《数据出境安全评估办法》解读

一、数据出境的统一评估体系正式确立

自我国《网络安全法》规定了关键信息基础设施运营者的重要数据与个人信息出境评估制度后，至今历时五年，关于数据出境及个人信息出境安全评估的立法体例、评估机制一直在探索过程中。

其后，国家互联网信息办公室2017年4月11日公布的《个人信息和重要数据出境安全评估办法（征求意见稿）》和2019年5月28日颁布的《数据安全管理办法（征求意见稿）》也对重要数据出境和个人信息出境有所规定。前者采取了重要数据与个人信息出境安全评估统一规定的立法体例，后者对重要数据与个人信息做了一定区分。

随后在2019年6月13日，国家互联网信息办公室公布的《个人信息出境安全评估办法（征求意见稿）》中，则采取了将个人信息出境评估单独立法的体例。但此后，国家互联网信息办公室再未单独公布关于重要数据出境安全评估的征求意见稿。

2021年通过并施行的《数据安全法》规定了重要数据出境评估制度，《个人信息保护法》则规定了个人信息出境评估制度。而随后颁布的《网络数据安全管理条例（征求意见稿）》则从数据统一管理的角度，采取了将数据与个人信息共同予以规范的立法体例。

笔者认为，本次《评估办法》将个人信息出境与重要数据出境放在一个规则中予以规范，也体现了同样的立法精神。

《评估办法》的通过与施行，意味着我国关于重要数据与个人信息出境的统一立法体例正式确立，数据出境安全评估的常态化机制得以确立，相关数据处理者的数据出境活动有章可循。

相比于征求意见稿，《评估办法》不再将自评估作为所有涉及向境外提供数据的数据处理者均应当履行的义务，仅作为申报数据出境安全评估的前置程序（《评估办法》第五条）。

完整的安全评估工作流程如下（《评估办法》第五条至第十三条）：