《個人信息保護法》規(guī)定個人信息處理者因業(yè)務(wù)等需要，確需向境外提供個人信息，需通過安全評估、訂立標準合同或進行個人信息保護認證。此前，通過《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例》《數(shù)據(jù)出境安全評估辦法》《個人信息出境標準合同辦法》以及《促進和規(guī)范數(shù)據(jù)跨境流動規(guī)定》，個人信息出境制度已經(jīng)具有較為完整的規(guī)定。《個人信息出境認證辦法》（以下簡稱《辦法》）則在法律法規(guī)規(guī)定基礎(chǔ)上，銜接《關(guān)于實施個人信息保護認證的公告》的規(guī)定，細化了個人信息出境認證的具體實施規(guī)則，標志著我國三種個人信息出境制度的全面落地。

從國際視角看，認證機制在個人信息出境中發(fā)揮重要作用。早在2011年，亞太經(jīng)濟合作組織（APEC）推出了跨境隱私規(guī)則（CBPR）認證機制。目前，日本、新加坡等國采用了全球CBPR認證作為跨境數(shù)據(jù)傳輸?shù)氖侄?，獲得CBPR認證的全球公司可以直接在這些國家之間跨境傳輸個人信息。獲得認證的企業(yè)可在CBPR成員之間直接進行個人信息跨境傳輸。2016年歐盟《通用數(shù)據(jù)保護條例》則是首次將認證機制規(guī)定為數(shù)據(jù)出境的機制之一，并發(fā)布了對應(yīng)指南。韓國等其他國家也引入認證機制作為個人信息出境的一種途徑。但總體上，現(xiàn)有的個人信息出境認證主要停留在規(guī)定層面，實踐中由于具備認證資質(zhì)的認證機構(gòu)比較缺乏、認證細則不明確等原因，企業(yè)較少采用此種機制進行個人信息跨境傳輸?！掇k法》立足中國個人信息保護規(guī)定和監(jiān)管經(jīng)驗，在以下方面給出了中國方案，切實推動個人信息出境認證制度落地。

其一，明確適用個人信息出境認證的條件，銜接相關(guān)規(guī)定內(nèi)容?！掇k法》延續(xù)了《促進和規(guī)范數(shù)據(jù)跨境流動規(guī)定》相關(guān)內(nèi)容，從三方面規(guī)定了適用認證機制的條件：一是主體方面，明確不適用于關(guān)鍵信息基礎(chǔ)設(shè)施運營者。二是信息類型方面，明確不適用于重要數(shù)據(jù)。三是處理信息數(shù)量方面，規(guī)定自當年1月1日起累計向境外提供的個人信息需滿足在10萬人至100萬人之間，或如果含敏感個人信息，則敏感個人信息需不滿1萬人。

其二，彰顯個人信息保護認證的自愿性和市場化，明確個人信息保護認證的定位?！掇k法》體現(xiàn)了個人信息出境認證的四個特性。一是自愿性，認證申請系由個人信息處理者自愿向?qū)I(yè)認證機構(gòu)提出，認證不是強制性的出境手續(xù)，不會給企業(yè)帶來合規(guī)負擔。二是市場化，認證主體是市場化的專業(yè)認證機構(gòu)而非國家監(jiān)管部門，這在很大程度上有助于激發(fā)認證活動的活力，增強認證制度的適用性。三是社會化，認證活動以需求為導向，由政府、專業(yè)認證機構(gòu)、申請人以及社會公眾共同合作實現(xiàn)。四是統(tǒng)一性，主管部門制定個人信息出境認證相關(guān)標準、技術(shù)規(guī)范、認證規(guī)則，統(tǒng)一認證證書和標志，專業(yè)認證機構(gòu)按照認證基本規(guī)范、個人信息保護認證規(guī)則開展個人信息出境認證活動，能夠保證認證門檻的一致性，避免申請人為了提升認證通過率，選擇采用標準更低的認證機構(gòu)。

其三，明確專業(yè)認證機構(gòu)認證重點要求，規(guī)范個人信息出境認證程序。首先，明確規(guī)定認證機構(gòu)評定依據(jù)，規(guī)定專業(yè)認證機構(gòu)應(yīng)當按照認證基本規(guī)范、個人信息保護認證規(guī)則開展個人信息出境認證活動。其次，規(guī)范認證證書管理，明確認證證書出具、有效期及延期申請、信息報送等內(nèi)容。最后，規(guī)定專業(yè)認證機構(gòu)對認證證書的暫停與撤銷，以及重大情況報告制度?！掇k法》同時規(guī)定投訴舉報機制，明確任何組織和個人發(fā)現(xiàn)獲證個人信息處理者違反本辦法規(guī)定向境外提供個人信息的，都可向?qū)I(yè)認證機構(gòu)、網(wǎng)信部門和有關(guān)部門投訴、舉報，強調(diào)社會各主體在監(jiān)督方面的作用，以期最大程度保障個人信息跨境安全。此外，《辦法》還規(guī)定中國境外的個人信息處理者通過其在境內(nèi)設(shè)立的專門機構(gòu)或指定代表協(xié)助，同樣可以申請個人信息出境認證，為個人信息保護認證申請?zhí)岢隽司哂嗅槍π浴⒉僮餍缘闹敢?/p>

《辦法》的出臺是我國個人信息出境領(lǐng)域立法和監(jiān)管體系的重要完善，標志著我國個人信息出境制度體系已構(gòu)建完成?！掇k法》結(jié)合我國認證制度與個人信息保護的相關(guān)法律規(guī)定，形成了一套契合中國國情、具有較強針對性和可操作性的個人信息出境認證制度。未來，隨著《辦法》的實施，我國個人信息跨境治理將邁向更高水平，在保障安全的基礎(chǔ)上促進個人信息高效跨境流動，進一步激發(fā)我國數(shù)據(jù)要素活力，為我國數(shù)字經(jīng)濟發(fā)展提供堅實基礎(chǔ)。

作者：丁曉東　中國人民大學法學院副院長、教授

來源：“網(wǎng)信中國”微信公眾號