淺析《個(gè)人信息和重要數(shù)據(jù)出境安全評(píng)估辦法（征求意見稿）》
作者：陳哲臻 2017-04-202017年4月11日，國(guó)家互聯(lián)網(wǎng)信息辦公室（“網(wǎng)信辦”）發(fā)布了關(guān)于《個(gè)人信息和重要數(shù)據(jù)出境安全評(píng)估辦法（征求意見稿）》（“《評(píng)估辦法》”）公開征求意見的通知。《評(píng)估辦法》是對(duì)《中華人民共和國(guó)國(guó)家安全法》和《中華人民共和國(guó)網(wǎng)絡(luò)安全法》的細(xì)化，為有跨境數(shù)據(jù)轉(zhuǎn)移需求的公司提供了一些操作指引。我們希望最終稿的《評(píng)估辦法》能在征求意見稿的基礎(chǔ)上對(duì)一些模糊不清的問題提供更清晰的指引，但我們預(yù)計(jì)最終稿《評(píng)估辦法》不會(huì)對(duì)征求意見稿做出重大修改。
一、“網(wǎng)絡(luò)運(yùn)營(yíng)者”、“數(shù)據(jù)出境”、“個(gè)人信息”和“重要數(shù)據(jù)”的定義。
《評(píng)估辦法》對(duì)上述四個(gè)名詞的定義如下：
網(wǎng)絡(luò)運(yùn)營(yíng)者，是指網(wǎng)絡(luò)的所有者、管理者和網(wǎng)絡(luò)服務(wù)提供者；
數(shù)據(jù)出境，是指網(wǎng)絡(luò)運(yùn)營(yíng)者將在中華人民共和國(guó)境內(nèi)運(yùn)營(yíng)中收集和產(chǎn)生的個(gè)人信息 和重要數(shù)據(jù)，提供給位于境外的機(jī)構(gòu)、組織、個(gè)人；
個(gè)人信息，是指以電子或者其他方式記錄的能夠單獨(dú)或者與其他信息結(jié)合識(shí)別自然 人個(gè)人身份的各種信息，包括但不限于自然人的姓名、出生日期、身份證件號(hào)碼、 個(gè)人生物識(shí)別信息、住址、電話號(hào)碼等；
重要數(shù)據(jù)，是指與國(guó)家安全、經(jīng)濟(jì)發(fā)展，以及社會(huì)公共利益密切相關(guān)的數(shù)據(jù)，具體 范圍參照國(guó)家有關(guān)標(biāo)準(zhǔn)和重要數(shù)據(jù)識(shí)別指南。
二、監(jiān)管機(jī)構(gòu)
第五條明確了網(wǎng)信辦統(tǒng)籌協(xié)調(diào)數(shù)據(jù)出境安全評(píng)估工作，指導(dǎo)行業(yè)主管或監(jiān)管部門組織開展數(shù)據(jù)出境安全評(píng)估。《評(píng)估辦法》第十一條第三款也提及了網(wǎng)信辦、公安部門、安全部門等有關(guān)部門有權(quán)認(rèn)定數(shù)據(jù)是否可以出境。我們理解，將來網(wǎng)信辦將協(xié)調(diào)各領(lǐng)域監(jiān)管部門對(duì)各自領(lǐng)域內(nèi)的數(shù)據(jù)出境監(jiān)管工作做進(jìn)一步的分工和細(xì)化，包括中國(guó)人民銀行、銀監(jiān)會(huì)、證監(jiān)會(huì)、保監(jiān)會(huì)和國(guó)家工商總局等機(jī)構(gòu)均有可能出臺(tái)相關(guān)領(lǐng)域數(shù)據(jù)出境的配套細(xì)則。
三、數(shù)據(jù)出境安全評(píng)估的種類、頻率和重點(diǎn)
《評(píng)估辦法》規(guī)定了自行評(píng)估和監(jiān)管評(píng)估兩種評(píng)估程序，除第九條規(guī)定的情況需由監(jiān)管部門進(jìn)行評(píng)估以外，其它情況下網(wǎng)絡(luò)運(yùn)營(yíng)者可自行評(píng)估。
《評(píng)估辦法》第十二條要求網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)每年對(duì)數(shù)據(jù)出境至少進(jìn)行一次安全評(píng)估，當(dāng)數(shù)據(jù)接收方出現(xiàn)變更，數(shù)據(jù)出境目的、范圍、數(shù)量、類型等發(fā)生較大變化時(shí)，數(shù)據(jù)接收方或出境數(shù)據(jù)發(fā)生重大安全事件時(shí)，應(yīng)及時(shí)重新進(jìn)行安全評(píng)估。
《評(píng)估辦法》第七條要求網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)在數(shù)據(jù)出境前，自行組織對(duì)數(shù)據(jù)出境進(jìn)行安全評(píng)估，并對(duì)評(píng)估結(jié)果負(fù)責(zé)。同時(shí)，在第八條中進(jìn)一步羅列了數(shù)據(jù)出境安全評(píng)估的重點(diǎn)：
（一） 數(shù)據(jù)出境的必要性；
