浅论《个人信息出境标准合同备案指南》（中国大陆）

2023.07

吴迪、黄郁婷

近年来，随着网络经济的蓬勃发展和人们对个人信息重视程度快速加强。为了满足日益增长的个人信息出境和保护的需求，国家互联网信息办公室公布《个人信息出境标准合同办法》（以下简称：《办法》），自2023年6月1日起施行。而为了指导和帮助个人信息处理者有序备案个人信息出境标准合同，国家互联网信息办公室也同时在5月30日出台《个人信息出境标准合同备案指南》（第一版）（以下简称《备案指南》）主要是为了配合《办法》的执行，保护个人信息出境的权益，规范个人信息出境活动。具体内容如下：

《备案指南》同样明确规定了个人信息处理者的适用范围主要包括：（1）非关键信息基础设施运营者；（2）处理个人信息不满100万人的；（3）自上年1月1日起累计向境外提供个人信息不满10万人的；（4）自上年1月1日起累计向境外提供敏感个人信息不满1万人的。同时，《备案指南》列出了属于个人信息的出境行为，包括：(1) 个人信息处理者将在境内运营中收集和产生的个人信息传输、存储至境外；(2) 个人信息处理者收集和产生的个人信息存储在境内，境外的机构、组织或者个人可以查询、调取、下载、导出；(3) 国家网信办规定的其他个人信息出境行为。

《备案指南》再次强调了评估报告的重要性。个人信息处理者应当在标准合同生效之日起10个工作日内，通过送达书面材料并附带材料电子版的方式，向所在地省级网信部门备案。备案材料中就包括《个人信息保护影响评估报告》。此外，《备案指南》也提出在标准合同有效期内个人信息处理者应当重新开展个人信息保护影响评估，补充或者重新订立标准合同，并履行相应备案手续的具体情形。特别注意，个人信息处理者需要对于其所提交材料的真实性负责，提交虚假材料的，按照备案不通过处理，并依法追究相应法律责任。

《备案指南》更规定咨询、举报的联系方式，以便让个人信息处理者在办理相关备案过程中遇到困难时，能够有咨询的管道。

《备案指南》发布后，地方政府也陆续出台相关通知，包括北京市个人信息出境标准合同备案指引、上海市网信办关于个人信息出境标准合同备案的通知、福建省个人信息出境标准合同备案指引、广东省互联网信息办公室关于个人信息出境标准合同备案的通知。建议企业在办理相关备案工作时，先行了解中央及地方政府的规定与实务要求，避免因文件准备未完善而迟迟无法通过备案。