【第十二届北京市律师协会】律师办理数据出境法律业务操作指引（2024）_14页_293kb

报告摘要

《律师办理数据出境法律业务操作指引（2024）》由第十二届北京市律师协会数字经济与人工智能领域法律专业委员会发布，旨在为律师提供办理数据出境法律业务的实务操作指引，明确数据出境的合规路径，降低委托人的法律风险，提升服务质量。

数据出境行为包括：
- 将境内运营中收集和产生的数据传输至境外；
- 境内存储的数据被境外机构、组织或个人查询、调取、下载、导出；
- 在境外处理境内自然人个人信息等其他数据处理活动。
合规路径分为：
- 申报数据出境安全评估：适用于向境外提供重要数据或关键信息基础设施运营者向境外提供个人信息；
- 订立个人信息出境标准合同：适用于非关键信息基础设施运营者向境外提供10万人以上个人信息或1万人以上敏感个人信息；
- 通过个人信息保护认证：适用于非关键信息基础设施运营者向境外提供10万人以下个人信息或1万人以下敏感个人信息。
豁免情形包括：
- 不涉及个人信息或重要数据的跨境活动；
- 个人信息在境内处理后向境外提供，且不引入境内数据；
- 为履行合同或保护个人权益等特殊情形；
- 免于评估的跨境数据规模（如不满10万人个人信息或1万人敏感个人信息）。
负面清单管理：
- 自由贸易试验区内的数据处理者，若向境外提供负面清单以外的数据，需提交使用申请并备案；
- 虽免于申报安全评估等程序，但仍需履行合规手续。

业务流程：
1. 协助识别数据出境行为及场景；
2. 明确法律主体身份；
3. 判断出境数据类型（是否包含重要数据或个人信息）；
4. 提供合规路径选择建议；
5. 协助开展数据安全风险自评估或个人信息保护影响评估；
6. 拟定或审查相关法律文件；
7. 协助申报安全评估或备案合同。
重点评估事项：
- 数据出境目的、范围、方式的合法性、正当性、必要性；
- 出境数据规模、种类、敏感程度及可能带来的风险；
- 境外接收方的责任义务及数据安全保障能力；
- 数据出境及境外处理的风险与个人权益维护渠道；
- 数据出境相关合同是否符合法律要求或境外政策影响。
审查要点：
- “三性”审查：合法性、正当性、必要性；
- 数据类型审查：判断是否为个人信息或敏感个人信息；
- 数据规模审查：防止通过拆分数据规避合规要求；
- 法律文件审查：重点关注数据处理目的、保存地点与期限、再转移限制、安全措施、违约责任与争议解决方式等；
- 材料真实性审查：包括管理文件、协议文件、工作档案、认证有效期、检测机构资质等。

申报方式：
- 一般通过数据出境申报系统提交材料；
- 关键信息基础设施运营者或其他特殊情况采用线下方式向省级网信办申报。
申报材料：
- 统一社会信用代码证件影印件；
- 法定代表人及经办人身份证件；
- 授权委托书；
- 数据出境安全评估申报书；
- 数据出境相关合同；
- 风险自评估报告；
- 其他相关证明材料。
评估结果与有效期：
- 评估结果为“通过”或“不通过”，有效期为3年；
- 有异议可在15个工作日内申请复评；
- 有效期届满前60个工作日可申请延长评估结果有效期。