2023.04

温坚坚、黄郁婷

2021年实施的《个人信息保护法》对个人信息跨境提供规则作了基础性规定，其中按国家网信部门制定的标准合同与境外接收方订立合同被认定为向境外提供个人信息的法定途径之一。而就该标准合同，《个人信息保护法》并未作出详细规定。2023年2月22日发布的《个人信息出境标准合同办法》（以下简称《办法》）才明确了该标准合同范本，同时为向境外提供个人信息提供了具体指引。

一、明确适用范围。《办法》明确了个人信息处理者通过订立标准合同的方式向境外提供个人信息应当同时符合下列情形，包括非关键信息基础设施运营者；处理个人信息不满100万人的；自上年1月1日起累计向境外提供个人信息不满10万人及自上年1月1日起累计向境外提供敏感个人信息不满1万人。同时，个人信息处理者应注意不得采取数量拆分等手段。

二、明确个人信息处理者的评估义务与备案义务。个人信息处理者向境外提供个人信息前，应当开展个人信息保护影响评估（第五条）及应当在标准合同生效之日起10个工作日内向所在地省级网信部门备案（第七条）。

三、《办法》之附件为标准合同范本，对合同相关定义、基本要素、合同义务、个人信息主体的权利和相关救济等事项都进行了规定，且设计了个人信息出境说明、双方约定的其他条款等两个附录。需提醒注意的是《办法》允许个人信息处理者与境外接收方约定其他条款，但不得与标准合同相冲突。

《办法》将于2023年6月1日起施行，提请各企业注意有赖于该标准合同向境外提供个人信息的应落实相关流程，以满足《办法》的期限及备案要求。

本网页上所有上海理慈法律新知资料内容（「内容」）均属上海理慈律师事务所所有。上海理慈保留所有权利，除非获得上海理慈事前许可外，均不得以任何形式或以任何方式重制、下载、散布、发行或移转本网页上之内容。

所有内容仅供作参考且非为特定议题或具体个案之法律或专业建议。所有内容未必为最新法律及法规之发展，上海理慈及其编辑群不保证内容之正确性，并明示声明不须对任何人就信赖使用本网页上全部或部分之内容，而据此所为或经许可而为或略而未为之结果负担任何及全部之责任。撰稿作者之观点不代表上海理慈之立场。如有任何建议或疑义，请与上海理慈联系。