向境外提供个人信息，合同很重要
《个人信息保护法》规定，个人信息处理者向境外提供个人信息，可以通过与境外接收方订立标准合同的方式实现合规。
标准合同，是数据出境的重要合规路径。
什么是标准合同？
标准合同 = 国家网信部门制定的个人信息出境标准合同。
2023年2月，国家网信办发布《个人信息出境标准合同办法》，并公布了标准合同范本。
标准合同的核心内容
1. 个人信息处理者的义务
- 向境外接收方提供个人信息的范围和目的
- 采取必要措施保护个人信息安全
- 告知个人信息主体并取得同意
- 建立个人信息保护机制
2. 境外接收方的义务
- 按约定目的处理个人信息
- 采取必要措施保护个人信息安全
- 不得向第三方提供个人信息
- 配合个人信息处理者的合规要求
3. 个人信息主体的权利
- 知情权
- 访问权
- 更正权
- 删除权
- 撤回同意权
4. 违约责任
- 违约的定义
- 违约的处理方式
- 赔偿责任
如何签订标准合同？
第一步：评估是否可以使用标准合同
适用条件：
- 非关键信息基础设施运营者
- 处理个人信息不满一百万人
- 累计向境外提供个人信息不满十万人
- 累计向境外提供敏感个人信息不满一万人
如果不满足条件，需要通过安全评估或认证。
第二步：准备材料
- 个人信息出境情况说明
- 个人信息保护影响评估报告
- 双方主体资格证明
第三步：签订合同
- 使用标准合同范本
- 双方签署
- 保留合同副本
第四步：备案
- 向所在地省级网信部门备案
- 提交合同和相关材料
- 等待备案结果
个人信息保护影响评估
签订标准合同前，需要进行个人信息保护影响评估，包括：
- 个人信息处理目的、方式是否合法、正当、必要
- 对个人权益的影响及安全风险
- 所采取的保护措施是否合法、有效并与风险程度相适应
注意事项
1. 合同不得修改核心条款
标准合同的核心条款不得修改，只能根据实际情况填写具体内容。
2. 及时备案
合同签订后，应当在10个工作日内向所在地省级网信部门备案。
3. 定期评估
定期评估个人信息出境情况，如情况变化，可能需要重新评估或采取其他合规方式。
一句话总结
向境外提供个人信息，可以签订标准合同。先评估是否适用，做个人信息保护影响评估，签订合同后及时备案。
标签： 数据安全、标准合同、数据出境、信息安全意识