Guidelines for Data Outbound Security Assessment Declaration (Third Edition)

Full text · 原文 7,584 字

为了指导和帮助数据处理者规范有序申报数据出境安全评估，国家互联网信息办公室编制了《数据出境安全评估申报指南（第三版）》，对数据处理者申报数据出境安全评估需要提交的相关材料进行了优化简化，明确数据处理者申请延长数据出境安全评估结果有效期的条件、流程、材料等内容。 数据处理者因业务需要向境外提供重要数据和个人信息，符合数据出境安全评估适用情形的，应当根据《数据出境安全评估办法》和《促进和规范数据跨境流动规定》，按照申报指南申报数据出境安全评估。评估结果有效期届满，符合申请延长评估结果有效期条件的，数据处理者可以在有效期届满前60个工作日内提出延长评估结果有效期申请。 数据处理者可以通过线上方式申报。请直接访问“数据出境申报系统”（网址：https://sjcj.cac.gov.cn），也可从中国网信网（https://www.cac.gov.cn）首页“全国网信政务办事大厅”栏目访问“数据出境申报系统”。 附件：数据出境安全评估申报指南（第三版） 数据出境安全评估申报指南（第三版） 根据《数据出境安全评估办法》、《促进和规范数据跨境流动规定》，为指导和帮助数据处理者规范有序申报数据出境安全评估，特制定本指南。 一、适用范围 （一）数据处理者向境外提供数据，有下列情形之一的，应当申报数据出境安全评估： 1.关键信息基础设施运营者向境外提供个人信息或者重要数据； 2.关键信息基础设施运营者以外的数据处理者向境外提供重要数据，或者自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感个人信息）或者1万人以上敏感个人信息。 属于《促进和规范数据跨境流动规定》第三条、第四条、第五条、第六条规定情形的，从其规定。 （二）以下情形属于数据出境行为： 1.数据处理者将在境内运营中收集和产生的数据传输至境外； 2.数据处理者收集和产生的数据存储在境内，境外的机构、组织或者个人可以查询、调取、下载、导出； 3.符合《个人信息保护法》第三条第二款情形，在境外处理境内自然人个人信息等其他数据处理活动。 二、申报方式及流程 数据处理者申报数据出境安全评估，应当通过线上方式提交申报材料。关键信息基础设施运营者或者其他不适合通过数据出境申报系统申报数据出境安全评估的数据处理者，采用线下方式通过所在地省级网信办向国家网信办申报数据出境安全评估。 （一）系统登录与项目申报 数据出境申报系统网址：https://sjcj.cac.gov.cn。 1.账号注册与登录。对于初次登录申报系统进行申报的数据处理者，点击“注册账户”，填写用户名、密码、手机号码等信息。注册成功后，登录申报系统进行基础信息录入，填写数据处理者单位名称、统一社会信用代码、单位注册所在省份等。 2.项目新建与申报。数据处理者选择“数据出境安全评估”栏目，选择新增申报评估项目，并将准备好的申报材料进行上传。申报材料（材料要求见附件1）包括： （1）统一社会信用代码证件影印件 （2）法定代表人身份证件影印件 （3）经办人身份证件影印件 （4）经办人授权委托书（模板见附件2） （5）数据出境安全评估申报表（模板见附件3） （6）与境外接收方拟订立的数据出境相关合同或者其他具有法律效力的文件 （7）数据出境风险自评估报告（模板见附件4） （8）其他相关证明材料 数据处理者对所提交材料的真实性负责，提交虚假材料的，按照评估不通过处理，并依法追究相应法律责任。 （二）完备性查验与项目受理 数据处理者可通过申报系统查看已申报项目的进展情况，具体包括： 1.省级网信办在数据处理者提交申报材料之日起5个工作日内完成申报材料的完备性查验，并同步更新申报系统内的完备性查验结果。未通过完备性查验的，省级网信办向数据处理者告知未通过完备性查验原因。 2.通过完备性查验的，省级网信办将申报材料提请国家网信办受理，国家网信办自收到省级网信办提交的申报材料之日起7个工作日内，确定是否受理并书面通知数据处理者，并同步更新申报系统内的受理结果。 （三）补充更正材料与查询评估进展 国家网信办将在出具评估项目受理通知书后立即组织开展数据出境安全评估，需要补充或者更正申报材料的，数据处理者应当按照告知要求及时通过申报系统补充或者更正材料。无正当理由不补充或者更正申报材料的，国家网信办可以终止安全评估。情况复杂或者需要补充、更正材料的，国家网信办可以适当延长评估时间，并告知数据处理者预计延长的时间。 