（二） 涉及個(gè)人信息情況，包括個(gè)人信息的數(shù)量、范圍、類型、敏感程度，以及個(gè)人信息主體是否同意其個(gè)人信息出境等；
（三） 涉及重要數(shù)據(jù)情況，包括重要數(shù)據(jù)的數(shù)量、范圍、類型及其敏感程度等；
（四） 數(shù)據(jù)接收方的安全保護(hù)措施、能力和水平，以及所在國(guó)家和地區(qū)的網(wǎng)絡(luò)安全環(huán)境等；
（五） 數(shù)據(jù)出境及再轉(zhuǎn)移后被泄露、毀損、篡改、濫用等風(fēng)險(xiǎn)；
（六） 數(shù)據(jù)出境及出境數(shù)據(jù)匯聚可能對(duì)國(guó)家安全、社會(huì)公共利益、個(gè)人合法利益帶來的風(fēng)險(xiǎn)；
（七） 其他需要評(píng)估的重要事項(xiàng)。
對(duì)于大部分的跨國(guó)企業(yè)而言，在中國(guó)境內(nèi)獲取的數(shù)據(jù)對(duì)于其處于境外的實(shí)際控制方和管理層研究和決定在中國(guó)市場(chǎng)的下一步經(jīng)營(yíng)策略有重要意義，因此第一點(diǎn)數(shù)據(jù)出境的必要性較容易滿足。就第二點(diǎn)中個(gè)人信息主體是否同意其個(gè)人信息出境的問題，我們建議公司以書面方式與客戶訂立數(shù)據(jù)采集和使用合同，并在合同明顯位置對(duì)數(shù)據(jù)所有權(quán)、數(shù)據(jù)使用以及數(shù)據(jù)轉(zhuǎn)移相關(guān)條款進(jìn)行加粗。對(duì)于第八條中羅列的其它評(píng)估重點(diǎn)，由于目前暫無更細(xì)化的標(biāo)準(zhǔn)，若公司無足夠的人力和知識(shí)儲(chǔ)備，我們建議公司將安全評(píng)估的工作轉(zhuǎn)移給專業(yè)的第三方機(jī)構(gòu)開展，以降低公司的合規(guī)風(fēng)險(xiǎn)。
四、監(jiān)管機(jī)構(gòu)評(píng)估
若有《評(píng)估辦法》第九條規(guī)定存在以下情況之一的，網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)報(bào)請(qǐng)行業(yè)主管或監(jiān)管部門組織安全評(píng)估決定數(shù)據(jù)是否可以出境：
（一） 含有或累計(jì)含有50萬人以上的個(gè)人信息；
（二） 數(shù)據(jù)量超過1000GB；
（三） 包含核設(shè)施、化學(xué)生物、國(guó)防軍工、人口健康等領(lǐng)域數(shù)據(jù)，大型工程活動(dòng)、海洋環(huán)境以及敏感地理信息數(shù)據(jù)等；
（四） 包含關(guān)鍵信息基礎(chǔ)設(shè)施的系統(tǒng)漏洞、安全防護(hù)等網(wǎng)絡(luò)安全信息；
（五） 關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者向境外提供個(gè)人信息和重要數(shù)據(jù)；
（六） 其他可能影響國(guó)家安全和社會(huì)公共利益，行業(yè)主管或監(jiān)管部門認(rèn)為應(yīng)該評(píng)估。
（七） 行業(yè)主管或監(jiān)管部門不明確的，由國(guó)家網(wǎng)信部門組織評(píng)估。
五、不得出境的數(shù)據(jù)
《評(píng)估辦法》第十一條規(guī)定了三種數(shù)據(jù)不得出境的情形：
（一） 個(gè)人信息出境未經(jīng)個(gè)人信息主體同意，或可能侵害個(gè)人利益；
數(shù)據(jù)出境給國(guó)家政治、經(jīng)濟(jì)、科技、國(guó)防等安全帶來風(fēng)險(xiǎn)，可能影響國(guó)家安全、
（二） 損害社會(huì)公共利益；
（三） 其他經(jīng)國(guó)家網(wǎng)信部門、公安部門、安全部門等有關(guān)部門認(rèn)定不能出境的。
總體而言，《評(píng)估辦法》的印發(fā)體現(xiàn)了監(jiān)管部門對(duì)于信息數(shù)據(jù)出境所持有的“有監(jiān)管的出境”的態(tài)度，對(duì)于經(jīng)信息主體同意、信息出境具備必要性、能確保信息安全且不影響國(guó)家安全或損害社會(huì)公共利益的信息出境是持肯定態(tài)度的。但《評(píng)估辦法》對(duì)重要數(shù)據(jù)的定義較為模糊，也包含了如“其他可能影響國(guó)家安全和社會(huì)公共利益”和“其他經(jīng)國(guó)家網(wǎng)信部門、公安部門、安全部門等有關(guān)部門認(rèn)定不能出境的”等模糊不清的條款，給網(wǎng)絡(luò)運(yùn)營(yíng)者開展信息數(shù)據(jù)出境工作帶來了一定的不可預(yù)測(cè)性。我們希望最終稿的《評(píng)估辦法》能減少模糊的規(guī)定，為網(wǎng)絡(luò)運(yùn)營(yíng)者的工作提供更清晰的指引。
