个人信息出境标准合同办法

在选定标准合同路径前，书面确认同时满足第四条四项条件：非关键信息基础设施运营者；处理个人信息不满 100 万人；累计向境外提供个人信息不满 10 万人；累计向境外提供敏感个人信息不满 1 万人。四项中任一项不满足即须改走安全评估路径，事后补救成本极高。数量统计口径以令第16号第七条、第八条为准，按「自当年 1 月 1 日起累计」计（本办法第四条原文为「自上年 1 月 1 日起累计」，不一致时适用令第16号）。此外应单独确认出境数据不含重要数据——重要数据出境须走安全评估（《网络数据安全管理条例》第三十七条），这一点不在第四条四项条件之内，但同样是选路前必须排除的情形。

触发条件

所有拟通过标准合同出境个人信息的数据处理者。

做完之后应留存的证据

• · 路径选择判定书（逐项列出第四条四项条件的结论与依据）
• · 关键信息基础设施认定情况说明（是否收到认定通知）
• · 个人信息处理人数与累计出境人数的统计表与统计口径说明
• · 重要数据识别结论（证明出境数据不含重要数据）

首次达标投入估算：3–10 人日（估算，非承诺）

向境外提供个人信息前开展个人信息保护影响评估，重点评估办法第五条列举的事项，并与 PIPL 第五十五条、第五十六条的评估要求合并出具。评估报告与标准合同一并作为备案材料提交，也是后续监管核查的主要依据。

触发条件

所有走标准合同路径的企业。评估须覆盖境外接收方所在国家或地区的数据保护法律环境，这是最常被写得过于笼统的部分。

做完之后应留存的证据

• · 个人信息出境影响评估报告（含境外接收方所在法域法律环境分析）
• · 出境个人信息字段清单与最小必要性论证
• · 境外接收方安全能力尽调材料
• · 评估结论对应的风险缓解措施与实施证据

首次达标投入估算：8–20 人日（估算，非承诺）

第六条第一款：标准合同应当严格按照本办法附件订立；第二款：个人信息处理者可以与境外接收方约定其他条款，但不得与标准合同相冲突；第三款：标准合同生效后方可开展个人信息出境活动。国家网信部门可以根据实际情况对附件进行调整，因此签约前应确认使用的是现行有效版本。注意第三款的次序要求——先签署生效、再出境、再在 10 个工作日内备案，不能边传边补合同。

触发条件

与境外接收方签约的中国数据处理者。境外接收方常提出以自有 DPA 或欧盟 SCC 替代，这在中国法下不被接受。

做完之后应留存的证据

• · 已签署的标准合同（含双方签章页与附件）
• · 所用模板版本的来源说明与版本核对记录
• · 补充条款清单及与标准条款不冲突的法律意见
• · 境外接收方内部授权签署文件

首次达标投入估算：5–15 人日（估算，非承诺）

在标准合同生效之日起 10 个工作日内向所在地省级网信部门备案，提交标准合同与个人信息保护影响评估报告等材料。标准合同有效期内出现第八条所列情形的，应当重新开展个人信息保护影响评估，补充或者重新订立标准合同，并履行相应备案手续。

触发条件

所有已签署标准合同的企业。实务上最常见的重新备案触发点是新增出境目的或数据种类、更换境外接收方、以及境外接收方所在法域法律环境发生变化。

时限：标准合同生效之日起 10 个工作日内备案。

做完之后应留存的证据

• · 省级网信部门备案回执或系统提交记录（含提交时间）
• · 备案材料归档件（标准合同 + 影响评估报告）
• · 合同生效日与备案日的时间对照记录（证明在 10 个工作日内）
• · 重新评估与重新备案的触发判定与执行记录

首次达标投入估算：3–10 人日（估算，非承诺）