《数据出境安全评估申报指南》.docxVIP

《数据出境安全评估申报指南》

一、申报背景与适用范围

在全球化和数字化快速发展的背景下，数据跨境流动日益频繁。为了确保国家数据安全、保护个人信息权益以及维护公共利益，我国建立了数据出境安全评估制度。当数据处理者将在中华人民共和国境内运营中收集和产生的重要数据和个人信息，向境外提供时，若符合特定情形，则需要进行数据出境安全评估。

具体适用情形包括：数据处理者向境外提供重要数据；关键信息基础设施运营者和处理个人信息达到一百万人以上的数据处理者向境外提供个人信息；自上年1月1日起累计向境外提供个人信息达到十万人以上或者向境外提供敏感个人信息达到一万人以上的数据处理者向境外提供个人信息；国家网信部门规定的其他需要申报数据出境安全评估的情形。

二、申报前准备工作

1.数据梳理与分类

数据处理者首先要对拟出境的数据进行全面梳理。明确数据的来源，是通过用户注册、业务交易、传感器采集等哪种方式获取的。同时，按照数据的敏感程度、重要性等进行分类。例如，将数据分为一般个人信息、敏感个人信息（如生物识别、宗教信仰、特定身份等信息）和重要数据（如涉及国家安全、经济发展、公共卫生等方面的数据）。对于每一类数据，要详细记录其数量、存储位置、使用目的、使用频率等信息。

2.风险自评估

开展数据出境风险自评估是申报的重要环节。评估内容主要包括：

-数据出境的必要性和正当性。分析数据出境是否是实现业务目标所必需的，是否存在替代方案。例如，某些业务是否可以通过在境内完成数据分析和处理，仅将结果提供给境外合作伙伴。

-境外接收方的数据保护水平。考察境外接收方所在国家或地区的法律环境、数据保护政策以及其自身的数据安全管理措施。可要求境外接收方提供相关的安全认证、合规报告等文件。

-数据出境可能带来的风险。评估数据在传输过程中是否可能被窃取、篡改，境外接收方是否可能将数据用于其他未经授权的目的，以及一旦数据泄露可能对个人权益、国家利益造成的影响。

3.制定数据出境计划

根据数据梳理和风险自评估的结果，制定详细的数据出境计划。计划应包括数据出境的目的、方式（如网络传输、物理存储设备携带等）、时间安排、数据接收方信息等内容。明确数据出境的全流程，包括数据从境内存储系统提取、脱敏处理（如有必要）、传输过程中的加密措施、境外接收方的数据存储和使用方式等。同时，要制定应对数据安全事件的应急预案，明确在发生数据泄露、数据丢失等情况时的响应流程和责任分工。

三、申报流程

1.提交申报材料

数据处理者应向所在地省级网信部门提交数据出境安全评估申报材料。申报材料主要包括：

-申报书。详细说明数据处理者的基本信息，如企业名称、法定代表人、联系方式等；拟出境的数据情况，包括数据类型、数量、敏感程度等；数据出境的目的、接收方信息等。

-数据出境风险自评估报告。报告应全面反映数据出境的必要性、境外接收方的数据保护水平以及可能存在的风险等内容，并提出相应的风险应对措施。

-数据出境计划。包括数据出境的方式、时间安排、全流程安全保障措施等。

-境外接收方的相关证明材料。如境外接收方的营业执照、数据保护政策、安全认证文件等。

-其他可能需要的材料。如数据处理者与境外接收方签订的数据出境合同或协议，其中应明确双方的数据保护责任和义务。

2.省级网信部门初审

省级网信部门收到申报材料后，将对材料进行初步审查。审查内容主要包括申报材料的完整性、合规性。若发现申报材料不完整或存在问题，省级网信部门会通知数据处理者补充或修改材料。初审时间一般为[具体时长]，在初审过程中，省级网信部门可能会要求数据处理者进一步说明相关情况。

3.国家网信部门评估

经过省级网信部门初审合格后，申报材料将报送至国家网信部门进行全面评估。国家网信部门会组织相关专家对申报事项进行深入分析和评估。评估过程中，可能会对数据处理者进行实地考察，了解其数据安全管理体系、技术保障措施等情况。同时，也会与境外接收方进行沟通，核实其数据保护承诺和实际措施。国家网信部门的评估时间一般为[具体时长]，在评估过程中，数据处理者应积极配合，及时提供所需的补充材料和信息。

4.评估结果通知

国家网信部门完成评估后，将向数据处理者发出评估结果通知。评估结果分为通过评估和不通过评估两种情况。若通过评估，数据处理者可以按照申报的计划进行数据出境活动。若不通过评估，通知中将说明不通过的原因，数据处理者需要根据原因进行整改，并重新提交申报材料。

四、申报过程中的注意事项

1.材料真实性和准确性

申报材料必须真实、准确地反映数据出境的实际情况。数据处理者应确保提供的所有信息和文件都是真实有效的，不得隐瞒或虚报数据。若发现申报材料存在虚假内容，将面临相应的法律责任。

2.配合评估工作

在评估过程中，数据处理者应积极配