90%的个人信息出境企业都应完成的合规工作

根据标准合同第二条第2、3款的约定，个人信息出境需取得个人的单独同意。签署标准合同前，个人信息处理者应当向个人信息主体告知境外接收方的相关情况，以及行使个人信息主体权利的方式和程序等事项，并已取得个人单独同意。建议企业将告知类条款纳入隐私政策或用户协议中，并通过个人签署、确认的方式获得个人信息主体及未成年人父母或监护人的单独同意。

除上述单独同意的限制要求外，在标准合同模板中还约定了个人信息处理者和境外数据接收方需要向个人承担的义务及个人的权利。在个人权利救济方面，其可以通过诉讼或向监管机构投诉的方式来获得救济；任何一方因违反标准合同而侵害个人享有的权利，应当对个人承担民事法律责任。若双方依法承担连带责任，个人有权请求任何一方或者双方承担责任。

根据《办法》第六条，标准合同应当严格按照《办法》附件订立。国家网信部门可以根据实际情况对附件进行调整。个人信息处理者可以与境外接收方约定其他条款，但不得与标准合同相冲突。

企业应严格按照标准合同模板订立标准合同，不得随意修改。对于标准合同中未约定部分，双方可以在标准合同附录二处进行进一步约定。根据标准合同第九条第1款“如本合同与双方订立的任何其他法律文件发生冲突，本合同的条款优先适用”，标准合同的效力将优先于合同双方之间的其他协议、备忘录等。因此，企业在开展业务时应将数据合规纳入整体考虑范围内，避免产生文件之间的冲突，造成时间、经济、精力等浪费。

根据《办法》第五条，个人信息处理者向境外提供个人信息前，应当开展个人信息保护影响评估。个人信息处理者可以参照《个人信息安全影响评估指南》和《信息安全技术个人信息安全规范》中的指引和标准，从个人信息的处理目的、处理方式等是否合法、正当、必要，对个人权益的影响及安全风险、所采取的保护措施是否合法、有效并与风险程度相适应等方面开展个人信息保护影响评估。具体分析详见下述第三章。

根据《办法》第七条，个人信息处理者应当在标准合同生效之日起10个工作日内向所在地省级网信部门备案。备案应当提交以下材料：（一）标准合同；（二）个人信息保护影响评估报告。

备案不是标准合同生效的前置条件，企业在开展个人信息保护影响评估并在标准合同生效后便可开展个人信息出境活动。《办法》并未规定网信部门对备案材料进行实质审查，也未将合同备案作为相关数据出境的前置条件，但我们建议企业按法律规定在《标准合同》生效之日起10个工作日内向所在地省级网信部门备案，并提交《标准合同》文本及个人信息保护影响评估报告。若在符合规定的情形下不进行备案，依据《个人信息保护法》等法律法规，企业将面临罚款、停业整顿、吊销营业执照等行政处罚；构成犯罪的，将被追究刑事责任。

备案并非一劳永逸，根据《办法》第八条，在标准合同有效期内出现下列情形之一的，个人信息处理者应当重新开展个人信息保护影响评估，补充或者重新订立标准合同，并履行相应备案手续：（一）向境外提供个人信息的目的、范围、种类、敏感程度、方式、保存地点或者境外接收方处理个人信息的用途、方式发生变化，或者延长个人信息境外保存期限的；（二）境外接收方所在国家或者地区的个人信息保护政策和法规发生变化等可能影响个人信息权益的；（三）可能影响个人信息权益的其他情形。

企业应对个人信息出境后可能出现的各类情况有合理预期，定期跟进境外接收方的个人信息处理过程以及所在地法律、政策环境的变化情况，防患于未然。

《办法》自2023年6月1日起施行。施行前已经开展的个人信息出境活动但不符合《办法》规定的企业，应当自本办法施行之日起6个月内完成整改。根据我们的过往项目经验，整改工作涉及技术及法律层面的尽职调查、制度建立、对外协商沟通、法律文件签署、网络安全等级保护测评等多个方面。具体工作内容主要包括：

企业应尽早梳理出境数据的规模、范围、种类、敏感程度，确定其所适用的个人信息跨境传输合规路径。

鉴于个人信息保护应纳入涉外业务的准备范畴中，交易对手极有可能将数据保护要求作为业务谈判的争议点，因此境内企业需就标准合同中的条款逐一与对手方达成一致意见，应尽早与对手方梳理外国法相关合规义务的要求，谨慎评估其签署的其他文件或履行的合规义务是否可能违背包括《办法》在内的中国强制法的要求，为整体业务推进预留充足的时间（至少3个月）。

境内企业在选择境外交易对手时，应谨慎衡量境外接收方履行责任义务的管理和技术措施、能力等，评判能否保障出境数据的安全，并事先对交易对手所处的国家地区数据安全保护政策法规、网络安全环境和监督执法机构及相关司法机构进行评估。