数据出境安全评估办法即将实施，数据处理者需要关注哪些？

　　7月7日，国家网信办发布《数据出境安全评估办法》(下称《办法》)。《办法》规定了数据出境安全评估的范围、条件和程序，为数据出境安全评估工作提供了具体指引。《办法》自2022年9月1日起施行。

　　《办法》所称数据出境活动主要包括：数据处理者将在境内运营中收集和产生的数据传输、存储至境外，以及数据处理者收集和产生的数据存储在境内，境外的机构、组织或者个人可以访问或者调用。

　　《办法》明确，数据处理者向境外提供在我国境内运营中收集和产生的重要数据和个人信息的安全评估适用本办法。《办法》提出，数据出境安全评估坚持事前评估和持续监督相结合、风险自评估与安全评估相结合等原则。

　　《办法》规定了应当申报数据出境安全评估的情形和数据出境安全评估的具体要求。此外，还明确了数据出境安全评估程序、监督管理制度、法律责任以及合规整改要求等。

　　安全评估申报前应开展风险自评估

　　《规定》明确，数据处理者向境外提供在中华人民共和国境内运营中收集和产生的重要数据和个人信息的安全评估，适用本办法。本办法旨在，进一步规范数据出境活动，保护个人信息权益，维护国家安全和社会公共利益，促进数据跨境安全、自由流动。

　　《规定》要求，数据处理者在申报数据出境安全评估前，应当开展数据出境风险自评估，重点评估以下事项：

　　一是数据出境和境外接收方处理数据的目的、范围、方式等的合法性、正当性、必要性；

　　二是出境数据的规模、范围、种类、敏感程度，数据出境可能对国家安全、公共利益、个人或者组织合法权益带来的风险；

　　三是境外接收方承诺承担的责任义务，以及履行责任义务的管理和技术措施、能力等能否保障出境数据的安全；

　　四是数据出境中和出境后遭到篡改、破坏、泄露、丢失、转移或者被非法获取、非法利用等的风险，个人信息权益维护的渠道是否通畅等；

　　五是与境外接收方拟订立的数据出境相关合同或者其他具有法律效力的文件等(以下统称法律文件)是否充分约定了数据安全保护责任义务；

　　六是其他可能影响数据出境安全的事项。

　　7项内容将被重点评估

　　《规定》明确，数据处理者向境外提供重要数据，关键信息基础设施运营者和处理100万人以上个人信息的数据处理者向境外提供个人信息，自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者向境外提供个人信息等情况，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估。

　　《规定》要求，国家网信部门应当自收到申报材料之日起7个工作日内，确定是否受理并书面通知数据处理者。有关部门确定受理评估后会重点评估以下事项：

　　一是数据出境的目的、范围、方式等的合法性、正当性、必要性；

　　二是境外接收方所在国家或者地区的数据安全保护政策法规和网络安全环境对出境数据安全的影响；境外接收方的数据保护水平是否达到中华人民共和国法律、行政法规的规定和强制性国家标准的要求；

　　三是出境数据的规模、范围、种类、敏感程度，出境中和出境后遭到篡改、破坏、泄露、丢失、转移或者被非法获取、非法利用等风险；

　　四是数据安全和个人信息权益是否能够得到充分有效保障；

　　五是数据处理者与境外接收方拟订立的法律文件中是否充分约定了数据安全保护责任义务；

　　六是遵守中国法律、行政法规、部门规章情况；

　　七是国家网信部门认为需要评估的其他事项。

　　此类情形应重新申报评估

　　《规定》明确，通过数据出境安全评估的结果有效期为2年。有效期届满，需要继续开展数据出境活动的，数据处理者应当在有效期届满60个工作日前重新申报评估。

　　需要注意的是，若出现向境外提供数据的目的、方式、范围、种类和境外接收方处理数据的用途、方式发生变化影响出境数据安全的，或者延长个人信息和重要数据境外保存期限的；境外接收方所在国家或者地区数据安全保护政策法规和网络安全环境发生变化以及发生其他不可抗力情形、数据处理者或者境外接收方实际控制权发生变化、数据处理者与境外接收方法律文件变更等影响出境数据安全等情况，数据处理者应当重新申报评估。

　　此外，《办法》还明确，国家网信部门负责决定是否受理安全评估，并根据申报情况组织国务院有关部门、省级网信部门、专门机构等开展安全评估。省级网信部门负责接收数据出境安全评估申请材料，并完成完备性查验。任何组织和个人发现数据处理者违反本办法向境外提供数据的，可以向省级以上网信部门举报。

（文章来源：证券时报）