中經(jīng)記者 曲忠芳 北京報道

國家互聯(lián)網(wǎng)信息辦公室、國家市場監(jiān)督管理總局近日聯(lián)合發(fā)布了《個人信息出境認證辦法》（以下簡稱“《辦法》”），旨在保護個人信息權(quán)益，規(guī)范個人信息出境認證活動，促進個人信息高效安全跨境流動?！掇k法》將于2026年1月1日起正式施行。

對此，北京高勤律師事務(wù)所合伙人、律師王源向《中國經(jīng)營報》記者指出，在《辦法》出臺后，結(jié)合2022年9月起施行的《數(shù)據(jù)出境安全評估辦法》和2023年6月生效的《個人信息出境標(biāo)準(zhǔn)合同辦法》，《個人信息保護法》規(guī)定的個人信息跨境提供的三大規(guī)則——安全評估、標(biāo)準(zhǔn)合同、認證制度全部得到完善和細化，個人信息跨境制度的“拼圖”得以補齊，標(biāo)志著我國數(shù)據(jù)跨境流動制度體系的全面建立。

“認證”是國際互認的主流工具

國家互聯(lián)網(wǎng)信息辦公室有關(guān)負責(zé)人表示，《辦法》確立了個人信息出境的新方向?！罢J證”成為個人信息出境的合法途徑之一，是因為它把跨境傳輸所需的適當(dāng)保障具體化為“經(jīng)認可第三方審核+持續(xù)監(jiān)督+對數(shù)據(jù)主體可執(zhí)行的承諾與救濟的組合”。

認證是國際經(jīng)貿(mào)領(lǐng)域監(jiān)管互認的主流工具。記者了解到，歐盟《通用數(shù)據(jù)保護條例》（GDPR）在第46條要求，當(dāng)個人數(shù)據(jù)處理者或控制者在向未獲“充分性認定”的第三國或國際組織進行個人信息傳輸時，必須提供適當(dāng)?shù)陌踩Ｕ洗胧渲芯桶℅DPR第42條規(guī)定的認證機制。為了便于落地，歐洲數(shù)據(jù)保護委員會于2022年專門發(fā)布了《認證作為跨境傳輸工具的指南》，對機制內(nèi)容作出細化。

我國《個人信息保護法》和《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例》同樣將“認證”作為個人信息出境的有效途徑之一。其中，《個人信息保護法》第三十八條明確了個人信息合規(guī)出境的路徑，按照國家網(wǎng)信部門的規(guī)定，經(jīng)專業(yè)機構(gòu)進行個人信息保護認證。

前述國家互聯(lián)網(wǎng)信息辦公室有關(guān)負責(zé)人表示，盡管中國和歐洲國家尚未達成關(guān)于數(shù)據(jù)充分性保護的協(xié)定，但“認證”作為國際上具有互信基礎(chǔ)的監(jiān)管工具，將有助于促進各國認證結(jié)果互認。

《辦法》全文共十九條，其中第五條明確了個人信息出境認證的適用情形：一是非關(guān)鍵信息基礎(chǔ)設(shè)施運營者；二是自當(dāng)年1月1日起累計向境外提供10萬人以上、不滿100萬人個人信息（不含敏感個人信息），或者不滿1萬人敏感個人信息、且向境外提供的個人信息中不包括重要數(shù)據(jù)。

專業(yè)機構(gòu)認證證書三年有效

關(guān)于個人信息出境的認證機構(gòu)，王源指出，目前還沒有認證機構(gòu)名單，但是可以參考近日發(fā)布的《通過個人信息保護合規(guī)審計服務(wù)認證的專業(yè)機構(gòu)名單（第一批）》中審計機構(gòu)名單，將來有資格開展出境認證的機構(gòu)應(yīng)該與該名單中的審計機構(gòu)大致相同。

