《數據出境安全評估辦法》公布，這4種情形應申報安全評估！
2022年7月7日，國家互聯網信息辦公室公布《數據出境安全評估辦法》(以下簡稱《辦法》)，此《辦法》的出臺意義重大，為數據出境安全評估工作提供了具體指引，明確了數據出境需要申報安全評估的情形。
應當申報數據出境安全評估的情形：
（一）數據處理者向境外提供重要數據；
（二）關鍵信息基礎設施運營者和處理100萬人以上個人信息的數據處理者向境外提供個人信息；
（三）自上年1月1日起累計向境外提供10萬人個人信息或者1萬人敏感個人信息的數據處理者向境外提供個人信息；
（四）國家網信部門規定的其他需要申報數據出境安全評估的情形。
根據上述應當申報數據出境安全評估的四種情形來看，重要數據與個人信息兩類數據是我國對于數據出境的監管主要關注對象。因此，萬方科技建議相關企業、數據處理者在數據出境活動發生前，應依法開展技術及合規檢測，以便于進行申報并通過數據出境安全評估。
數據出境活動指的是什么？
《辦法》 所稱數據出境活動主要包括兩種情形：
一是數據處理者將在境內運營中收集和產生的數據傳輸、存儲至境外。
二是數據處理者收集和產生的數據存儲在境內，境外的機構、組織或者個人可以訪問或者調用。
重要數據指的是什么？
根據《中華人民共和國數據安全法》第二十一條的規定，國家對數據實行分類分級保護。重要數據除了關系國家安全、國民經濟命脈、重要民生、重大公共利益等屬于國家核心的數據外，還包括相關地區、部門以及相關行業、領域的重要數據。具體須查詢《重要數據目錄》以甄別是否屬于“重要數據”。
關鍵信息基礎設施運營者指的是什么？
根據2021年7月發布的《關鍵信息基礎設施安全保護條例》關鍵信息基礎設施是指：“公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務、國防科技工業等重要行業和領域的，以及其他一旦遭到破壞、喪失功能或者數據泄露，可能嚴重危害國家安全、國計民生、公共利益的重要網絡設施、信息系統等”。
處理數據的規模：100萬人以上個人信息門檻設定依據是？
2022年2月15日開始施行的《網絡安全審查辦法》提出“掌握超過100萬用戶個人信息的網絡平臺運營者赴國外上市，必須向網絡安全審查辦公室申報網絡安全審查”，這使得“100萬用戶的個人信息”成為了一道紅線。
第三條中“自上年1月1日起累計向境外提供10萬人個人信息或者1萬人敏感個人信息的數據處理者向境外提供個人信息”應該怎么理解？
根據“自上年1月1日起”，可知該條件應是采用了累計計算的方法，設置了累計計算的期限?！?0萬人以上個人信息”和“1萬人以上敏感個人信息”應是與《個人信息保護法》第四十條中關于“處理個人信息達到國家網信部門規定數量的個人信息處理者”出境個人信息應當通過國家網信部門組織的安全評估的要求有所契合。
相關流程規定是怎么樣的？
具體而言，《辦法》明確安全評估的程序包括：
（1）數據處理者自評估。
萬方科技萬方專注網絡安全13年！根據《網絡安全法》《數據安全法》《個人信息保護法》《數據出境安全評估辦法》，依據網信部門及相關部門頒布的機制及規范，協助企業客戶對擬出境的數據開展技術及合規檢測，配合企業對接網信部門并指導企業依據網信部門意見完成整改合規工作，確保企業數據出境的安全與合規。
（2）數據處理者申報安全評估。
申報材料：1.申報書；2.數據出境風險自評估報告；3.數據處理者與境外接收方擬訂立的法律文件；4.安全評估工作需要的其他材料。
（3）省級網信部門的申報接收和國家網信部門的申報受理。
省級網信部門收到申報材料之日起5個工作日內完成完備性查驗。申報材料齊全的，將申報材料報送國家網信部門；申報材料不齊全的，退回數據處理者并一次性告知需要補充的材料。國家網信部門自收到申報材料之日起7個工作日內，確定是否受理并書面通知數據處理者。
（4）國家網信部門組織安全評估，評估過程中可要求數據處理者進行材料補充或更正。
國家網信部門向數據處理者發出書面受理通知書之日起45個工作日內完成數據出境安全評估；情況復雜或者需要補充、更正材料的，可以適當延長并告知數據處理者預計延長的時間。評估結果書面通知數據處理者。
（5）評估結果的告知與申請復評。
數據處理者對評估結果有異議的，可以在收到評估結果15個工作日內向國家網信部門申請復評，復評結果為最終結論。
最后，規定數據出境評估結果有效期為二年，亦規定了需要重新評估的三種情形：
（1）向境外提供數據的初次評估內容和境外接收方處理數據的初次評估內容發生變更；
（2）境外接收方所在國家或者地區政策法規和網絡安全環境發生變化、實際控制權發生變化、法律文件變更等可能影響出境數據安全的情形；
（3）影響出境數據安全的其他情形等。
總之，進行數據出境安全評估能夠使數據處理者更加清楚自己的數據的性質、量級、敏感程度等相關信息，方便企業自身的數據管理以及主管部門后續的依規評估審查，確保數據出境合規。
