汉坤网络安全和数据合规系列之六数据出境安全-汉坤律师事务所.pdfVIP

20 17 年6 月6 日 李朝应 ︱许莹 ︱王晨 20 15 年 10 月10 日 汉坤网络安全和数据合规系列之六：数据出境安全评估，操作指南 来了！ 唐志华 ︱朱敏 为落实已经于2017 年6 月1 日生效的《网络安全法》对个人信息和重要数据出境要求，全国信 息安全标准化技术委员会（“信安标委”）于5 月27 日发布《信息安全技术数据出境安全评估指 南（草案）》（“ 《评估指南》”）公开征求意见。 信安标委由国家标准化管理委员会领导，业务受中央网信办指导，负责全国信息安全标准化工 作。虽然信安标委发布的仅仅是推荐性国家标准（GB/T ），不具有强制性效力，但在《网络安全法》 和正在制定中的《个人信息和重要数据出境安全评估办法（征求意见稿）》（“ 《评估办法》”）对个 人信息和重要数据出境评估仍留有空白的情况下，信安标委发布的《评估指南》可以在一定程度上反 映监管态度，为数据出境评估提供更具有操作性的指引。 一、 《评估指南》和《评估办法》的关系 《评估办法》目前已经结束征求意见，如果顺利可能与《网络产品和服务安全审查办法（试行）》 一样，经过一次公开征求意见后即快速正式发布，以配合《网络安全法》的生效实施。但如之前的评 述所言，《评估办法》中还有很多不确定的地方，需要更具可操作性的配套措施。而《评估指南》基 本参照《评估办法》的逻辑框架，对数据出境评估进行了细化和补充。 例如，《评估办法》针对不同情形规定了网络运营者自行评估和报请行业主管或监管部门组织安 全评估等程序要求，《评估指南》第4 部分“评估流程”，即是按照网络运营者开展个人信息和重要 数据出境安全评估进行设计和要求；并同时明确，该标准适用于网络运营者，也适用于行业主管或监 管部门的指导和监督等工作。 又如，第5 部分“评估要点”，从“合法正当”和“风险可控”两个角度展开，即是对《评估办 法》第八条所述数据出境安全重点评估内容的细化。《评估办法》在“重要数据”定义中也规定，其 具体范围参照国家有关标准和重要数据识别指南，而《评估指南》作为信安标委制定的推荐性国家标 准，尤其是其附录A “重要数据识别指南”，便是对该重要定义的细化指引。 汉坤律师事务所  北京  上海  深圳  香港 二、 重点关注内容 根据目前发布的《评估指南》草案文本，我们认为有如下内容值得特别关注： 1. 适用范围 《评估指南》指出该标准适用于网络运营者开展的个人信息和重要数据出境安全评估工作，与 《评估办法》相同，并未将数据出境评估主体限定在关键信息基础设施（“CII”）运营者。但是，根 据《网络安全法》施行前夕国家互联网信息办公室网络安全协调局负责人答记者问中所给出的信息， 个人信息和重要数据的境内存储和出境评估要求仍然是针对关键信息基础设施运营者提出，而不是 针对所有网络运营者。因此，对于个人信息和重要数据跨境传输的适用范围，仍存在较大的不确定性， 有待《评估办法》等文件的正式出台。 2. 个人信息 除《网络安全法》和《评估办法》对“个人信息”的列举之外，《评估指南》延续了《网络安全 法》之前《电信和互联网用户个人信息保护规定》等规定，认定自然人的位置和行为信息等也属于 “个人信息”。这对目前使用广泛的手机APP 等收集用户使用位置，特别是利用用户实时位置提供 服务的各类APP 提出了明确要求，即这些位置和行为信息在《评估指南》的语境下都属于个人信息。 而鉴于《网络安全法》对个人信息本就是非穷尽式列举，在目前监管趋严的环境下，我们认为对个人 信息宜做出宽泛解释，即自然人位置和行为信息也应当按照个人信息予以保护。 3. 数据出境和提供 《评估指南》明确了“数据出境”是指将在中华人民共和国境内收集和产生的“电子形式”的 个人信息和重要数据，提供给境外机构、组织；而境外数据经由中国中转，未经任何变动或加工的， 不属于数据出境。但是，除网络运营者主动提供或者通过其他途径发布数据的行为外，其用户使用网 络运营者提供的产品或服务，向境外机构、组织或个人提供数据的行为也属于“提供”。 因此，一方面《评估指南》排除了部分行业人士对各种形式（包括非电子形式）出境的个人信息 和重要数据出境都属于数据出