加快實施個人信息出境認證制度 以高水平數(shù)據(jù)安全保障數(shù)字經(jīng)濟高質(zhì)量發(fā)展
我國個人信息保護法明確規(guī)定，個人信息處理者向境外提供個人信息的，應(yīng)當具備通過安全評估、進行個人信息保護認證、訂立標準合同等條件之一。前期，《數(shù)據(jù)出境安全評估辦法》《個人信息出境標準合同辦法》《促進和規(guī)范數(shù)據(jù)跨境流動規(guī)定》等相關(guān)規(guī)章已發(fā)布實施。近日，國家互聯(lián)網(wǎng)信息辦公室、國家市場監(jiān)督管理總局聯(lián)合發(fā)布《個人信息出境認證辦法》（以下簡稱《辦法》），標志著個人信息出境具體制度的全面落地，這對于推進高水平開放、推動高質(zhì)量發(fā)展、保障高水平安全具有重要意義。
一、《辦法》是營造市場化法治化國際化一流營商環(huán)境、推進高水平對外開放的重要舉措
認證制度本身發(fā)源于市場需求、根植于依規(guī)評定、興盛于國際貿(mào)易，具有鮮明的市場化、法治化、國際化特征。數(shù)字時代，個人信息出境認證制度使得這些特征更加突出。
（一）個人信息出境認證是數(shù)字經(jīng)濟市場化的基礎(chǔ)制度。認證制度與市場化是相互支撐、動態(tài)適配的共生關(guān)系，二者以安全合規(guī)為紐帶，共同服務(wù)于數(shù)字經(jīng)濟要素高效配置。市場化進程中合規(guī)成本不均、信任缺失、競爭失衡等痛點，直接催生了認證制度的需求。數(shù)字經(jīng)濟市場化需破解個人信息跨境流動難題，但不同規(guī)模企業(yè)合規(guī)能力差異顯著，大型企業(yè)可自建合規(guī)體系，中小微企業(yè)因?qū)I(yè)能力不足陷入合規(guī)困境。同時，跨境合作中個人信息安全信任缺失會推高交易成本?！掇k法》的出臺，通過統(tǒng)一標準、建立第三方專業(yè)服務(wù)體系等，填補了合規(guī)能力缺口，構(gòu)建了信任機制，有效降低了市場化障礙。
（二）個人信息出境認證是我國數(shù)據(jù)治理法治延伸。法治化營商環(huán)境的前提是有法可依、有法必依。個人信息保護法雖明確個人信息出境可通過認證途徑實現(xiàn)，但需具體制度細化實施路徑。《辦法》的出臺，明確了認證機構(gòu)資質(zhì)、流程規(guī)范、監(jiān)督管理要求等內(nèi)容，將法律原則轉(zhuǎn)化為可操作的合規(guī)指引，強化了“有法可依”的實踐保障，為企業(yè)提供清晰的合規(guī)錨點。同時，個人信息出境認證通過標準化評定，也能夠為監(jiān)管提供客觀依據(jù)。
（三）個人信息出境認證是全球數(shù)字治理通行實踐。在數(shù)字經(jīng)濟全球化的背景下，個人信息跨境流動已成為國際數(shù)據(jù)合作的核心紐帶。據(jù)有關(guān)統(tǒng)計，全球數(shù)據(jù)跨境量已達ZB級規(guī)模，但合規(guī)導(dǎo)致的法律糾紛年均增長47%。在此背景下，個人信息出境認證作為平衡數(shù)據(jù)流通效率與隱私保護的市場化機制，已成為全球主要國家和國際組織的共同選擇。例如，亞太經(jīng)合組織（APEC）主導(dǎo)的“跨境隱私規(guī)則體系”（CBPR）開創(chuàng)了區(qū)域內(nèi)認證互認的先河，歐盟通過《通用數(shù)據(jù)保護條例》（GDPR）明確了個人信息跨境傳輸?shù)恼J證機制?！掇k法》的出臺，充分借鑒全球個人信息出境認證的通行做法，主動對接國際規(guī)則，為數(shù)字貿(mào)易國際合作提供制度保障。
