国家互联网信息办公室日前公布了《数据出境安全评估办法》(以下简称办法)，自今年9月1日起施行。专家认为，办法坚持安全和发展并重，明确了数据出境安全评估的流程和要求，对规范促进数据依法有序流动具有十分重要的制度价值和实践意义，标志着我国数据治理法治实践走出关键一步。

随着数字经济的蓬勃发展，数据跨境活动日益频繁，出台《数据出境安全评估办法》，目的是进一步规范数据出境活动，保护个人信息权益，维护国家安全和社会公共利益，促进数据跨境安全、自由流动。

规范数据出境活动

近年来，随着数字经济的蓬勃发展，数据跨境活动日益频繁，数据处理者的数据出境需求快速增长。同时，由于不同国家和地区法律制度、保护水平等的差异，数据出境安全风险也相应凸显。数据跨境活动既影响个人信息权益，又关系国家安全和社会公共利益。

国家互联网信息办公室有关负责人表示，制定出台办法是落实网络安全法、数据安全法、个人信息保护法有关数据出境规定的重要举措，目的是进一步规范数据出境活动，保护个人信息权益，维护国家安全和社会公共利益，促进数据跨境安全、自由流动。

据了解，办法所称数据出境活动主要包括：一是数据处理者将在境内运营中收集和产生的数据传输、存储至境外。二是数据处理者收集和产生的数据存储在境内，境外的机构、组织或者个人可以访问或者调用。

办法规定了数据出境安全评估的范围、条件和程序，为数据出境安全评估工作提供了具体指引。

办法明确，数据处理者向境外提供在中华人民共和国境内运营中收集和产生的重要数据和个人信息的安全评估适用本办法。数据出境安全评估坚持事前评估和持续监督相结合、风险自评估与安全评估相结合等原则。

办法规定了应当申报数据出境安全评估的情形，包括数据处理者向境外提供重要数据、关键信息基础设施运营者和处理100万人以上个人信息的数据处理者向境外提供个人信息、自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者向境外提供个人信息以及国家网信部门规定的其他需要申报数据出境安全评估的情形。

办法提出了数据出境安全评估的具体要求，规定数据处理者在申报数据出境安全评估前应当开展数据出境风险自评估并明确了重点评估事项。规定数据处理者在与境外接收方订立的法律文件中明确约定数据安全保护责任义务，在数据出境安全评估有效期内发生影响数据出境安全的情形应当重新申报评估。此外，还明确了数据出境安全评估程序、监督管理制度、法律责任以及合规整改要求等。

应对数据出境风险

近年来，我国加快完善数据出境安全管理制度。

2016年11月通过的网络安全法第三十七条规定了对关键信息基础设施运营者的重要数据和个人信息需进行安全评估，但其他主体的重要数据和个人信息出境并未加以明确。2021年6月通过的数据安全法第三十一条在重申关键信息基础设施运营者的重要数据出境的安全评估要求之外，进一步规定“其他数据处理者”的重要数据出境也需进行安全评估。2021年8月通过的个人信息保护法第三十八条第一款第一项和第四十条，在重申关键信息基础设施运营者的个人信息出境安全评估要求之外，进一步规定“达到国家网信部门规定数量的个人信息处理者”的个人信息出境也需进行安全评估。由此，上述三大立法全面建立起数据出境的基础性制度——安全评估制度。

最新公布的办法第八条明确了数据出境安全评估重点关注数据出境活动可能对国家安全、公共利益、个人或者组织合法权益带来的风险，并列举了七大评估因素。其中，一是关注数据处理者开展数据出境的合法性、正当性和必要性;二是关注境外接收方保障数据安全的能力，以及所在国家和地区的技术和法律环境对该能力的影响;三是关注数据出境可能面临的安全风险;四是关注数据出境后数据安全和个人信息权益是否最终得到充分保障;五是关注数据处理者对境外接收方的约束能力;六是考虑数据处理者和境外接收方遵纪守法的信誉;七是其他事项，应对数据安全技术、商业模式和境外环境的发展和变化。

“办法中安全评估的多元考虑因素设计，较为全面地应对了数据出境的各种安全风险。”中央财经大学副教授张金平表示：“正是因为这七大安全评估因素的统筹设计，办法能够较为全面地应对数据出境的各种安全风险。”

完善数字经济立法

中国科学院科技战略咨询研究院系统分析与管理研究所副所长孙晓蕾表示，办法不仅明确指出了数据出境及境外接收方处理数据的目的、范围、方式等的合法性、正当性、必要性，也明确了出境数据的规模、范围、种类、敏感程度，出境中和出境后遭到篡改、破坏、泄露、丢失、转移或者被非法获取、非法利用等风险。这两项规定是对数据出境安全的顶层设计，不仅保障了我国涉及数据出境相关方利益，也对境外数据接收方提出了安全要求。

国家工业信息安全发展研究中心总工程师黄鹏表示，作为世界数据资源大国，我国面临的数据安全风险相较于其他国家也更为严峻，亟须建立健全数据跨境管理规则。办法立足维护国家安全和社会公共利益、保护个人信息权益，构建了我国数据出境安全评估的制度，将事前评估和持续监督相结合、风险自评估与安全评估相结合，防范数据出境安全风险，保障数据依法有序自由流动。

中国信息通信研究院政策与经济研究所所长辛勇飞表示，办法是落实数字治理顶层设计的重要配套规章。当前，数字经济加快高质量发展，完善数字经济立法顶层设计及配套制度，是推动数字经济更好服务和融入新发展格局的必然要求。我国作为负责任的数据大国，积极开展数据相关立法，营造数字经济发展良好环境。办法的出台，对数据出境管理中最为重要的“安全评估”手段予以明确，实现了规则性立法落地，是完善数字治理顶层制度设计的重要配套性规章。(陈辰)

数据出境具体流程：

一是事前评估，数据处理者在向境外提供数据前，应首先开展数据出境风险自评估。

二是申报评估，符合申报数据出境安全评估情形的，数据处理者应通过所在地省级网信部门向国家网信部门申报数据出境安全评估。

三是开展评估，国家网信部门自收到申报材料之日起7个工作日内确定是否受理评估;自出具书面受理通知书之日起45个工作日内完成数据出境安全评估;情况复杂或者需要补充、更正材料的，可以适当延长并告知数据处理者预计延长的时间。

四是重新评估和终止出境，评估结果有效期届满或者在有效期内出现本办法中规定重新评估情形的，数据处理者应当重新申报数据出境安全评估。已经通过评估的数据出境活动在实际处理过程中不再符合数据出境安全管理要求的，在收到国家网信部门书面通知后，数据处理者应终止数据出境活动。数据处理者需要继续开展数据出境活动的，应当按照要求整改，整改完成后重新申报评估。