律师办理数据出境法律业务操作指引（2024）

《律师办理数据出境法律业务操作指引（2024）》核心内容总结

第一章 总则

• 指引目的：明确数据出境法律业务的操作规范，提高律师服务质量，降低委托人法律风险。
• 适用范围：适用于北京市执业律师办理的数据出境法律业务，包括申报安全评估、订立标准合同、通过个人信息保护认证等。
• 重要定义：明确了“数据”“重要数据”“个人信息”“敏感个人信息”“数据处理”等核心概念。
• 法律依据：指引基于现行有效的数据出境相关法律、规章、管理清单、标准编写。

第二章 数据出境法律要求概述

• 数据出境行为：包括数据传输至境外、境外机构查询调取、境外处理境内自然人个人信息等。
• 重要数据出境合规路径：需申报数据出境安全评估，并按规定识别、申报重要数据。
• 个人信息出境合规路径：
  • 关键信息基础设施运营者需申报安全评估。
  • 非关键信息基础设施运营者：
    • 向境外提供100万人以上个人信息（不含敏感）或1万人以上敏感个人信息，需申报安全评估。
    • 向境外提供10万人以上、不满100万人个人信息（不含敏感）或不满1万人敏感个人信息，需订立标准合同或通过个人信息保护认证。
• 合规路径豁免情形：包括国际贸易、学术合作等不涉及个人信息或重要数据的场景，以及特定紧急情况等。
• 负面清单管理：自由贸易试验区内数据处理者向负面清单外数据出境可免予申报，但需提交使用申请并备案。

第三章 数据出境法律业务通用操作指引

• 业务流程：
  1. 识别数据出境行为和场景。
  2. 判断法律主体是否为关键信息基础设施运营者。
  3. 判断出境数据是否包括重要数据或个人信息。
  4. 提供合规路径建议。
  5. 开展风险评估并提出整改建议。
  6. 拟定或审查合同等法律文件。
  7. 协助申报安全评估、备案标准合同或开展认证。
• 重点评估事项：包括合法性、正当性、必要性，数据规模和风险，境外接收方责任义务，数据安全风险等。
• 数据出境“三性”审查要点：合法性基础、禁止出境数据、目的正当性、必要性。
• 出境数据类型审查要点：判断是否包括个人信息、敏感个人信息。
• 出境数据规模审查要点：审查是否采取数量拆分等手段规避评估。
• 法律文件审查要点：合同中需重点审查数据出境目的、范围、境外接收方责任、违约责任、应急处置等条款。
• 材料真实性、合法性、有效性审查：审查管理文件、协议文件、工作档案、认证证明等材料的合规性。

第四章 数据出境安全评估申报法律业务操作指引

• 申报方式：通过数据出境申报系统（https://sjcj.cac.gov.cn）或线下向省级网信办申报。
• 申报材料：包括证件影印件、授权委托书、申报书、合同、风险评估报告、证明材料等。
• 评估结果：对结果无异议的需按要求规范出境活动；有异议的可申请复评，复评结果为终局。
• 重新申报：出现影响数据安全的情形（如目的方式变更、境外环境变化等）需重新申报；有效期届满可申请延期。

第五章 个人信息出境标准合同备案法律业务操作指引

• 备案方式：标准合同生效后10个工作日内通过数据出境申报系统备案。
• 备案材料：包括证件影印件、授权委托书、承诺书、标准合同、风险评估报告。
• 备案结果：分为通过、不通过或补充材料。
• 重新备案：出现影响个人信息权益的情形需重新开展评估、订立合同并备案。

第六章 个人信息保护认证法律业务操作指引

• 申请主体：需取得合法法人资格，正常经营且信誉良好。
• 认证依据：需符合GB/T 35273和TC260-PG-20222A标准。
• 认证机构：中国网络安全审查技术与认证中心。
• 认证结果：符合要求颁发证书，不符合可要求整改或终止认证。
• 认证证书的变更和续期：发生变更需提出变更委托，到期需提前6个月续期。

第七章 附则

• 指引效力：仅为一般实务操作指引，非强制性规定，不作为法律意见依据。
• 发布日期：2024年10月27日。

附件

• 列出了数据出境相关的法律、规章、管理清单、标准等文件。