專家解讀｜健全數據跨境治理體系 保障個人信息安全

隨著數字時代的來臨，數據作為新興生產要素，成為社會經濟發展的重要引擎。在深度數字化與經濟全球化的疊加下，包括個人信息在內的數據大規模流動日益頻繁。數據跨境流動在蓬勃發展的全球數字經濟中發揮著越來越重要的作用，其中的個人信息保護問題也成為各國關注的焦點。

2月24日，國家互聯網信息辦公室公布《個人信息出境標準合同辦法》（以下簡稱《辦法》），明確了個人信息出境標準合同（以下簡稱“標準合同”）相關要求，為個人信息處理者向境外提供個人信息的活動提供了規范指引?！掇k法》不僅是《個人信息保護法》中“個人信息跨境提供規則”的細化落實，也是我國數據跨境流動治理的重要實踐。

首先，《辦法》是我國個人信息跨境治理體系的重要一環。2021年11月實施的《個人信息保護法》在第38條提出了安全評估、專業認證和標準合同等個人信息跨境流動方式。2022年6月，國家互聯網信息辦公室出臺了《數據出境安全評估辦法》；2022年11月，國家市場監督管理總局、國家互聯網信息辦公室發布了《關于實施個人信息保護認證的公告》；2022年12月，全國信息安全標準化技術委員會發布了《網絡安全標準實踐指南—個人信息跨境處理活動安全認證規范V2.0》，完成了安全評估與專業認證條款的落地?！掇k法》是對“標準合同”相關制度的細化，標志著上位法相關要求的落實。上述模式互相補充，實現了個人信息出境場景的全覆蓋，構建了較為完備數據跨境流動治理體系。

其次，《辦法》體現了我國個人信息跨境領域的制度創新。《辦法》適用于個人信息處理者通過與境外接收方訂立個人信息出境標準合同的情形。“標準合同”系監管部門為了確保個人信息出境后享有不低于本國標準而要求個人信息處理者與境外接收方簽訂的合同范本?！掇k法》通過“標準合同”的方式將我國個人信息保護的相關規定轉化為境內個人信息處理者與境外個人信息接收方的合同責任。同時，個人信息主體也可以依據“標準合同”向個人信息處理者和境外接收方主張相關權利。

第三，《辦法》明晰了標準合同適用范圍，有利于發揮數據要素作用。《辦法》在安全有序的前提下，保障了數據相關業務的開展?！掇k法》立足于數據分類分級保護制度，提供了一種便捷高效的個人信息跨境方式。“標準合同”適用于非關鍵信息基礎設施運營者且處理個人信息未達到一定數量等情況，規定個人信息處理者可以采取“自評估+合同備案”的方式開展個人信息出境活動。“標準合同”是安全評估、專業認證制度的補充，形式上方便靈活，確保了個人信息跨境流動的效率，有利于我國數字經濟的發展。

第四，《辦法》為個人信息處理者的合規工作提供了清晰指引。《辦法》要求個人信息處理者向境外提供個人信息前，應當開展個人信息保護影響評估。依據《辦法》，個人信息處理者在開展個人信息出境活動前應當重點關注以下方面，包括處理個人信息的目的、范圍、方式等的合法性、正當性、必要性；出境個人信息的規模、范圍、種類、敏感程度，個人信息出境可能對個人信息權益帶來的風險；境外接收方承諾承擔的義務，以及履行義務的管理和技術措施、能力等能否保障出境個人信息的安全；個人信息出境后遭到篡改、破壞、泄露、丟失、非法利用等的風險，個人信息權益維護的渠道是否通暢等；境外接收方所在國家或者地區的個人信息保護政策和法規對標準合同履行的影響等。上述規定既強調了個人信息處理者的自評估責任，也明確地劃定了相關責任范圍，有利于數據合規工作的開展。

最后，《辦法》有效平衡了數據跨境流動與個人信息保護的關系。數據跨境流動是國際經濟合作的重要基礎，如何處理安全與發展的關系是開展相關活動的前提。一方面，“標準合同”有效保障了個人信息出境活動及相關業務的正常進行。“標準合同”靈活高效，降低了合規成本，有利于相關企業正常業務的開展。另一方面，“標準合同”確保了數據跨境中的個人信息安全?！掇k法》規定“個人信息處理者可以與境外接收方約定其他條款，但不得與標準合同相沖突”，有效落實了個人信息保護與數據安全相關要求。“標準合同”不僅有助于個人信息保護目的的實現，也為相關規則的國際對接預留了空間。

綜上，《辦法》立足于個人信息保護領域基礎性法律，細化了個人信息跨境相關規定，體現了我國個人信息跨境治理的體系性和務實性，為個人信息保護與數字經濟發展提供了有力保障。（作者：吳玄 上海師范大學哲學與法政學院副教授）