速览《个人信息出境标准合同规定(征求意见稿)》及个人信息出境标准合同.pdfVIP

速览《个人信息出境标准合同规定（征求意见稿）》及个人信息

出境标准合同

2022年6月30日，国家互联网信息办公室（“网信办”）发布《个人信

息出境标准合同规定（征求意见稿）》（“《规定》征求意见稿”）及个人信息

出境标准合同（“标准合同”）。《规定》征求意见稿全文共13条，对个人信

息出境标准合同的适用范围、适用条件、主要内容等进行了明确，旨在落实《个

人信息保护法》第38条第3款规定的通过订立标准合同实现个人信息出境。特

别值得关注的是，《规定》征求意见稿要求个人信息处理者应当在标准合同生效

之日起10个工作日内，向所在地省级网信部门履行备案手续。尽管备案不影响

合同生效和个人信息出境活动开展，但为监管机构监管个人信息出境活动提供了

有力抓手。

标准合同共包括9条及2个附录，重点对个人信息处理者的义务、境外接

收方的义务、个人信息主体的权利、当地个人信息保护政策法规对遵守合同条款

的影响以及救济、合同解除、违约责任、法律适用和争议解决等作出了规定。

我们将在下文简要总结和《规定》征求意见稿以及标准合同的主要内容，并

为企业在实践中落地应用标准合同提供建议。

一、个人信息出境标准合同的适用范围

(一)可通过标准合同实现个人信息出境的场景

《规定》征求意见稿第4条规定了个人信息处理者通过签订标准合同向境外

提供个人信息所应具备的全部4项条件，包括：

（1）非关键信息基础设施运营者；

（2）处理个人信息不满100万人的；

（3）自上年1月1日起累计向境外提供未达到10万人个人信息的；

（4）自上年1月1日起累计向境外提供未达到1万人敏感个人信息的。

上述4项条件将根据《个人信息保护法》以及后续将要出台的数据安全评估

办法必须向网信部门申请数据出境安全评估的情形排除在外。但这不意味着申请

网信部门数据出境安全评估的情况无需签署标准合同，而是企业无法单纯通过签

署标准合同完成个人信息出境，还需要在标准合同基础上申请网信部门安全评

估。

值得注意的是，上述第2项、第3项、第4项条件所规定的数量标准与此

前2021年出台的《数据出境安全评估办法（征求意见稿）》（“《评估办法》

征求意见稿”）中的数量标准保持一致，预计后续正式出台的数据出境安全评估

办法也将大概率采纳这一标准。而上述第3和第4项条件对此前个人信息处理

者普遍关心的“累计数量”的时间跨度标准做出了澄清，明确向境外提供个人信

息或敏感个人信息的数量自上年1月1日起进行计算。以1-2年为个人信息数

量累计的周期在一定程度上有利于个人信息出境规模较少的企业利用标准合同

这一相对便利的机制实现个人信息出境。

(二)似不适用境外主体直接收集境内个人信息

境外主体直接收集境内自然人个人信息并不属于境内个人信息处理者向境

外提供个人信息的情况，不属于《个人信息保护法》第38条和《规定》征求意

见稿意义上的“个人信息出境”，因此似无法适用标准合同。但如果境外主体满

足《个人信息保护法》第3条第2款的规定，其收集并处理境内自然人个人信

息仍属于“个人信息跨境处理活动”，可按照《网络安全标准实践指南—个人信

息跨境处理活动安全认证规范》规定由其在境内设置的专门机构或指定代表申请

认证，并承担法律责任。

二、个人信息出境标准合同的主要内容

本次发布的标准合同共9条及2个附录，分别规定了个人信息处理者、境

外接收方的权利义务并明确了个人信息主体的权利。从内容上看，标准合同无疑

借鉴了欧盟监管机关依据GDPR发布的必威体育精装版版标准合同（Standard

ContractualClauses，“SCC”），但同时根据《个人信息保护法》的要求体

现了颇多原创性规定。最为明显的是标准合同未像必威体育精装版版SCC一样区分控制者

与控制者、控制者与处理者、处理者与控制者、处理者与处理者等四种模式，而

是在具体条款设计上对境外接收方作为独立个人信息处理者或受托方做出了适

当地区别规定。

(一)基本事实情况

标准合同要求境内个人信息处理者和境外接收方对个人信息出境的基本事

实情况在附录一中做出明确约定，包括合同惯常应具备的个人信息处理者和境外

接收方的基本信息，如名称、地址、联系人姓名、联系方式等，以及需在附