2023-03-26-环球律师事务所-数据跨境现状调查与分析报告_2023_54页_1mb

数据跨境现状调查与分析报告总结

一、基础问题篇：法律与合规要求

1. 法律法规

   • 《中华人民共和国网络安全法》《数据安全法》《个人信息保护法》确立了数据跨境的基本监管框架。
   • 采用“分层监管”方式区分关键信息基础设施运营者（CIIO）与一般网络运营者。
   • 数据出境需根据数据类型（个人信息、重要数据）适用不同规则。

2. 数据跨境行为界定

   • 数据出境包括：传输存储至境外、境外调取数据、网信办规定的其他行为。

3. 数据出境安全评估情形

   • 向境外提供重要数据；
   • CIIO或处理超100万人个人信息企业出境个人信息；
   • 自上年1月1日起累计出境超10万人个人信息或1万人敏感个人信息。

4. 重要数据识别

   • 定义：泄露可能危害国家安全、经济安全等的数据；
   • 识别依据：需参考行业、特定群体、区域及数据精度等要素。

5. 数据出境流程与时限

   • 安全评估耗时约57-72+N个工作日；
   • 结果有效期两年，需重新评估的情形包括数据用途、范围改变等。

二、调查分析篇：企业痛点与解决方案

1. 数据跨境场景识别难点

   • 企业需认定数据是否在“境内运营中”产生，并明确“境外接收方”；
   • 外资企业境内运营、单纯ToB服务等易引发合规争议。

2. 数据类型与数量统计挑战

   • 境外访问数据需纳入出境总量统计；
   • 数量门槛（10万人/1万人敏感信息）需企业全面梳理数据链。

3. 安全保障机制选择

   • 向境外提供个人信息需满足金额/人数标准，判断是否需申报安全评估；
   • 可采用标准合同、认证或安全评估三种方式（优先评估）。

4. 企业实践建议

   • 建立多部门协作的合规机制，法务部门牵头；
   • 掌握各地网信办申报渠道，预留整改宽限期（2023年3月1日前）。

附加内容：数据国际争议解决与合规工具

1. 向境外司法机构提供数据需审批

   • 协助请求需经中国主管机关（如司法部）批准，涉及重要数据或个人信息需严格申报。

2. 个人信息保护认证与标准合同

   • 认证适用跨国公司内部跨境处理；标准合同模板适用数据量未达申报门槛的企业。

注：具体操作需结合《指南（第一版）》《标准合同办法》《认证规范V2.0》等配套文件执行。合规建议以正式法规及部门解读为最终依据。