数据处理者可通过申报系统及时查询了解评估进展。评估完成后，国家网信办向数据处理者出具评估结果通知书。 数据处理者应当按照数据出境安全管理相关法律法规和评估结果通知书的有关要求，规范相关数据出境活动。数据处理者对评估结果有异议的，可以在收到评估结果通知书15个工作日内向国家网信办申请复评，复评结果为最终结论。 三、申请延长评估结果有效期 （一）适用条件 评估结果准予开展的数据出境活动，同时符合以下条件的，数据处理者可以在评估结果有效期届满前60个工作日内，通过所在地省级网信办向国家网信办申请延长评估结果有效期： 1.数据出境的目的、范围等未发生变化； 2.数据处理者和境外接收方等未发生变化； 3.出境个人信息的，未来三年涉及自然人数量增幅不超过原评估结果准予过去三年出境数量的20%； 4.出境重要数据的，未来三年出境数据规模（MB/GB/TB）增幅不超过原评估结果准予过去三年出境数据规模的20%； 5.与境外接收方订立的法律文件符合《数据出境安全评估办法》第九条规定； 6.过去三年数据出境活动严格按照评估结果通知书合规开展，且未发生重大数据安全事件。 （二）申请延长 数据处理者申请延长评估结果有效期，应当通过申报系统提交申请材料。关键信息基础设施运营者或者其他不适合通过系统申请的数据处理者，采用线下方式提交申请材料。 针对通过线上方式申报项目的评估结果有效期延长申请，数据处理者登录申报系统后，可直接选择申报项目进行申请延长操作，上传申请材料；针对通过线下方式申报项目的评估结果有效期延长申请，数据处理者登录申报系统后，在“延长评估结果有效期”栏目下申请，输入申报项目时的受理编号，上传申请材料。申请材料包括： 1.统一社会信用代码证件影印件（无变化可不重新提供） 2.法定代表人身份证件影印件（无变化可不重新提供） 3.经办人身份证件影印件（无变化可不重新提供） 4.经办人授权委托书（模板见附件2） 5.延长评估结果有效期申请表（模板见附件5） （三）完备性查验 数据处理者可通过申报系统查看已申请延长评估结果有效期项目的完备性查验情况。省级网信办在数据处理者提交申请材料之日起5个工作日内完成完备性查验，并同步更新系统内的完备性查验结果。未通过完备性查验的，省级网信办向数据处理者告知未通过完备性查验原因。通过完备性查验的，省级网信办将申请材料提交国家网信办。 （四）延长评估结果有效期审核 国家网信办自收到省级网信办提交的申请材料之日起20个工作日内，确定是否准予延长评估结果有效期并书面通知数据处理者。情况复杂或者需要补充、更正材料的，可以适当延长审核时间，并告知数据处理者预计延长的时间。数据处理者可通过申报系统查看延长评估结果有效期审核进展、补充或者更正材料，在收到延长评估结果有效期通知书后，应当按照数据出境安全管理相关法律法规和通知书的有关要求，规范相关数据出境活动。 四、咨询、举报联系方式 数据处理者如在申报过程中遇到任何疑问或需要协助，欢迎与我们联系，联系方式如下： 联系电话：010-55627135 电子邮箱：sjcj@cac.gov.cn 附件：1.数据出境安全评估申报材料要求 2.经办人授权委托书（模板） 3.数据出境安全评估申报表（模板） 4.数据出境风险自评估报告（模板） 5.延长评估结果有效期申请表（模板） 附件1 数据出境安全评估申报材料要求 序号 材料名称 要求 备注 1 统一社会信用代码证件 影印件加盖公章 2 法定代表人身份证件 影印件加盖公章 3 经办人身份证件 影印件加盖公章 4 经办人授权委托书 5 数据出境安全评估申报表 使用中文填写 6 与境外接收方拟订立的数据出境相关合同或者其他具有法律效力的文件 对数据出境相关约定条款作高亮、线框等显著标识。法律文件以中文版本为准，若仅有非中文版本，须同步提交准确的中文译本。 7 数据出境风险自评估报告 使用中文撰写 8 其他相关证明材料 注：采用线下方式提交申报材料的数据处理者，需同步通过光盘提交相应电子版材料。 附件2 经办人授权委托书（模板） 本人姓名（身份证件号码：）系数据处理者名称的法定代表人，现授权我单位姓名（身份证件号码：）为数据出境安全评估申报工作/延长评估结果有效期申请工作经办人。经办人代表我单位进行数据出境安全评估申报工作/延长评估结果有效期申请工作过程中的一切行为，包括所签署和上传的资料，我单位均予以承认，并将承担相应的法律责任。 授权委托期限：年月日至年月日 经办人无转委托权。 