数据出境安全评估办法

第一章 总则

第一条

为了规范数据出境活动，保护个人信息权益，维护国家安全和社会公共利益，根据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》等法律，制定本办法。

第二条

数据处理者向境外提供在中华人民共和国境内运营中收集和产生的重要数据和个人信息的安全评估，适用本办法。

第三条

数据出境安全评估坚持事前评估和持续监督相结合、风险自评估与安全评估相结合，防范数据出境安全风险，保障数据依法有序自由流动。

第四条

数据处理者向境外提供数据，有下列情形之一的，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估：
（一）数据处理者向境外提供重要数据；
（二）关键信息基础设施运营者和处理100万人以上个人信息的数据处理者向境外提供个人信息；
（三）自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者向境外提供个人信息；
（四）国家网信部门规定的其他需要申报数据出境安全评估的情形。

第五条

数据处理者在数据出境安全评估有效期内出现下列情形之一的，应当重新申报评估：
（一）向境外提供数据的目的、方式、范围、种类和境外接收方处理数据的用途、方式发生变化，或者延长个人信息和重要数据的境外保存期限；
（二）境外接收方所在国家或者地区的数据安全保护政策法规和网络环境发生变化，或者境外接收方发生重大变化，影响出境数据安全的；
（三）向境外提供数据发生重大安全事件；
（四）数据处理者或者境外接收方经营状况发生重大变化，影响出境数据安全的。

第二章 数据出境风险自评估

第六条

数据处理者申报数据出境安全评估，应当开展数据出境风险自评估，重点评估以下事项：
（一）数据出境和境外接收方处理数据的目的、范围、方式等的合法性、正当性、必要性；
（二）出境数据的数量、范围、种类、敏感程度，数据出境可能对国家安全、公共利益、个人或者组织合法权益带来的风险；
（三）境外接收方承担的数据安全保护责任和义务，以及履行责任和义务的管理和技术措施、能力等能否保障出境数据的安全；
（四）数据出境中和出境后遭到篡改、破坏、泄露、丢失、转移或者被非法获取、非法利用等的风险，数据安全维护权益的渠道是否通畅等；
（五）与境外接收方订立的数据出境相关合同是否充分约定了数据安全保护责任义务。

第七条

数据处理者在风险自评估过程中，应当对下列情况进行重点分析：
（一）境外接收方所在国家或地区的数据保护法律法规对数据安全的影响；
（二）境外接收方的数据安全保护能力及其承诺；
（三）数据处理者与境外接收方之间的合同约定。

第三章 数据出境安全评估

第八条

国家网信部门自收到数据处理者提交的申报材料之日起，在规定时间内完成数据出境安全评估，并将评估结果书面通知数据处理者。

第九条

数据出境安全评估重点评估以下事项：
（一）数据出境的目的、范围、方式等的合法性、正当性、必要性；
（二）境外接收方所在国家或者地区的数据安全保护政策法规和网络环境安全状况；
（三）境外接收方的数据安全保护能力及其承诺；
（四）数据出境合同是否充分约定数据安全保护责任和义务；
（五）数据出境对国家安全、公共利益、个人或者组织合法权益的影响。

第十条

国家网信部门作出不予通过数据出境安全评估的决定时，应当说明理由。

第十一条

数据出境安全评估结果有效期二年，自评估结果出具之日起计算。有效期届满，数据处理者需要继续向境外提供数据的，应当在有效期届满六十个工作日前重新申报评估。

第十二条

数据处理者对评估结果有异议的，可以自收到评估结果之日起十五个工作日内向国家网信部门申请复评，复评结果为最终结论。

第四章 监督管理

第十三条

数据处理者应当按照评估结果开展数据出境活动。数据处理者不按照评估结果开展数据出境活动的，由国家网信部门责令限期改正；拒不改正的，责令停止数据出境活动。

第十四条

国家网信部门发现已经通过评估的数据出境活动不再符合安全评估要求的，应当书面通知数据处理者终止数据出境活动。数据处理者需要继续向境外提供数据的，应当按照本办法规定重新申报评估。

第十五条

数据处理者应当对数据出境活动进行记录，保存期限不少于五年。记录应当包括以下内容：
（一）数据出境的时间、数量、范围、种类；
（二）境外接收方的名称、联系方式；
（三）数据出境的目的、方式；
（四）数据安全事件及其处置情况。

第十六条

数据处理者发现数据出境安全风险增大时，应当及时采取措施降低风险，并报告所在地省级网信部门。

第五章 法律责任

第十七条

数据处理者违反本办法规定的，依照《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》等法律法规的规定处罚。

第十八条

国家机关及其工作人员在数据出境安全评估工作中滥用职权、玩忽职守、徇私舞弊的，依法给予处分。

第六章 附则

第十九条

本办法自2022年9月1日起施行。