個人信息出境標準合同辦法（中國大陸）

2023.04

溫堅堅、黃郁婷

2021年實施的《個人信息保護法》對個人信息跨境提供規則作了基礎性規定，其中按國家網信部門制定的標準合同與境外接收方訂立合同被認定爲向境外提供個人信息的法定途徑之一。而就該標準合同，《個人信息保護法》並未作出詳細規定。2023年2月22日發布的《個人信息出境標準合同辦法》（以下簡稱《辦法》）才明確了該標準合同範本，同時爲向境外提供個人信息提供了具體指引。

一、明確適用範圍。《辦法》明確了個人信息處理者通過訂立標準合同的方式向境外提供個人信息應當同時符合下列情形，包括非關鍵信息基礎設施運營者；處理個人信息不滿100萬人的；自上年1月1日起累計向境外提供個人信息不滿10萬人及自上年1月1日起累計向境外提供敏感個人信息不滿1萬人。同時，個人信息處理者應注意不得採取數量拆分等手段。

二、明確個人信息處理者的評估義務與備案義務。個人信息處理者向境外提供個人信息前，應當開展個人信息保護影響評估（第五條）及應當在標準合同生效之日起10個工作日內向所在地省級網信部門備案（第七條）。

三、《辦法》之附件爲標準合同範本，對合同相關定義、基本要素、合同義務、個人信息主體的權利和相關救濟等事項都進行了規定，且設計了個人信息出境說明、雙方約定的其他條款等兩個附錄。需提醒注意的是《辦法》允許個人信息處理者與境外接收方約定其他條款，但不得與標準合同相衝突。

《辦法》將於2023年6月1日起施行，提請各企業注意有賴於該標準合同向境外提供個人信息的應落實相關流程，以滿足《辦法》的期限及備案要求。