全球數(shù)字經(jīng)濟高速發(fā)展的背景下，數(shù)據(jù)跨境流動已成為世界各國的重要議題。黨中央高度重視數(shù)據(jù)出境安全管理工作，黨的二十屆三中全會通過的《中共中央關于進一步全面深化改革、推進中國式現(xiàn)代化的決定》（以下簡稱《決定》）指出“建立高效便利安全的數(shù)據(jù)跨境流動機制”。近日，國家網(wǎng)信辦發(fā)布《個人信息出境個人信息保護認證辦法（征求意見稿）》（以下簡稱《認證辦法（意見稿）》），推動建立個人信息出境個人信息保護認證制度，為個人信息出境活動的便利化、個人信息出境個人信息保護認證工作的規(guī)范化提供了明確具體的辦法指引，對進一步擴大高水平對外開放、保障個人信息出境安全、充分釋放數(shù)據(jù)要素活力具有重要意義。

一、建立個人信息出境個人信息保護認證制度是銜接國際通行規(guī)則的迫切需要

黨的二十屆三中全會《決定》指出“擴大面向全球的高標準自由貿(mào)易區(qū)網(wǎng)絡，建立同國際通行規(guī)則銜接的合規(guī)機制，優(yōu)化開放合作環(huán)境?！闭J證是國際通行的個人信息跨境傳輸保護規(guī)則。歐盟的《通用數(shù)據(jù)保護條例》（GDPR）第42條、第43條規(guī)定了對數(shù)據(jù)控制者和處理者的數(shù)據(jù)處理操作進行數(shù)據(jù)保護認證的機制，第42（2）款、第46（2）款明確認證機制可以作為數(shù)據(jù)跨境傳輸（轉(zhuǎn)移至第三國或國際組織）的合規(guī)方式。亞太經(jīng)合組織（APEC）建立了《數(shù)據(jù)跨境隱私規(guī)則》（CBPR）認證體系和《數(shù)據(jù)處理者隱私識別》（PRP）認證體系。一些國家或地區(qū)也建立了相關認證體系，例如，新加坡的《個人數(shù)據(jù)保護條例》（PDPR）規(guī)定，境外個人數(shù)據(jù)接收方通過CBPR認證或PRP認證的，屬于滿足新加坡相關法律對于數(shù)據(jù)跨境傳輸接收方的合規(guī)要求，可作為個人數(shù)據(jù)跨境傳輸?shù)暮弦?guī)方式。

我國在數(shù)據(jù)安全和個人信息保護方面建立了相關認證體系。2022年，國家市場監(jiān)督管理總局、國家互聯(lián)網(wǎng)信息辦公室聯(lián)合印發(fā)了《關于開展數(shù)據(jù)安全管理認證工作的公告》《關于實施個人信息保護認證的公告》，決定實施數(shù)據(jù)安全管理認證、個人信息保護認證。但對于數(shù)據(jù)跨境傳輸方面的認證工作具體要求，此前尚未進行明確。在2024年世界互聯(lián)網(wǎng)大會烏鎮(zhèn)峰會期間，《全球數(shù)據(jù)跨境流動合作倡議》對外發(fā)布，發(fā)出“提升個人信息保護機制、規(guī)則之間的兼容性，推動相關標準、技術法規(guī)及合格評定程序的互認”等倡議。此次公布的《認證辦法（意見稿）》，對個人信息出境個人信息保護認證工作進行了明確，提出國家促進個人信息出境個人信息保護認證活動的國際交流合作，推動個人信息出境個人信息保護認證與其他國家、地區(qū)、國際組織之間的互認等，彰顯了我國包容開放的數(shù)據(jù)跨境國際合作態(tài)度，為與其他國家、地區(qū)、國際組織之間建立數(shù)據(jù)跨境流動機制打下基礎。

二、建立個人信息出境個人信息保護認證制度是落實有關法律規(guī)定的具體安排

我國始終堅持依法管理數(shù)據(jù)跨境流動安全?！毒W(wǎng)絡安全法》《數(shù)據(jù)安全法》《個人信息保護法》《網(wǎng)絡數(shù)據(jù)安全管理條例》在法律層面對向境外提供重要數(shù)據(jù)和個人信息作出明確規(guī)定。其中，《個人信息保護法》第三十八條、《網(wǎng)絡數(shù)據(jù)安全管理條例》第三十五條規(guī)定了向境外提供個人信息應當滿足的條件，包括申報數(shù)據(jù)出境安全評估、訂立個人信息出境標準合同、通過個人信息保護認證3條合規(guī)路徑，以及可以向境外提供個人信息的其他條件。近年來，國家網(wǎng)信辦堅持高質(zhì)量發(fā)展與高水平安全良性互動，出臺了《數(shù)據(jù)出境安全評估辦法》《個人信息出境標準合同辦法》《促進和規(guī)范數(shù)據(jù)跨境流動規(guī)定》等一系列文件，建立了數(shù)據(jù)出境安全評估制度、個人信息出境標準合同備案制度等。

