2023.04
溫堅堅、黃郁婷
2021年實施的《個人信息保護法》對個人信息跨境提供規則作了基礎性規定，其中按國家網信部門制定的標準合同與境外接收方訂立合同被認定爲向境外提供個人信息的法定途徑之一。而就該標準合同，《個人信息保護法》並未作出詳細規定。2023年2月22日發布的《個人信息出境標準合同辦法》（以下簡稱《辦法》）才明確了該標準合同範本，同時爲向境外提供個人信息提供了具體指引。
一、明確適用範圍。《辦法》明確了個人信息處理者通過訂立標準合同的方式向境外提供個人信息應當同時符合下列情形，包括非關鍵信息基礎設施運營者；處理個人信息不滿100萬人的；自上年1月1日起累計向境外提供個人信息不滿10萬人及自上年1月1日起累計向境外提供敏感個人信息不滿1萬人。同時，個人信息處理者應注意不得採取數量拆分等手段。
二、明確個人信息處理者的評估義務與備案義務。個人信息處理者向境外提供個人信息前，應當開展個人信息保護影響評估（第五條）及應當在標準合同生效之日起10個工作日內向所在地省級網信部門備案（第七條）。
三、《辦法》之附件爲標準合同範本，對合同相關定義、基本要素、合同義務、個人信息主體的權利和相關救濟等事項都進行了規定，且設計了個人信息出境說明、雙方約定的其他條款等兩個附錄。需提醒注意的是《辦法》允許個人信息處理者與境外接收方約定其他條款，但不得與標準合同相衝突。
《辦法》將於2023年6月1日起施行，提請各企業注意有賴於該標準合同向境外提供個人信息的應落實相關流程，以滿足《辦法》的期限及備案要求。
本網頁上所有上海理慈法律新知資料內容（「內容」）均屬上海理慈律師事務所所有。上海理慈保留所有權利，除非獲得上海理慈事前許可外，均不得以任何形式或以任何方式重製、下載、散布、發行或移轉本網頁上之內容。
所有內容僅供作參考且非為特定議題或具體個案之法律或專業建議。所有內容未必為最新法律及法規之發展，上海理慈及其編輯群不保證內容之正確性，並明示聲明不須對任何人就信賴使用本網頁上全部或部分之內容，而據此所為或經許可而為或略而未為之結果負擔任何及全部之責任。撰稿作者之觀點不代表上海理慈之立場。如有任何建議或疑義，請與上海理慈聯繫。