1/54 2/54数据跨境现状调查与分析报告 ——基础问题与十个痛点的解决3/54目录 上篇：基础问题篇.............................................................................................................................4 一、我国有哪些数据跨境相关的法律法规要求？.....................................................................................4 二、哪些行为属于数据跨境传输行为？..................................................................................................5 三、哪些情况下需要开展数据出境安全评估？........................................................................................5 四、什么数据是重要数据？现阶段识别重要数据的参考依据有哪些？.......................................................6 五、如何识别关键信息基础设施及其运营者？如何针对相关数据进行评估？.............................................6 六、哪些情况下需要开展个人信息出境安全评估？.................................................................................8 七、如何定义出境数据的“境外接收方”？...........................................................................................9 八、哪些属于“法律、行政法规另有规定，依照其规定进行评估/批准”的情况？....................................10 九、符合条件的企业应当向哪个/些机构申请数据出境安全评估？...........................................................10 十、数据出境安全评估流程是怎样的，需要多长时间？..........................................................................11 十一、符合条件的企业申请数据出境安全评估时，应当准备哪些申请材料？...............................................11 十二、数据处理者与境外接收方拟订立的法律文件与个人信息出境标准合同有何区别？...............................11 十三、完成数据出境评估后，有效期为多久？什么情况下需要再次申请安全评估？.....................................12 十四、应申请安全评估但未申请出境数据，有何罚则？.............................................................................12 十五、还有哪些应当注意的具体事项？...................................................................................................13 下篇：调查分析篇.........................................................................................14 一、如何准确识别数据跨境传输场景...................................................................................................15 二、如何准确识别跨境传输数据的类型................................................................................................23 三、如何正确盘点跨境传输数据的数量................................................................................................27 四、如何确认采取哪种出境安全保障机制............................................................................................30 五、如何完成数据出境安全评估..........................................................................................................34 六、如何评估跨境传输相关法律文件完善程度......................................................................................38 七、如何评估数据处理者和境外接收方的技术和制度措施是否充分.........................................................41 八、如何评估境外接收方法律与政策环境完善程度...............................................................................43 九、如何完成个人信息保护认证..........................................................................................................48 十、如何正确应对国际争议解决场景下取证所涉的数据跨境传输............................................................504/54上篇：基础问题篇 一、我国有哪些数据跨境相关的法律法规要求？ 随着数字化成为我国重要的国家战略，数据正逐渐被我国政府视为保障国家主权、对国家安全和经济发展具有 重大影响的重要资产。监管部门对数据跨境传输的合规情况亦越发关注。 自2017年6月1日起施行的《中华人民共和国网络安全法》（下称《网络安全法》）、2021年9月1日起施行的 《中华人民共和国数据安全法》（下称《数据安全法》）和2021年11月1日起施行的《中华人民共和国个人信息保 护法》（下称《个人信息保护法》），均从法律层面对开展数据出境活动进行了规定。我国立法针对数据出境采用了“分 层监管”的方式，即将关键信息基础设施运营者与一般网络运营者进行区分监管。 企业应当根据自身属性和出境数据的类型与性质的不同，判断需要相应承担的不同层次数据出境合规义务。从 自身属性角度看，当数据出境主体构成关键信息基础设施运营者时，在境内运营期间收集和产生的个人信息与重要 数据的出境活动是存在限制的；从数据类型角度看，个人信息、重要数据、国家核心数据、以及由特别法管辖下的 特殊类型数据，则需要适用不同的出境规则。（具体内容请见《下篇：调查分析篇》“如何准确识别数据跨境传输的 类型”部分） 为推动法律落地，在行政法规层面，国家互联网信息办公室（下称“网信办”）及相关中国数据保护和网络安全 监管机构也陆续发布了一系列的规章、国家标准和指南等文件。网信办于2021年11月14日发布了《网络数据安全 管理条例（征求意见稿）》（下称《网数条例（征求意见稿）》），设专章对“数据跨境安全管理”作出具体规定，其正式 稿也有望于今年出台；在部门规章层面，2022年9月1日施行的《数据出境安全评估办法》对哪些数据出境主体 需要申报数据出境安全评估以及申报的要求作出了规定，与之配套出台的《数据出境安全评估申报指南（第一版）》 （下称《指南（第一版）》）对申报材料的具体要求作出了指引（具体内容请见《下篇：调查分析篇》“如何完成数 据出境安全评估”部分）。网信办于2023年2月24日发布、将于2023年6月1日施行的《个人信息出境标准合同 办法》（下称《标准合同办法》），对数据出境主体向境外提供个人信息时在何种条件下才应与境外接收方签订标准 合同作出了规定，同时也提供了标准合同模板（具体内容请见《下篇：调查分析篇》“如何评估跨境传输相关法律 文件完善程度”部分）。此外，全国信息安全标准化技术委员会（TC260）（下称“信安标委”）于2017年8月25日发5/54布了《信息安全技术数据出境安全评估指南（征求意见稿）》（下称《安全评估指南（征求意见稿）》），在网信办未 发布《数据出境安全评估办法》前规范数据出境安全评估流程、评估要点、评估方法等内容。同时信安标委在《个 人信息跨境处理活动安全认证规范》