《数据出境合规自评估实操指南》
第2章 自评估的法律依据
二、自评估的法律依据：核心法规要求梳理
数据出境安全自评估并非凭空进行，而是严格依据我国现行法律法规体系展开。本节将系统梳理《数据出境安全评估办法》《个人信息出境标准合同办法》等核心法规，帮助学员建立清晰的法律依据框架。
2.1 法规体系全景图
图2-1 数据出境合规法规体系层级结构
2.2 《数据出境安全评估办法》核心要求
适用场景（触发条件）
- 关键信息基础设施运营者向境外提供个人信息
- 处理100万人以上个人信息的个人信息处理者向境外提供个人信息
- 自上年1月1日起累计向境外提供10万人以上个人信息或1万人以上敏感个人信息
- 国家网信部门规定的其他需要申报数据出境安全评估的情形
评估重点事项（自评估必须覆盖）
| 序号 | 评估事项 | 具体要求 |
|---|---|---|
| 1 | 数据出境目的 | 是否合法、正当、必要，是否明确告知数据主体 |
| 2 | 数据范围与规模 | 出境数据与目的的直接关联性，是否最小必要 |
| 3 | 境外接收方处理活动 | 处理目的、方式、范围是否合规，是否具备安全保障能力 |
| 4 | 数据安全风险 | 传输、存储、使用过程中的泄露、篡改、丢失风险 |
| 5 | 数据主体权益保障 | 知情权、同意权、撤回权、删除权等是否有效实现 |
| 6 | 合同/法律文件 | 是否明确双方数据安全责任义务 |
图2-2 数据出境安全评估自评估流程
2.3 《个人信息出境标准合同办法》核心要求
适用条件（需同时满足）
- 非关键信息基础设施运营者
- 处理个人信息不满100万人
- 自上年1月1日起累计向境外提供个人信息不满10万人
- 自上年1月1日起累计向境外提供敏感个人信息不满1万人
标准合同必备条款
| 条款类别 | 核心内容 |
|---|---|
| 双方权利义务 | 明确个人信息处理者与境外接收方的数据保护责任 |
| 数据主体权利 | 保障数据主体的知情权、更正权、删除权、投诉权等 |
| 数据安全措施 | 技术和管理措施要求，加密、访问控制、审计等 |
| 违约责任 | 违反合同的法律后果及赔偿机制 |
| 争议解决 | 适用中国法律，约定中国法院管辖 |
| 合同终止 | 数据销毁或返还要求，合同终止后的数据处理 |
图2-3 标准合同备案流程与时间要求
2.4 其他相关法规要点
配套规范与指引
| 法规/文件名称 | 核心内容 | 与自评估的关系 |
|---|---|---|
| 《数据出境安全评估申报指南（第二版）》 | 明确申报材料清单、自评估报告模板 | 自评估报告的直接编写依据 |
| 《个人信息出境标准合同备案指南》 | 备案流程、材料要求、常见问题 | 标准合同备案的操作指引 |
| 《个人信息保护影响评估指南》 | 评估方法、评估维度、评估流程 | 自评估中PIA部分的技术参考 |
| 《信息安全技术 数据出境安全评估指南》 | 技术标准、安全措施要求 | 自评估中技术安全评估的依据 |
图2-4 自评估法律依据四维支撑体系
2.5 法规要点速查表
| 法规名称 | 施行日期 | 适用对象 | 核心义务 | 有效期 |
|---|---|---|---|---|
| 《数据出境安全评估办法》 | 2022年9月1日 | CIIO、大规模数据处理者 | 申报安全评估 | 评估结果2年有效 |
| 《个人信息出境标准合同办法》 | 2023年6月1日 | 中小规模数据处理者 | 签订标准合同并备案 | 合同有效期 |
| 《个人信息保护法》 | 2021年11月1日 | 所有个人信息处理者 | 告知同意、最小必要 | — |
| 《数据安全法》 | 2021年9月1日 | 所有数据处理者 | 数据分类分级、安全保护 | — |
💡 实操要点提示：自评估的法律依据不是孤立存在的，而是形成"上位法→部门规章→配套指南"的层级体系。在实际开展自评估时，建议将《数据出境安全评估办法》或《个人信息出境标准合同办法》作为直接依据，同时对照上位法原则进行合规性审查，确保评估结论经得起监管检验。