【中国数据保护】关于规范和促进跨境数据流动的规定（征求意见稿）

为维护国家数据安全，保护个人信息权益，根据有关法律，对《数据出口安全评估办法》和《个人信息出口标准合同办法》的实施作出如下规定，进一步规范和促进数据依法有序自由流动。

1.在国际贸易、学术合作或跨境制造和营销活动中出口的数据不包括个人信息或重要数据的，无需进行数据出口安全评估申报、签订标准的个人信息出口合同或通过个人信息保护认证。

2.相关部门未通知或公告为重要数据的，数据处理人员无需对重要数据进行数据出口安全评估申报。

3.向境外提供非本国收集或生产的个人信息，无需进行数据出境安全评估申报、签订标准的个人信息出口合同或通过个人信息保护认证。

4.有下列情形之一的，不需要进行数据出口安全评估申报，不需要签订标准的个人信息出口合同，也不需要通过个人信息保护认证：

•  必须根据需要在海外提供个人信息以签订或履行个人作为缔约方的合同，例如跨境购买、跨境汇款、航空和酒店预订以及办理签证；
• 根据依法制定的劳动规章制度和依法签订的集体合同，必须向境外提供内部员工的个人信息以进行人力资源管理的；
• 在紧急情况下必须在海外提供个人信息，以保护自然人的生命、健康和财产安全。

5.如果预计一年内将向海外提供1万以下个人信息，则无需进行数据出口安全评估申报、签订标准的个人信息出口合同或通过个人信息保护认证。但是，基于个人同意在境外提供个人信息的，应当征得个人信息主体的同意。

6.预计一年内将向境外提供1万至100万个人的个人信息，且已与境外接收方签订标准的个人信息出口合同并向省级互联网信息主管部门备案或通过个人信息保护认证的，可以放弃数据出口安全评估申报；凡个人个人信息在100万及以上的，应当进行数据出口安全评估申报。但是，基于个人同意在境外提供个人信息的，应当征得个人信息主体的同意。

7.自贸试验区可以自行制定需要纳入数据出口安全评估范围的数据清单（以下简称“负面清单”）、个人信息出口标准合同、个人信息保护认证，报省级网络安全和信息化委员会批准后，报国家互联网信息主管部门备案。

在出口负面清单之外的数据时，允许不进行数据出口安全评估声明、签订标准的个人信息出口合同或通过个人信息保护认证。

8.国家机关和关键信息基础设施运营商向境外提供个人信息和重要数据的，按照有关法律、行政法规和部门规章执行。

向境外提供涉及党、政府、军队和涉密单位的敏感信息或敏感个人信息的，应当依照有关法律、行政法规和部门规章的规定执行。

9.向境外提供重要数据和个人信息的数据处理人员应当遵守法律、行政法规，履行数据安全义务，确保数据导出的安全；发生数据出口安全事件或者发现数据出口安全风险增加的，应当采取补救措施，并向互联网信息部门报告。

10.各地方互联网信息部门应加强对数据处理人员数据导出活动的指导和监督，加强事前、事后和持续监管，发现数据导出活动存在较大风险或发生安全事件时，要求数据处理人员纠正并消除风险；如果拒绝更正或造成严重后果，他们将命令处理人员停止数据导出活动，并确保数据安全。

11.《数据出口安全评估办法》、《个人信息出口标准合同办法》等有关规定与本规定不一致的，按照本规定执行。