數據跨境安全管理

《網絡安全法》

第三十七條 關鍵信息基礎設施的運營者在中華人民共和國境內運營中收集和產生的個人信息和重要數據應當在境內存儲。因業務需要，確需向境外提供的，應當按照國家網信部門會同國務院有關部門制定的辦法進行安全評估；法律、行政法規另有規定的，依照其規定。《個人信息保護法》

個人信息

《數據安全法》

第三十一條　關鍵信息基礎設施的運營者在中華人民共和國境內運營中收集和產生的重要數據的出境安全管理，適用《中華人民共和國網絡安全法》的規定；其他數據處理者在中華人民共和國境內運營中收集和產生的重要數據的出境安全管理辦法，由國家網信部門會同國務院有關部門制定。

數安條例

第三十五條 數據處理者因業務等需要，確需向中華人民共和國境外提供數據的，應當具備下列條件之一：

（一）通過國家網信部門組織的數據出境安全評估；

（二）數據處理者和數據接收方均通過國家網信部門認定的專業機構進行的個人信息保護認證；

（三）按照國家網信部門制定的關于標準合同的規定與境外數據接收方訂立合同，約定雙方權利和義務；

（四）法律、行政法規或者國家網信部門規定的其他條件。

網絡數據（簡稱數據）是指任何以電子方式對信息的記錄。

根據數安條例，可以得出至少三個情形是豁免監管的。具體如下：

說明

具體實例

第二條 自然人因個人或者家庭事務開展數據處理活動，不適用本條例。按照這條規定，個人自主、直接將自身的個人信息、家庭成員、朋友個人信息向境外提供，其個人的提供行為，不受本條例管轄。

這點在我國《個人信息保護法》中的規定是一致的，也與GDPR規定一致。

GDPR在Recital 18中明確提出：本條例不適用于自然人在純粹的個人或家庭活動過程中對個人數據的處理，只要這些處理與專業或商業活動沒有關系。（This

Regulation does not apply to the processing of personal data by a

natural person in the course of a purely personal or household activity

and thus with no connection to a professional or commercial activity.）

個人自主登陸境外電商網站購買家用產品，并在境外電商網站填寫其個人信息，包括姓名、聯系方式、收貨地址等。

第三十五條 數據處理者為訂立、履行個人作為一方當事人的合同所必需向境外提供當事人個人信息的，或者為了保護個人生命健康和財產安全而必須向境外提供個人信息的除外。

按照《個人信息保護法》第十三條規定，“為訂立、履行個人作為一方當事人的合同”而處理個人信息（包括對境外提供個人信息），和基于個人同意的個人信息處理，是不同的合法性事由。

同樣，“為了保護個人生命健康和財產安全而必須向境外提供個人信息”，與《個人信息保護法》中“緊急情況下為保護自然人的生命健康和財產安全所必需”相近，但數安條例的表述中沒有“緊急情況下”。這點是否意味著數安條例做了些許放寬？

個人通過平臺預訂境外的酒店或境外航空公司的機票，平臺將個人的預訂信息傳輸至境外的酒店和航空公司。

第三十八條 中華人民共和國締結或者參加的國際條約、協定對向中華人民共和國境外提供個人信息的條件等有規定的，可以按照其規定執行。

這樣的條款也出現在了《個人信息保護法》之中——“中華人民共和國締結或者參加的國際條約、協定對向中華人民共和國境外提供個人信息的條件等有規定的，可以按照其規定執行。”

考慮到中國正在申請加入CPTPP和DEPA【見：數字貿易協定 | DEPA和CPTPP給國內數據本地化和跨境流動管控預留的“自由度”】，那是否意味著只要中國正式加入了這些經貿協定，國內法律法規對個人信息的跨境監管就可以“豁免”？

當然，這一點需要立法者做出解釋。

《個人信息保護法》

第三十八條 個人信息處理者因業務等需要，確需向中華人民共和國境外提供個人信息的，應當具備下列條件之一：

（一）依照本法第四十條的規定通過國家網信部門組織的安全評估；

（二）按照國家網信部門的規定經專業機構進行個人信息保護認證；

（三）按照國家網信部門制定的標準合同與境外接收方訂立合同，約定雙方的權利和義務；

（四）法律、行政法規或者國家網信部門規定的其他條件。

中華人民共和國締結或者參加的國際條約、協定對向中華人民共和國境外提供個人信息的條件等有規定的，可以按照其規定執行。

個人信息處理者應當采取必要措施，保障境外接收方處理個人信息的活動達到本法規定的個人信息保護標準。

《數安條例》

第三十五條 數據處理者因業務等需要，確需向中華人民共和國境外提供數據的，應當具備下列條件之一：

（一）通過國家網信部門組織的數據出境安全評估；

（二）數據處理者和數據接收方均通過國家網信部門認定的專業機構進行的個人信息保護認證；

（三）按照國家網信部門制定的關于標準合同的規定與境外數據接收方訂立合同，約定雙方權利和義務；

（四）法律、行政法規或者國家網信部門規定的其他條件。

數據處理者為訂立、履行個人作為一方當事人的合同所必需向境外提供當事人個人信息的，或者為了保護個人生命健康和財產安全而必須向境外提供個人信息的除外。

• 非個人信息且非重要數據的數據采取合同等有效措施監督數據接收方按照雙方約定的目的、范圍、方式使用數據，履行數據安全保護義務，保證數據安全；
• 接受和處理數據出境所涉及的用戶投訴；
• 數據出境對個人、組織合法權益或者公共利益造成損害的，數據處理者應當依法承擔責任；
• 國家網信部門認定不得出境的，數據處理者應當停止數據出境，并采取有效措施對已出境數據的安全予以補救；
• 非經中華人民共和國主管機關批準，境內的個人、組織不得向外國司法或者執法機構提供存儲于中華人民共和國境內的數據。

個人信息

同上；以及如下：

• 不得超出網信部門安全評估時明確的出境目的、范圍、方式和數據類型、規模等向境外提供個人信息和重要數據
• 不得超出報送網信部門的個人信息保護影響評估報告中明確的目的、范圍、方式和數據類型、規模等向境外提供個人信息；
• 國家網信部門會同國務院有關部門核驗向境外提供個人信息和重要數據的類型、范圍時，數據處理者應當以明文、可讀方式予以展示；
• 個人信息出境后確需再轉移的，應當事先與個人約定再轉移的條件，并明確數據接收方履行的安全保護義務。
• 數安條例第四十條“在每年1月31日前編制數據出境安全報告，向設區的市級網信部門報告上一年度以下數據出境情況”

重要數據

同“非個人信息非重要數據的數據”，以及如下：

• 不得超出網信部門安全評估時明確的出境目的、范圍、方式和數據類型、規模等向境外提供個人信息和重要數據
• 國家網信部門會同國務院有關部門核驗向境外提供個人信息和重要數據的類型、范圍時，數據處理者應當以明文、可讀方式予以展示；

數安條例第四十條“在每年1月31日前編制數據出境安全報告，向設區的市級網信部門報告上一年度以下數據出境情況”