20220728-毕马威-数据出境安全评估管理建议_14页_1mb

数据出境安全评估管理建议总结

核心内容概述

《数据出境安全评估办法》是落实《网络安全法》、《数据安全法》和《个人信息保护法》的重要举措，旨在规范数据出境活动，保护个人信息权益，维护国家安全和社会公共利益，同时促进数据跨境安全、自由流动。该办法于2022年9月1日正式实施，标志着中国在数据出境监管方面进入制度化、规范化阶段。

主要观点

• 数据出境需遵循合法、正当、必要原则，确保个人信息和重要数据的安全。
• 数据出境活动需进行风险自评估，作为国家网信部门安全评估的前置准备。
• 个人信息和重要数据的出境需满足特定条件，包括接收方的合规性、数据安全措施、数据使用目的等。
• 合同合规性是数据出境管理的重要组成部分，需与境外接收方签订符合法律要求的合同并完成备案。
• 数据出境活动应纳入企业整体的数据管理流程，与现有数据分级分类、个人信息保护影响评估等机制集成。

关键信息

数据类型分类

• 个人信息：以电子或其他方式记录的与已识别或可识别自然人有关的信息，不包括匿名化处理后的信息。
• 敏感个人信息：一旦泄露或非法使用，可能对自然人的人格尊严、人身或财产安全造成危害的信息，如身份证号、银行账户、健康记录等。
• 重要数据：可能危害国家安全、经济运行、社会稳定等的数据，如未公开的政府信息、人口数据、基因信息、地理信息等。

风险自评估建议范围

• 目的与范围评估：评估数据出境的合法性、正当性和必要性。
• 安全保障能力评估：包括数据生命周期保护能力、接收方安全技术和管理能力。
• 合同合规性评估：涉及与境外接收方签订的合同或其他法律文件。
• 历史违规记录评估：评估数据处理者过往是否存在违规行为。
• 接收方所在国家或地区的政策法规和网络安全环境评估：确保接收方所在地区具备足够的数据保护能力。

风险自评估报告主要内容

• 数据出境风险评估：包括出境规模、范围、种类、敏感程度等。
• 数据安全评估：涵盖数据处理者和接收方的安全管理与技术能力。
• 合同约束风险评估：确保合同符合《个人信息出境标准合同规定（征求意见稿）》等要求。

合同合规性要求

• 发送方义务：遵循目的明确、最小必要原则，提供数据访问、合同副本、资质认证说明，开展个人信息保护影响评估，执行合同备案。
• 接收方义务：落实安全保护措施、数据泄露应急处置措施，记录和留存处理活动（3年），接受和配合监管活动。

安全评估申报流程

• 企业需识别需申报的高风险数据出境活动，完成自评估、整改、合规计划制定，并提交安全评估申请。

下一步工作建议时间线

有待监管明确事项

• 个人信息出境标准合同的具体内容和法律文件要求
• 重要数据目录的制定
• 风险自评估和安全评估的指南与模板
• 安全评估申报和沟通的执行流程与方式
• 个人信息保护认证的流程与方式

毕马威的服务内容

1. 出境活动梳理和规划

   • 识别和梳理个人信息/重要数据出境活动，制定合规计划和建议。

2. 风险自评估和整改

   • 协助开展风险自评估，提供整改建议，协助落实整改措施。

3. 安全评估申报支持

   • 协助完成安全评估申报工作。

4. 数据出境管理框架建设

   • 建立数据出境活动管理和评估框架，制定相关制度、流程和工具。

5. 出境日常管理支持

   • 协助持续开展出境活动记录盘点、自评估、整改辅导、管理培训等。

6. 系统/数据本地化分析

   • 分析数据和系统本地化战略与计划，提供相关建议。

毕马威网络安全评估平台

毕马威提供一系列网络安全评估工具和服务，支持企业在数据出境过程中进行系统化管理和评估，确保合规性和数据安全。

联系方式

• 石浩然
  毕马威中国 | 网络和信息安全服务合伙人
  T: +852 2143 8799 | E: henny.shek@kpmg.com

• 张倪海
  毕马威中国 | 网络和信息安全服务合伙人
  T: +852 2847 5062 | E: brian.cheung@kpmg.com

• 张令琪
  毕马威中国 | 网络和信息安全服务合伙人
  T: +86 (21) 22123637 | E: irichard.zhang@kpmg.com

• 黄芃芃
  毕马威中国 | 网络和信息安全服务合伙人
  T: +86 (21) 2212 2355 | E: quin.huang@kpmg.com

• 郝长伟
  毕马威中国 | 网络和信息安全服务合伙人
  T: +86 (10) 8508 5498 | E: danny.hao@kpmg.com

• 周文韬
  毕马威中国 | 网络和信息安全服务总监
  T: +86 (21) 22123149 | E: kevin.wt.zhou@kpmg.com

• 李振
  毕马威中国 | 网络和信息安全服务总监
  T: +86 (10) 8508 5397 | E: jz.li@kpmg.com

所载资料仅供一般参考用，并非针对任何个人或团体的个别情况而提供。虽然本所已致力提供准确和及时的资料，但本所不能保证这些资料在阁下收取时或日后仍然准确。
任何人士不应在没有详细考虑相关的情况及获取适当的专业意见下依据所载资料行事。

© 2022 毕马威企业咨询 (中国)有限公司—中国有限责任公司，是与英国私营担保有限公司—毕马威国际有限公司相关联的独立成员所全球性组织中的成员。版权所有，不得转载。在中国印刷。
毕马威的名称和标识均为毕马威全球性组织中的独立成员所经许可后使用的商标。