的重點內容基本一致，在進行PIA時可以參考中央網信辦制定的數據出境安全評估申報指南（以下簡稱“申報指南”）中的自評估報告模板。
根據申報指南，自評估模板包括以下幾部分內容：
首先，對自評估工作開展情況進行簡述；
其次，對出境活動整體情況進行說明，內容包括但不限于數據處理者基本情況、數據出境涉及的業(yè)務和信息系統(tǒng)、擬出境數據情況、數據處理者安全保障能力情況、境外接收方情況等；
再次，數據處理者應就前表中所列的重點內容，逐項說明風險評估情況，重點說明評估發(fā)現的問題和風險隱患，以及相應采取的整改措施及整改效果；
最后，綜合上述風險評估情況和整改情況，做出擬申報的數據出境活動風險自評估結論，充分說明得出自評估結論的理由和論據。
根據我們在安全評估申報過程中的經驗，網信部門尤為看重自評估報告中的論證部分，如果只是羅列事實，可能會導致不利的反饋。
2、可參考國家標準開展PIA工作
僅有PIA報告的模板還不夠，企業(yè)應如何開展PIA工作？可以參考推薦性國家標準《信息安全技術 個人信息安全影響評估指南》（GB/T 39335-2020）[1]，該標準有助于我們厘清PIA的流程，比如下圖就是該國家標準中對PIA基本原理或流程的介紹。我們在此不再展開。
根據我們的經驗，1、前期準備工作和數據映射分析可以確定企業(yè)應評估的個人信息處理活動，這是PIA的基礎，需要企業(yè)多加重視；2、該標準中規(guī)定的評估的維度和前表中出境場景下評估的重點并不完全一致，在出境場景下進行PIA可以參考該標準，但建議應圍繞相關法規(guī)中規(guī)定的評估重點內容。
三、期待官方的明確指引
在缺乏網信部門的明確指引的情況下，現階段企業(yè)進行PIA可以參考自評估報告模板和國家標準。同時，《個人信息出境標準合同辦法》將于今年6月1日起正式施行，而PIA報告是辦理標準合同備案的必備材料，我們相信隨著法規(guī)正式施行，網信部門很快會出臺更加明確的指引。
※實習生王秋琪對本文亦有貢獻
注釋：
[1] 信息安全技術數據出境安全評估指南（征求意見稿）中同樣規(guī)定了個人信息保護影響評估的流程和要點，也可以作為進行PIA的參考。