单位名称（盖章）： 法定代表人（签字）： 经办人（签字）： 年月日 附件3 数据出境安全评估申报表（模板） 1数据处理者情况 单位名称 单位性质 政府部门事业单位企业 社会组织其他 单位类型 内资外资中外合资 港澳台资其他 单位注册地 办公所在地 员工数量 统一社会 信用代码 是否为关键信息基础设施运营者 是 否 处理个人 信息规模 按自然人（去重）统计数量 2法定代表人信息 姓名 职务/国籍 联系电话 电子邮箱 证件类型 居民身份证护照 台湾居民来往大陆通行证 港澳居民来往内地通行证 其他 证件号码 3数据安全负责人和管理机构信息 姓名 职务/国籍 联系电话 电子邮箱 证件类型 居民身份证护照 台湾居民来往大陆通行证 港澳居民来往内地通行证 其他 证件号码 管理机构 名称 管理机构 人数 4经办人信息 姓名 职务/国籍 联系电话 电子邮箱 证件类型 居民身份证护照 台湾居民来往大陆通行证 港澳居民来往内地通行证 其他 证件号码 5数据处理者遵守中国法律、行政法规、部门规章情况 简述近2年在业务经营活动中受到行政处罚和有关主管监管部门调查及整改情况，重点说明数据和网络安全方面相关情况 6数据出境场景1 出境场景简述 据实填写此次申报的数据出境场景业务、数据出境目的、数据出境方式等，应与法律文件中涉及业务名称一致，不超过100字（数据出境方式参考：公共互联网传输、跨境专线传输、公共互联网远程访问、跨境专线远程访问等） 拟出境数据情况 数据类型 重要数据 重要数据认定 主管部门名称 个人信息 是否包含敏感 个人信息 是 否 涉及行业/领域 工业电信交通金融 自然资源卫生健康教育 科技能源国防科工文旅 跨境电商零售互联网 其他 涉及自然人（去重）数量 包括当年已出境数量、未来三年出境数量以及两者的关系 涉及重要 数据规模 MB/GB/TB 境外接收方情况 境外接收方名称 所在国家 或者地区 所在地址 主营业务 负责人 姓名 负责人 职务 联系方式 电话： 邮箱： 统计说明：（如需） 6数据出境场景2 ...... 6数据出境场景3 ...... 本单位承诺： 申报材料所有内容真实、完整、准确和有效。为国家网信办组织实施的数据出境安全评估工作提供必要的配合和支持。自评估工作为申报之日前3个月内完成，且至申报之日未发生重大变化。若承诺不实或者违背承诺，愿意承担相应法律责任。 注：1.自评估报告内容应与申报表内容保持一致。 2.申报表第6项应按场景分项描述，可根据实际申报的出境场景 数量增加申报表第6项。 3.境外接收方数量众多、范围不确定、无法逐一列举的，申报表 第6项境外接收方情况可填写统计数据。 4.申报表严格按照模板填写，必须使用中文填写，字体四号“仿 宋”，数字、字母统一使用四号“Times New Roman”字体，行距 固定值16磅，段落首行缩进2字符。页面设置：A4纸，上下 页边距为2.54cm，左右页边距为3.18cm。 附件4 数据出境风险自评估报告（模板） 数据处理者名称：（盖章） 年月日 说明： （一）数据处理者申报数据出境安全评估时需提供自评估报告，并对所提交的自评估报告及附件材料真实性负责； （二）报告所述自评估活动为本次申报前3个月内完成； （三）如有第三方机构参与自评估，须在自评估报告中说明第三方机构的基本情况及参与评估的情况； （四）自评估报告严格按照模板撰写。自评估报告必须使用中文撰写，正文字体四号“仿宋”（其中，正文一级标题黑体、二级标题楷体加黑、三级标题仿宋加黑），数字、字母使用四号“Times New Roman”字体，行距固定值26磅，段落首行缩进2字符。页面设置：A4纸，上下页边距为2.54cm，左右页边距为3.18cm。 一、自评估工作情况 简要概述自评估工作开展情况，包括起止时间、组织情况、实施过程、实施方式等内容。 二、出境活动整体情况 简要说明数据处理者基本情况、数据处理者安全保障能力情况、境外接收方情况、法律文件约定情况等，详细说明拟出境数据情况。包括不限于： （一）数据处理者基本情况 1.基本情况简介，包括股权结构、实际控制人、境内外投资情况等； 2.组织架构和数据安全管理机构信息； 3.整体业务与数据资产情况。 （二）拟出境数据情况 1.数据出境涉及业务、数据资产等情况； 2.数据出境及境外接收方处理数据的目的、范围、方式，及其合法性、正当性、必要性； 3.按照申报业务场景梳理对应的出境数据项情况，以列表形式呈现数据项清单并逐一说明（如下表所示），同一场景下的数据项需去重； 序号 数据项名称 内容描述 出境必要性 示例 备注 1 2 ...... 4.拟出境数据在境内存储的系统平台、数据中心（包含云服务）等情况，数据出境链路相关情况（数据处理者、境外接收方的网络系统域名及网络地址，数据出境方式等），计划出境后存储的系统平台、数据中心等； 5.数据出境后向境外其他接收方提供的情况； 6.