二、《辦法》是促進數(shù)據(jù)高效便利安全跨境流動、推動數(shù)字經(jīng)濟高質(zhì)量發(fā)展的制度保障
個人信息出境認證制度遵循自愿性、市場化、社會化服務(wù)原則，由第三方機構(gòu)實施，既減輕監(jiān)管部門行政負擔，也賦予企業(yè)更多合規(guī)選擇權(quán)，更激發(fā)數(shù)字經(jīng)濟的動能。
（一）《辦法》將有效提升企業(yè)的合規(guī)效率。個人信息出境合規(guī)涉及法律、技術(shù)、管理等多領(lǐng)域?qū)I(yè)知識，中小微企業(yè)往往因缺乏專業(yè)人才而面臨合規(guī)困境。專業(yè)認證機構(gòu)能夠根據(jù)企業(yè)需求提供全流程服務(wù)，包括個人信息出境風險評估、安全技術(shù)方案設(shè)計、境外接收方資質(zhì)審核等，有效彌補企業(yè)能力短板，有效提升企業(yè)合規(guī)效率。
（二）《辦法》將有助于增加企業(yè)的信任資產(chǎn)?！掇k法》明確，個人信息出境認證由國家認可的專業(yè)認證機構(gòu)實施，認證過程嚴格遵循規(guī)定標準，認證結(jié)果具有官方認可的公信力。對用戶而言，通過認證意味著企業(yè)的數(shù)據(jù)處理符合國家隱私保護要求，減少企業(yè)向用戶傳遞信任的溝通成本。對商業(yè)伙伴而言，通過認證是企業(yè)數(shù)據(jù)安全能力的名片，特別在跨境合作中，無需雙方重復(fù)開展合規(guī)審查，直接以認證結(jié)果作為信任基礎(chǔ)，縮短合作談判周期。
（三）《辦法》將倒逼企業(yè)加速數(shù)字化轉(zhuǎn)型。個人信息出境認證標準對數(shù)據(jù)加密、訪問控制、安全審計等技術(shù)指標的要求，促使企業(yè)加大數(shù)據(jù)安全投入，在提升合規(guī)水平的同時，也優(yōu)化了企業(yè)數(shù)據(jù)治理能力。實踐證明，通過認證的企業(yè)普遍建立了數(shù)據(jù)全生命周期管理體系，這些能力不僅保障了數(shù)據(jù)安全，還為企業(yè)精準營銷、產(chǎn)品創(chuàng)新等提供了支撐。
（四）《辦法》將有望催生專業(yè)數(shù)據(jù)服務(wù)新業(yè)態(tài)?！掇k法》的出臺，通過激活合規(guī)服務(wù)需求、重構(gòu)跨境數(shù)據(jù)服務(wù)邏輯，將催生出專業(yè)化場景化平臺化的新型服務(wù)業(yè)態(tài)，形成覆蓋咨詢、技術(shù)、運營、生態(tài)等全鏈條服務(wù)體系。認證過程的復(fù)雜性，推動合規(guī)服務(wù)從廣譜咨詢向垂直領(lǐng)域深耕轉(zhuǎn)型。認證對數(shù)據(jù)安全技術(shù)的硬性要求，將催生出敏感數(shù)據(jù)識別系統(tǒng)、跨境數(shù)據(jù)加密傳輸模塊等技術(shù)服務(wù)新業(yè)態(tài)。
三、《辦法》是提升數(shù)據(jù)安全治理監(jiān)管能力、構(gòu)建高水平數(shù)據(jù)安全保障體系的重要抓手
《辦法》基于國家有關(guān)主管部門、專業(yè)認證機構(gòu)、個人信息處理者三方主體，構(gòu)建了責任明確、邊界清晰、環(huán)環(huán)相扣的“三位一體”個人信息跨境安全保障體系。
