《数据出境安全评估办法》正式发布，倒计时开始！

中新经纬7月8日电 题：《数据出境安全评估办法》正式发布，倒计时开始！

作者 赵冉冉博士，同盾科技总法律顾问兼安全负责人；《个人信息安全规范》、《数据出境安全评估指南》等国家标准的起草组成员；在数据出境合规方面等方面具备丰富的实践经验。

时间倒回至5年前，彼时《网络安全法》刚刚生效，大家虽对关键信息基础设施这个概念还比较陌生，但都对附随的数据本地化要求及出境安全评估非常关注。经历了相关国标的起草和难产、 新草案的深夜发布、安全评估试点等等，《数据出境安全评估办法》终于在7月8日正式发布，安全评估要求要在半年整改期内落地。

在笔者看来，5年来安全评估的主旨和根本思路一脉相承，并未发生实质性变化；安全评估看似特殊，但实际上它的每一块拼图都可以在国际上找到对应的规则和要求。也就是说，一方面安全评估和国际数据出境规则普遍兼容，另一方面，国际经验也对企业落地安全评估落地提供借鉴；在这五年内，企业侧自发探索安全评估落地方案或参与试点项目，做了很多有益的尝试。考虑到上述安全评估规则立法思路的延续性，这些经验对今天规则的落地也是非常有帮助的。

综上，对5年来各个过程稿的梳理分析、国际经验借鉴以及企业尝试的总结，可以帮助我们更好地理解新规及准备落地方案，而这也是笔者希望通过后续的一系列文章供各位批评指正的。

本文作为这一系列文章的第一篇，则希望回到规则本身，一方面通过比较今日新规与上一版的文本，看看在最后时刻规则有哪些重要调整；另一方面基于新规，探讨下在接下来六个月整改期里优先级最高的几项工作。

一、 最后时刻的变化，Last but not least

在笔者看来，以上修订最主要的影响包括以下四个方面：

第一，为申报安全评估的个人信息出境规模积累设定了非常明确的时间节点――“自上年1月1日”起算。

个人信息数量的计算一直以来都是个难题。有些此类计算是以个人信息的“条数”作为单位的，而什么算作“一条个人信息”本身就存在很大争议，导致计算的结果存在很大的不确定性。

新规使用个人信息主体数量作为单位，这个单位定义清晰，计算结果统一；此次发布稿进一步明确了累计的周期，这样企业就可以非常精确地识别出哪些需要申报安全评估。例如，很多跨国企业所普遍关注的服务器设在境外的办公、人力、邮件等系统，只要在连续两个公历年期间内所传输出境的数据相关个人信息主体数量在新规所规定的的门槛之下，就可以确定不必进行安全评估申报。

第二，已经开展的数据出境在6个月内完成整改。

新规给出了6个月的整改期，保障了已有业务的连续性，避免一些重要跨境服务被打断。通过6个月的过渡，一方面可以尽快完成安全评估；另一方面也有时间对业务进行调整，避免不必要的重要数据和过量个人信息出境。

第三，将“合同”扩大到“法律文件”。

符合要求的合同条款，既是新规的要求之一，也是安全评估的对象和依据。将“合同”扩大到“法律文件”，可以在一定程度上减轻实现新规要求的难度，扩大可被安全评估纳入评估范围的材料类型，也能解决一些诸如科研机构合作等一般没有签订合同的数据出境场景的评估问题。

当然，“合同”也好，“法律文件”也罢，其中的条款必然是数据跨境双方寸土必争之地，后续官方如能发布具备一定差别化的多个示范性“法律文件”条款范本，将能进一步的帮助企业解决此类条款的合规及评估问题。

第四，进一步完善安全评估申报的流程。

正式版对相关条款的顺序及表述做了合理的调整，从而使申报流程的时间节点、顺序等更加清晰及符合逻辑。特别是加入了复评程序，为企业侧提出不同意见提供了一条可能的渠道。

二、整改期优先级较高的工作

违反新规规定，未履行安全审查申报义务，会承担相应的行政甚至刑事责任。要履该义务，当然就要先识别出数据出境行为。而根据贯穿于各个过程稿中的识别标准，数据出境的定义是比较宽泛的：只要是将境内业务场景采集的关于境内人和事的数据传输至境外，就属于数据出境；不管是转让，还是委托处理等，并不影响对数据出境的认定；传输至境外服务器属于跨境，被境外所查看也属于跨境。

根据笔者的经验，上述识别工作是特别困难的，如果是境内业务与境外业务的关联比较单一的企业，尚可以通过问卷的方式，根据场景、目的逐项梳理数据出境情况；如是业务场景较为复杂的全球化企业，则更应借助技术手段识别数据的跨境传输，以此避免遗漏。

识别出数据跨境传输的基础后，可以进一步判断传输所涉数据的属性：包括个人信息的，应关注连续两个公历年内已发生或可能发生的传输所涉个人信息主体人数；通过对数据的属性、数据传输行为特征及数据接收方利用及再利用等因素的判断，确定数据中是否包含重要数据。

根据以上工作的结论，一方面判断哪些数据跨境传输需要安全评估申报；另一方面可以充分利用6个月整改期进行调整，个人信息能少传就少传，重要数据能不传就不传，这样除了可以降低企业侧的合规成本外，更重要的是可以切实避免数据出境造成负面影响的风险，并可以节约宝贵的行政资源。

另外，还需要对各个评估流程进行整合。以个人信息为例，根据《个人信息保护法》的相关要求，个人信息出境要进行个人信息保护影响评估；相关个人信息主体达到一定规模，需要进行安全评估申报，企业要进行自评估，监管侧要进行安全评估。

根据笔者的观察，这三种评估思路相仿：一方面考虑数据处理行为的影响，另一方面考虑通过与影响相匹配的技术手段和管理措施降低风险发生的可能。就个人信息出境这种行为，在设计过程中可以将个人信息保护影响评估作为基础，在自评估阶段加入新规的一些特殊要求作为评估点，并在此基础上输出自评估报告；此外，企业侧可以在自评估的基础上，再增加安全评估的国家个人信息保护水平等宏观评估点，从而可以更好地预测安全评估结果，保障自身业务的合规性及连续性。

通过以上流程的整合，可以节约合规资源，也可以避免业务侧受反复填写评估问卷所困扰，在六个月整改期内更具效率的完成新规落地工作。（中新经纬APP）