涉及个人信息的，按照自然人（去重）统计当年的出境数量，预估未来3年的出境数量。 （三）数据处理者数据安全保障能力情况 1.数据安全管理能力，包括管理组织体系和制度建设情况，全流程管理、分类分级、应急处置、风险评估、个人信息权益保护等制度及落实情况； （涉及个人信息出境的，需提供履行《个人信息保护法》第三十九条规定的情况说明及佐证材料，包括告知义务和取得个人的单独同意等，若属于《个人信息保护法》第十三条第一款第二项至第七项规定情形的，不需取得个人同意） 2.数据安全技术能力，包括数据收集、存储、使用、加工、传输、提供、公开、删除等全流程所采取的安全技术措施等； 3.数据安全保障措施有效性证明，例如开展的数据安全风险评估、数据安全认证、数据安全检查测评、数据安全合规审计、网络安全等级保护测评等情况； 4.遵守数据和网络安全相关法律法规的情况。 （如涉及受到行政处罚和监管整改的，可以提供证明整改完成的相关佐证材料） （四）境外接收方情况 1.境外接收方基本情况； 2.境外接收方处理数据的用途、方式等； 3.境外接收方履行责任义务的管理和技术措施、能力等。 （五）法律文件约定数据安全保护责任义务的情况 1.数据出境的目的、方式和数据范围，境外接收方处理数据的用途、方式等； 2.数据在境外保存地点、期限，以及达到保存期限、完成约定目的或者法律文件终止后出境数据的处理措施； 3.对于境外接收方将出境数据再转移给其他组织、个人的约束性要求； 4.境外接收方在实际控制权或者经营范围发生实质性变化，或者所在国家、地区数据安全保护政策法规和网络安全环境发生变化，以及发生其他不可抗力情形，导致难以保障数据安全时，应当采取的安全措施； 5.违反法律文件约定的数据安全保护义务的补救措施、违约责任和争议解决方式； 6.出境数据遭到篡改、破坏、泄露、丢失、转移或者被非法获取、非法利用时，妥善开展应急处置的要求和保障个人维护其个人信息权益的途径和方式。 （六）数据处理者认为需要说明的其他情况 三、出境活动的风险自评估情况及结论 对照《数据出境安全评估办法》第五条规定事项，说明数据出境风险自评估情况，重点说明自评估发现的问题和整改情况。 综合风险自评估情况和相应整改情况，对拟申报的数据出境活动作出客观的风险自评估结论，充分说明得出自评估结论的理由。附件5 延长评估结果有效期申请表（模板） 1基本情况 数据处理者名称 申请延长评估结果有效期的评估项目受理编号 与境外接收方订立的法律文件符合《数据出境安全评估办法》第九条规定 是否 2数据出境场景1 数据出境的目的、范围等未发生变化 是否 数据处理者和境外接收方等未发生变化 是否 出境个人信息的，未来三年涉及自然人数量增幅（与原评估结果准予过去三年出境数量相比） _____% 不涉及 出境重要数据的，未来三年出境数据规模增幅（与原评估结果准予过去三年出境数据规模相比） _____% 不涉及 数据出境链路、存储系统、数据中心未发生变化 是否（如变化请在“3其他需要说明的情况”描述变化情况） 境外接收方处理数据的用途和方式未发生变化 是否（如变化请在“3其他需要说明的情况”描述变化情况） 2数据出境场景2 ...... 2数据出境场景3 ...... 3其他需要说明的情况 主要说明以下情况，可另附页： （1）采取保障数据出境安全的措施及相关工作情况； （2）境外接收方按照法律文件履行出境数据安全责任义务情况； （3）过去三年按照评估结果通知书合规开展数据出境活动的基本情况； （4）过去三年发生重大数据安全事件以及在业务经营活动中受到行政处罚和有关主管监管部门调查、整改情况。 本单位承诺： 申请材料所有内容真实、完整、准确和有效。为国家网信办组织实施的延长评估结果有效期审核工作提供必要的配合和支持。若承诺不实或者违背承诺，愿意承担相应法律责任。 注：1.申请表第2项应按场景分项描述，可根据实际申请的出境场景 数量增加申请表第2项。 2.申请表严格按照模板填写，必须使用中文填写，字体四号“仿 宋”，数字、字母统一使用四号“Times New Roman”字体，行距 固定值16磅，段落首行缩进2字符。页面设置：A4纸，上下 页边距为2.54cm，左右页边距为3.18cm。

Site key	cac
Policy area	数据安全与跨境流动
Category	major_policy
CMS	网信发布

Guidelines for Data Outbound Security Assessment Declaration (Third Edition)

国家互联网信息办公室发布《数据出境安全评估申报指南（第三版）》