律师办理数据出境法律业务操作指引2024：操作规范,降低提供数据过程中的法律风险.docx

《律师办理数据出境法律业务操作指引（2024）》

第十二届北京市律师协会

数字经济与人工智能领域法律专业委员会

2024年10月27日

-1-

律师办理数据出境法律业务操作指引

（2024）

第一章总则

第一条【指引目的】为明确数据出境法律业务的操作规范，提高律师办理数据出境法律业务的服务质量和水平，降低委托人在向境外提供数据过程中的法律风险，北京市律师协会特编制本指引。

第二条【适用范围】本指引适用于北京市执业律师（以下简称律师）办理数据出境法律业务，包括但不限于申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证和其他与数据出境相关的活动。

第三条【重要定义】除非上下文另有所指，本指引中下列用语的定义为：

（一）“数据”是指任何以电子或者其他方式对信息的记录。

（二）“重要数据”是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用等，可能危害国家安全、经济运行、社会稳定、公共健康和安全等的数据。

（三）“个人信息”是指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。

（四）“敏感个人信息”是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及

-2-

不满十四周岁未成年人的个人信息。

（五）“数据处理”是指数据的收集、存储、使用、加工、传输、提供、公开等。

第四条【法律依据】本指引编写者全面梳理了现行有效的数据出境相关法律、规章、管理清单、标准，并将其作为本指引的附件，以供律师参考。

第二章数据出境法律要求概述

第一条【数据出境行为】以下行为属于数据出境行为：

（一）数据处理者将在境内运营中收集和产生的数据传输至境外；

（二）数据处理者收集和产生的数据存储在境内，境外的机构、组织或者个人可以查询、调取、下载、导出；

（三）符合《个人信息保护法》第三条第二款情形，在境外处理境内自然人个人信息等其他数据处理活动。

第二条【向境外提供重要数据的合规路径】数据处理者向境外提供重要数据的，应当申报数据出境安全评估。

数据处理者应当按照相关规定识别、申报重要数据。未被相关部门、地区告知或者公开发布为重要数据的，数据处理者不需要将其作为重要数据申报数据出境安全评估。

第三条【向境外提供个人信息的合规路径】属于关键信息基础设施运营者的数据处理者向境外提供个人信息的，应当申报数据出境安全评估。

不属于关键信息基础设施运营者的数据处理者自当年1月1日起累计

-3-

向境外提供100万人以上个人信息（不含敏感个人信息）或者1万人以上敏感个人信息的，应当申报数据出境安全评估。

不属于关键信息基础设施运营者的数据处理者自当年1月1日起累计向境外提供10万人以上、不满100万人个人信息（不含敏感个人信息）或者不满1万人敏感个人信息的，应当选择订立个人信息出境标准合同或者通过个人信息保护认证。

第四条【数据出境合规路径的豁免情形】数据处理者符合以下情形之一的，免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证：

（一）国际贸易、跨境运输、学术合作、跨国生产制造和市场营销等活动中收集和产生的数据向境外提供，不包含个人信息或者重要数据的；

（二）在境外收集和产生的个人信息传输至境内处理后向境外提供，处理过程中没有引入境内个人信息或者重要数据的；

（三）为订立、履行个人作为一方当事人的合同，如跨境购物、跨境寄递、跨境汇款、跨境支付、跨境开户、机票酒店预订、签证办理、考试服务等，确需向境外提供个人信息的；

（四）按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需向境外提供员工个人信息的；

（五）紧急情况下为保护自然人的生命健康和财产安全，确需向境外提供个人信息的；

-4-

（六）关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）的。

第五条【负面清单管理】《促进和规范数据跨境流动规定》第六条规定，自由贸易试验区内数据处理者向境外提供需要纳入数据出境安全评估、个人信息出境标准合同、个人信息保护认证管理范围的数据清单（以下简称“负面清单”）外的数据，可以免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。截至本指引发布之日，已有北京和天津自由贸易区制定负面清单。

需要注意的是，使用负面清单出境数据虽然免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证，但不意味着无需履行任何合规手续