附件：数据出境风险自评估报告模板（2022版）.docx

数据出境风险自评估报告（模板） 数据处理者名称： （盖章） 年 月 日  说明： （一）数据处理者申报数据出境安全评估时需提供自评估报告； （二）数据处理者须对所提交的自评估报告及附件材料真实性负责； （三）本报告所述自评估活动为本次申报前3个月内完成； （四）如有第三方机构参与自评估，须在自评估报告中说明第三方机构的基本情况及参与评估的情况，并在相关内容页上加盖第三方机构公章。 一、自评估工作简述 自评估工作开展情况，包括起止时间、组织情况、实施过程、实施方式等内容。 二、出境活动整体情况 详细说明数据处理者基本情况、数据出境涉及的业务和信息系统、出境数据情况、数据处理者安全保障能力情况、境外接收方情况、法律文件约定情况等。包括不限于： （一）数据处理者基本情况 1．组织或者个人基本信息； 2．股权结构和实际控制人信息； 3．组织架构信息； 4．数据安全管理机构信息； 5．整体业务与数据情况； 6．境内外投资情况。 （二）数据出境涉及业务和信息系统情况 1．数据出境涉及业务的基本情况； 2．数据出境涉及业务的数据资产情况； 3．数据出境涉及业务的信息系统情况； 4．数据出境涉及的数据中心（包含云服务）情况； 5．数据出境链路相关情况。 （三）拟出境数据情况 1．说明数据出境及境外接收方处理数据的目的、范围、方式，及其合法性、正当性、必要性； 2．说明出境数据的规模、范围、种类、敏感程度； 3．拟出境数据在境内存储的系统平台、数据中心等情况，计划出境后存储的系统平台、数据中心等； 4．数据出境后向境外其他接收方提供的情况。 （四）数据处理者数据安全保障能力情况 1．数据安全管理能力，包括管理组织体系和制度建设情况，全流程管理、分类分级、应急处置、风险评估、个人信息权益保护等制度及落实情况； 2．数据安全技术能力，包括数据收集、存储、使用、加工、传输、提供、公开、删除等全流程所采取的安全技术措施等； 3．数据安全保障措施有效性证明，例如开展的数据安全风险评估、数据安全能力认证、数据安全检查测评、数据安全合规审计、网络安全等级保护测评等情况； 4．遵守数据和网络安全相关法律法规的情况。 （五）境外接收方情况 1．境外接收方基本情况； 2．境外接收方处理数据的用途、方式等； 3．境外接收方的数据安全保障能力； 4．境外接收方所在国家或地区数据安全保护政策法规和网络安全环境情况； 5．境外接收方处理数据的全流程过程描述。 （六）法律文件约定数据安全保护责任义务的情况 1．数据出境的目的、方式和数据范围，境外接收方处理数据的用途、方式等； 2．数据在境外保存地点、期限，以及达到保存期限、完成约定目的或者法律文件终止后出境数据的处理措施； 3．对于境外接收方将出境数据再转移给其他组织、个人的约束性要求； 4．境外接收方在实际控制权或者经营范围发生实质性变化，或者所在国家、地区数据安全保护政策法规和网络安全环境发生变化以及发生其他不可抗力情形导致难以保障数据安全时，应当采取的安全措施； 5．违反法律文件约定的数据安全保护义务的补救措施、违约责任和争议解决方式； 6．出境数据遭到篡改、破坏、泄露、丢失、转移或者被非法获取、非法利用等风险时，妥善开展应急处置的要求和保障个人维护其个人信息权益的途径和方式。 （七）数据处理者认为需要说明的其他情况 三、拟出境活动的风险评估情况 就下列事项逐项说明风险评估情况，重点说明评估发现的问题和风险隐患，以及相应采取的整改措施及整改效果。 （一）数据出境和境外接收方处理数据的目的、范围、方式等的合法性、正当性、必要性； （二）出境数据的规模、范围、种类、敏感程度，数据出境可能对国家安全、公共利益、个人或者组织合法权益带来的风险； （三）境外接收方承诺承担的责任义务，以及履行责任义务的管理和技术措施、能力等能否保障出境数据的安全； （四）数据出境中和出境后遭到篡改、破坏、泄露、丢失、转移或者被非法获取、非法利用等的风险，个人信息权益维护的渠道是否通畅等； （五）与境外接收方拟订立的数据出境相关合同或者其他具有法律效力的文件等，是否充分约定了数据安全保护责任义务； （六）其他可能影响数据出境安全的事项。 四、出境活动风险自评估结论 综合上述风险评估情况和相应整改情况，对拟申报的数据出境活动作出客观的风险自评估结论，充分说明得出自评估结论的理由和论据。