與此同時，《辦法》明確規(guī)定，專業(yè)認證機構(gòu)應(yīng)當(dāng)按照認證基本規(guī)范、個人信息保護認證規(guī)則開展個人信息出境認證活動。符合認證要求的專業(yè)認證機構(gòu)應(yīng)當(dāng)及時出具認證證書。認證證書的有效期為3年。證書到期需繼續(xù)使用的，個人信息處理者應(yīng)當(dāng)在有效期屆滿前6個月提出認證申請。

記者了解到，國家認證認可監(jiān)督管理委員會于10月20日公示的“通過個人信息保護合規(guī)審計服務(wù)認證的專業(yè)機構(gòu)名單（第一批）”總共13家，包括國家計算機網(wǎng)絡(luò)與信息安全管理中心、中國信息通信研究院、北京銀聯(lián)金卡科技有限公司、上海市信息安全測評中心等，證書有效期是2025年10月至2028年10月。

值得注意的是，《個人信息保護法》明確了安全評估、個人信息保護認證、標(biāo)準(zhǔn)合同等個人信息出境制度。其中，“標(biāo)準(zhǔn)合同”和“認證”制度的適用范圍基本相同。清華大學(xué)法學(xué)院教授申衛(wèi)星指出，認證是針對特定處理活動的體系化“打包合規(guī)”，這與一次性簽約的“標(biāo)準(zhǔn)合同”不同。認證由經(jīng)認可的認證機構(gòu)持續(xù)監(jiān)督，且認證結(jié)果可撤銷，形成外部“合規(guī)張力”，幫助對外提供方在盡職調(diào)查與持續(xù)監(jiān)控上節(jié)省人力、事務(wù)成本，而不必反復(fù)做同質(zhì)化檢查。此外，通過“標(biāo)準(zhǔn)合同”途徑對外提供個人信息的，需要個人信息處理者在標(biāo)準(zhǔn)合同生效之日起10個工作日內(nèi)通過數(shù)據(jù)出境申報系統(tǒng)備案，這將促使頻繁向不同接收方提供個人信息的境內(nèi)主體選擇“認證”方式以減輕事務(wù)壓力。

對市場參與者的補充提示

關(guān)于《辦法》的適用，申衛(wèi)星提示注意的一點是，出境認證還可以適用于境外直接處理境內(nèi)自然人個人信息的企業(yè)。《辦法》對此專門規(guī)定，中華人民共和國境外的個人信息處理者申請個人信息出境認證的，應(yīng)當(dāng)由其在境內(nèi)設(shè)立的專門機構(gòu)或者指定代表協(xié)助進行申請，為境外個人信息處理者提供明確的操作指引。

值得一提的是，目前，天津、北京、上海、海南、浙江、廣西、江蘇、重慶發(fā)布了自貿(mào)區(qū)數(shù)據(jù)出境負面清單，詳細規(guī)定了當(dāng)?shù)刈再Q(mào)區(qū)數(shù)據(jù)出境（包括個人信息和重要數(shù)據(jù)）適用安全評估、標(biāo)準(zhǔn)合同備案、認證的當(dāng)?shù)靥厣袠I(yè)數(shù)據(jù)種類和個人信息數(shù)量，在上述區(qū)域注冊的公司應(yīng)當(dāng)按照自貿(mào)區(qū)的規(guī)定開展數(shù)據(jù)出境活動。王源解釋道，只要不構(gòu)成需要安全評估的情形，可以選擇適用通過標(biāo)準(zhǔn)合同備案或者認證開展出境活動的方式。沒有自貿(mào)區(qū)或者自貿(mào)區(qū)沒有規(guī)定的，適用《個人信息保護法》下的統(tǒng)一規(guī)則。

“即使通過出境認證，仍然需要獲得個人的單獨同意，并且進行個人信息保護影響評估。”王源補充提示道，在經(jīng)過個人信息保護影響評估后，才能判斷需要出境認證的情形。個人信息保護影響評估可以在公司內(nèi)部按照既定的流程自行開展，具體可以參考配套的國家標(biāo)準(zhǔn)《數(shù)據(jù)安全技術(shù) 個人信息跨境處理活動安全認證要求》（GB/T 46068-2025）。

（編輯：張靖超 審核：李正豪 校對：顏京寧）