此次發(fā)布的《認證辦法（意見稿）》，與《數(shù)據(jù)出境安全評估辦法》《個人信息出境標準合同辦法》等文件一脈相承?！墩J證辦法（意見稿）》是落實法律對于個人信息處理者因業(yè)務等需要向境外提供個人信息的“按照國家網(wǎng)信部門的規(guī)定經(jīng)專業(yè)機構進行個人信息保護認證”的具體制度安排。特別是在已有的個人信息保護認證工作基礎上，對個人信息出境個人信息保護認證工作進行規(guī)范，明確個人信息出境個人信息保護認證的適用情形、認證申請、認證內(nèi)容、備案要求、機構監(jiān)管等要求。

值得注意的是，個人信息出境個人信息保護認證的工作視角與數(shù)據(jù)出境安全評估、個人信息標準合同等制度存在明顯區(qū)別。數(shù)據(jù)出境安全評估由國家網(wǎng)信辦組織實施，側(cè)重于國家安全視角；個人信息出境標準合同是境內(nèi)處理者與境外接收方訂立，屬于甲乙雙方責任義務約定視角；而個人信息出境個人信息保護認證則可以發(fā)揮專業(yè)認證機構的能力作用，主要為第三方監(jiān)督視角，包括事前階段對于個人信息出境安全的技術評價，以及事中事后階段專業(yè)機構對于個人信息出境活動安全風險的重大情況報告和監(jiān)督舉報。因此，建立個人信息出境個人信息保護認證制度是我國法律的必然要求，是對個人信息保護認證工作的進一步健全，有利于發(fā)揮專業(yè)機構的重要支撐作用，加強數(shù)據(jù)出境安全管理工作力量，提高相關工作的質(zhì)量和效率。

三、建立個人信息出境個人信息保護認證制度是回應社會需求的重要舉措

我國數(shù)據(jù)跨境流動的需求旺盛、場景豐富，數(shù)據(jù)出境合規(guī)是企業(yè)開展跨國業(yè)務的基礎前提。同時，數(shù)據(jù)出境合規(guī)是涉及技術、法律、業(yè)務等多學科交叉、專業(yè)性較強的工作，市場營銷、生產(chǎn)制造等傳統(tǒng)行業(yè)的部分企業(yè)缺少技術和法務相關從業(yè)人員，自身合規(guī)能力相對薄弱，開展數(shù)據(jù)出境合規(guī)工作存在難度。因此，很多企業(yè)選擇向市場化、社會化的第三方服務機構尋求幫助，以履行數(shù)據(jù)出境合規(guī)義務，保障數(shù)據(jù)跨境流動安全。但是，當前市場上的第三方服務機構缺少監(jiān)督和指導，部分第三方服務機構服務差、要價高，給企業(yè)帶來了一定的合規(guī)負擔。

此次發(fā)布的《認證辦法（意見稿）》，明確個人信息保護認證遵循自愿性、市場化、社會化的服務原則，并規(guī)范對認證活動以及專業(yè)認證機構的管理監(jiān)督，正是對企業(yè)提高自身合規(guī)能力迫切需求的重要回應。個人信息出境個人信息保護認證向有個人信息跨境需求的企業(yè)提供了市場化、規(guī)范化認證合規(guī)方式，企業(yè)可借助專業(yè)認證機構的能力，提高自身數(shù)據(jù)跨境合規(guī)能力和效率。同時，《認證辦法（意見稿）》明確有關部門任務分工，要求有關部門要制定個人信息出境個人信息保護認證相關標準、技術法規(guī)、合格評定程序、實施規(guī)則等。相關標準化文件不但可用于指導專業(yè)認證機構開展認證工作，也可以幫助企業(yè)篩選服務機構，進一步降低企業(yè)的第三方選擇成本。此外，認證標準、規(guī)則等文件的公開化，還有利于形成透明穩(wěn)定可預期的數(shù)據(jù)出境安全管理政策條件，為企業(yè)營造良好的經(jīng)商營商環(huán)境。

未來，經(jīng)過對各方意見的研究吸納，個人信息出境個人信息保護認證制度正式確立后，將進一步豐富完善我國數(shù)據(jù)出境安全管理制度體系，更好的統(tǒng)籌各方力量，在保障個人信息出境安全的基礎上，促進數(shù)據(jù)跨境高效便利安全流動，推動我國數(shù)據(jù)出境安全管理進入新階段，為網(wǎng)絡強國建設提供堅實的數(shù)據(jù)安全基礎。

作者：國震寰　中央網(wǎng)信辦數(shù)據(jù)與技術保障中心處長　姜松浩　中央網(wǎng)信辦數(shù)據(jù)與技術保障中心工程師

(來源："網(wǎng)信浙江”)

(鏈接：https://mp.weixin.qq.com/s/zeDYlzCAYCY0KSdRO3qe8A）