2月24日，國家互聯網信息辦公室公布《個人信息出境標準合同辦法》(以下簡稱《辦法》)，自2023年6月1日起施行。國家互聯網信息辦公室相關負責人表示，《辦法》的出臺旨在落實個人信息保護法的規定，保護個人信息權益，規范個人信息出境活動。

近年來，隨著數字經濟的蓬勃發展，個人信息出境需求迅速增加。為滿足日益增長的個人信息出境需求，保護個人信息權益，《辦法》規定了個人信息出境標準合同的適用范圍、訂立條件和備案要求，明確了示范合同，為境外提供個人信息提供了具體指導。

《辦法》規定，本辦法適用于個人信息處理者通過與境外接收方的標準合同在中華人民共和國(中國)境外提供個人信息。明確以訂立標準合同的方式開展個人信息出境活動，應當堅持自主締約與備案管理相結合、保護權益與防范風險相結合，確保個人信息安全自由跨境流動。通過訂立標準合同在境外提供個人信息的個人信息處理者，應當同時符合以下條件:非關鍵信息基礎設施運營者、處理個人信息100萬條以下的個人信息處理者、自去年1月1日起在境外提供個人信息10萬條以下的個人信息處理者、提供10條以下的個人信息處理者、從去年1月1日起，海外的10000多條敏感個人信息。法律、行政法規或者國家網信辦另有規定的，從其規定。要求個人信息處理者不得采取數量分割等措施，通過訂立標準合同的方式向境外提供依法應當通過出境安全評估的個人信息。

《辦法》明確，個人信息處理者在境外提供個人信息前，應當開展個人信息保護影響評估，明確重點評估內容。規定個人信息處理者應當自標準合同生效之日起10個工作日內向所在地省級網信部門備案。提出個人信息處理者應當在標準合同有效期內，重新評估個人信息保護的影響，補充或者重新訂立標準合同，并履行相應的備案手續?！掇k法》還規定了監督管理、法律責任、合規整改要求等。

《辦法》附件為標準合同范本，主要包括合同的相關定義和基本要素、個人信息處理者與境外接收方的合同義務、境外接收方所在國家或者地區的個人信息保護政策法規對合同履行的影響、個人信息主體的權利和相關救濟以及合同解除、違約責任、爭議解決等事項。設計了兩個附錄，包括個人信息出境須知和雙方約定的其他條款。

國家互聯網信息辦公室令

十三號

《個人信息出境標準合同辦法》已經2023年2月3日國家互聯網信息辦公室2023年第2次辦公會議審議通過，現予公布，自2023年6月1日起施行。

莊國家互聯網信息辦公室主任

2023年2月22日

個人信息出口的標準合同措施

第一條為保護個人信息權益，規范個人信息出境活動，根據《中華人民共和國個人信息保護法》等法律法規，制定本辦法。

第二條本辦法適用于個人信息處理者通過與境外接受者簽訂個人信息出境標準合同(以下簡稱標準合同)向境外提供個人信息的行為。

第三條通過訂立格式合同開展個人信息出境活動，應當堅持自主簽約與備案管理相結合、保護權益與防范風險相結合，確保個人信息安全自由跨境流動。

第四條個人信息處理者通過訂立格式合同向境外提供個人信息的，應當同時符合下列條件:

(1)非關鍵信息基礎設施的運營商；

(2)處理個人信息不滿100萬人的；

(3)自去年1月1日起，在境外提供個人信息不足10萬人；

(4)自去年1月1日以來，在海外提供敏感個人信息的不到1萬人。

法律、行政法規或者國家網信辦另有規定的，從其規定。

個人信息處理者不得采取數量分割等措施，通過訂立標準合同的方式向境外提供依法應當通過出境安全評估的個人信息。

第五條個人信息處理者在向境外提供個人信息前，應當進行個人信息保護影響評估，重點評估以下內容:

(一)個人信息處理者和境外接受者處理個人信息的目的、范圍和方式的合法性、正當性和必要性；

(二)個人信息出境的規模、范圍、類型和敏感程度，以及個人信息可能給個人信息權益帶來的風險；

(三)境外接收人承諾的義務以及履行義務的管理和技術措施及能力是否能夠保障個人信息出境安全；

(四)個人信息出境后被篡改、銷毀、泄露、丟失或者被非法使用的風險，維護個人信息權益的渠道是否暢通；

(五)境外收件人所在國家或者地區的個人信息保護政策法規對格式合同履行的影響；

(六)其他可能影響個人信息出境安全的事項。

第六條格式合同應當嚴格按照本辦法附件的規定訂立。國家網信部門可根據實際情況調整附件。

個人信息處理者可以與海外接收者就其他條款達成一致，但不得與標準合同相沖突。

個人信息只有在標準合同生效后才能進行。

第七條個人信息加工者應當自格式合同生效之日起10個工作日內向所在地省級網信部門備案。備案應當提交下列材料:

(1)標準合同；

(二)個人信息保護影響評估報告。

個人信息處理人員應當對備案材料的真實性負責。

第八條在格式合同有效期內，有下列情形之一的，個人信息處理者應當重新評估個人信息保護的影響，補充或者重新訂立格式合同，并辦理相應的備案手續:

(一)境外提供個人信息的目的、范圍、類型、敏感程度、方式、存儲地點或者境外接收人處理個人信息的用途和方式發生變化，或者個人信息境外存儲期限延長的；

(二)境外收件人所在國家或者地區的個人信息保護政策法規發生變化，可能影響個人信息權益的；

(三)其他可能影響個人信息權益的情形。

第九條網信部門及其工作人員應當對依法履行職責中知悉的個人隱私、個人信息、商業秘密和商業秘密信息予以保密，不得泄露或者非法提供給他人或者非法使用。

第十條任何組織和個人發現個人信息處理者違反本辦法向境外提供個人信息的，可以向省級以上網信部門舉報。

第十一條省級以上網信部門發現個人信息出境活動存在較大風險或者發生個人信息安全事件的，可以依法對個人信息處理者進行約談。個人信息處理者應當按照要求整改消除隱患。

第十二條違反本辦法規定的，依據《中華人民共和國個人信息保護法》等法律法規處理；構成犯罪的，依法追究刑事責任。

第十三條本辦法自2023年6月1日起施行。本辦法施行前已經開展的個人信息出境活動不符合本辦法規定的，應當自本辦法施行之日起6個月內完成整改。