（一）明確國家有關(guān)主管部門的監(jiān)管責任。《辦法》明確規(guī)定了國家有關(guān)主管部門的全流程監(jiān)管責任。事前，要求國家網(wǎng)信部門會同國家數(shù)據(jù)管理部門和其他有關(guān)部門制定個人信息出境相關(guān)標準、技術(shù)規(guī)范。國家市場監(jiān)管部門會同國家網(wǎng)信部門制定個人信息保護認證規(guī)則、統(tǒng)一認證證書及標志。事中，要求國家市場監(jiān)督管理部門和國家網(wǎng)信部門對個人信息出境認證活動進行監(jiān)督，開展定期或者不定期的檢查，對認證過程和認證結(jié)果進行抽查，對專業(yè)認證機構(gòu)進行抽查和評價。事后，要求國家網(wǎng)信部門和有關(guān)部門在個人信息保護監(jiān)督管理工作中發(fā)現(xiàn)獲證個人信息處理者存在違規(guī)情形的，專業(yè)認證機構(gòu)應(yīng)當配合暫停其使用直至撤銷認證證書。國家市場監(jiān)督管理部門與國家網(wǎng)信部門建立認證信息共享機制。
（二）明確認證機構(gòu)的中介責任?！掇k法》對專業(yè)認證機構(gòu)的責任進行了嚴格的規(guī)定。專業(yè)認證機構(gòu)應(yīng)當按照認證基本規(guī)范、個人信息保護認證規(guī)則開展個人信息出境認證活動。在開展認證活動中，發(fā)現(xiàn)個人信息出境活動違反法律、行政法規(guī)和國家有關(guān)規(guī)定的，應(yīng)當及時向國家網(wǎng)信部門和有關(guān)部門報告。專業(yè)認證機構(gòu)在出具認證證書或者認證狀態(tài)發(fā)生變化后5個工作日內(nèi)，向全國認證認可信息公共服務(wù)平臺報送個人信息出境認證證書相關(guān)信息。此外，《辦法》要求專業(yè)認證機構(gòu)應(yīng)當自國家市場監(jiān)督管理部門批準取得個人信息保護認證資質(zhì)之日起10個工作日內(nèi)向國家網(wǎng)信部門辦理備案手續(xù)，并提交相關(guān)材料。
（三）明確個人信息處理者的主體責任?！掇k法》對個人信息處理者的責任進行了明確的限定。關(guān)于開展認證的條件，要求是非關(guān)鍵信息基礎(chǔ)設(shè)施運營者自當年1月1日起累計向境外提供10萬人以上、不滿100萬人個人信息（不含敏感個人信息）或者不滿1萬人敏感個人信息，且個人信息不包括重要數(shù)據(jù)。關(guān)于開展認證前的要求，包括按照法律、行政法規(guī)的規(guī)定履行告知、取得個人單獨同意、進行個人信息保護影響評估等義務(wù)，并對個人信息保護影響評估重點評估內(nèi)容進行了詳細規(guī)定。關(guān)于申請認證的方式，要求應(yīng)當向?qū)I(yè)認證機構(gòu)申請個人信息出境認證，境外的個人信息處理者應(yīng)當由其在境內(nèi)的設(shè)立的專門機構(gòu)或者指定代表協(xié)助進行申請。
總之，《辦法》的出臺具有多重里程碑意義，既是我國數(shù)據(jù)領(lǐng)域開放、發(fā)展、安全三者協(xié)同統(tǒng)一的制度典范，更是我國數(shù)據(jù)跨境治理體系走向成熟的重要標志。（國家網(wǎng)信辦數(shù)據(jù)與技術(shù)保障中心副主任 王志成）
編輯：遲明緒
京公網(wǎng)安備 11010502000576號