《评估办法》（征求意见稿）第九条

出境数据存在以下情况之一的，网络运营者应报请行业主管或监管部门组织安全评估：

《评估指南》第二稿

4.3.2主管部门评估启动条件

国家网信部门、行业主管部门根据数据出境类型、数量、范围、重要程度等，酌情组织开展主管部门评估。具有下列情形之一的，国家网信部门、行业主管部门可启动主管部门评估：

（一）含有或累计含有50万人以上的个人信息；

a)      一年内出境的个人信息数量达到国家网信部门、行业主管部门上报要求的；

（二）数据量超过1000GB；

（三）包含核设施、化学生物、国防军工、人口健康等领域数据，大型工程活动、海洋环境以及敏感地理信息数据等；

b)      包含核设施、生物化学、国防军工、人口健康等领域数据，大型工程活动、海洋环境、敏感地理信息数据，以及其他重要数据的；

（四）包含关键信息基础设施的系统漏洞、安全防护等网络安全信息；

c)      涉及关键信息基础设施的安全缺陷、具体安全防护措施等网络安全信息的；

（五）关键信息基础设施运营者向境外提供个人信息和重要数据；

d)      关键基础设施运营者数据出境的；

（六）其他可能影响国家安全和社会公共利益，行业主管或监管部门认为应该评估。

e)      其他可能影响国家安全、经济发展和社会公共利益的；

f)       大量用户投诉、举报的；

g)      全国性行业协会建议的；

h)      其他经国家网信部门、行业主管部门认定有必要启动主管部门评估的。

序号

变化

《评估指南》

（第一稿）

《评估指南》

（第二稿）

1

增加对"境内运营"的阐释

3.2境内运营

网络运营者在中华人民共和国境内开展业务，提供产品或服务的活动。

注1：未在中华人民共和国境内注册的网络运营者，但在中华人民共和国境内开展业务，或向中华人民共和境内提供产品或服务的，属于境内运营。判断网络运营者是否在中华人民共和国境内开展业务，或向中华人民共和境内提供产品或服务的参考因素包括但不限于：使用中文；以人民币作为结算货币；向中国境内配送物流等。

注2：中华人民共和国境内的网络运营者仅向境外机构、组织或个人开展业务、提供商品或服务，且不涉及境内公民个人信息和重要数据的，不视为境内运营。

2

增加"重要数据"的例外情形

3.5重要数据

与国家安全、经济发展，以及社会公共利益密切相关的数据，具体范围参照附录A。

3.5重要数据

相关组织、机构和个人在境内收集、产生的不涉及国家秘密，但与国家安全、经济发展以及公共利益密切相关的数据(包括原始数据和衍生数据)。

注1：具体范围见附录A。

注2：经政府信息公开渠道合法公开的，不再属于重要数据。

3

增加"加工处理"的阐释

3.6加工处理

针对个人信息和重要数据实施的操作，包括个人信息和重要数据的收集、存储、访问、修改、转让、披露、匿名化、去标识化、恢复、删除、销毁等。

4

进一步解释"数据出境"的含义，列举数据出境的例外情形

3.6数据出境

将在中华人民共和国境内收集和产生的电子形式的个人信息和重要数据，提供给境外机构、组织、个人的一次性活动或连续性活动。

注：境外数据经由中华人民共和国中转，未经任何变动或加工处理的情形不属于数据出境。

3.7数据出境

网络运营者通过网络等方式，将其在中华人民共和国境内运营中收集和产生的个人信息和重要数据，通过直接提供或开展业务、提供服务、产品等方式提供给境外的机构、组织或个人的一次性活动或连续性活动。

注1：以下情形属于数据出境:

• 向本国境内，但不属于本国司法管辖或未在境内注册的主体提供个人信息和重要数据；
• 数据未转移存储至本国以外的地方，但被境外的机构、组织、个人访问查看的（公开信息、网页访问除外）；
• 网络运营者集团内部数据由境内转移至境外，涉及其在境内运营中收集和产生的个人信息和重要数据的。

注2：非在境内运营中收集和产生的个人信息和重要数据经由本国出境，未经任何变动或加工处理的，不属于数据出境。

注3：非在境内运营中收集和产生的个人信息和重要数据在境内存储、加工处理后出境，不涉及境内运营中收集和产生的个人信息和重要数据的，不属于数据出境。

5

细化安全评估流程，将安全自评估与主管部门评估流程分开阐述，具体变化如下：

1. 细化安全自评估的启动条件，划分了涉及多方主体时的评估责任

4.1自评估启动

网络运营者应在如下情况启动自评估：

a）产品或服务涉及向境外机构、组织或个人提供数据的；

b）已完成数据出境安全评估的产品或业务所涉及的数据出境，在目的、范围、类型、数量等方面发生较大变化、数据接收方变更或发生重大安全事件的。

4.2.2安全自评估启动条件

网络运营者应每年开展安全自评估，满足以下条件之一时启动评估：

a)   涉及数据出境的；

b)      关键信息基础设施运营者进行数据出境之前的；

c)   已完成数据出境安全自评估的产品或业务所涉及的个人信息和重要数据出境，在目的、范围、类型、数量等方面发生较大变化、数据接收方变更或发生重大安全事件的；

d)      按照行业主管或者监管部门要求启动的。

注1：当网络运营者的数据出境满足连续出境的条件时，视为一次出境行为，免于重复评估；

注2：连续出境是指数据出境的目的、接收方相同，范围、类型、数量不发生较大变化，且两次数据出境间隔不超过一年的。

注3：数据出境涉及多方主体的如：云服务、转包服务等，根据数据出境发起方，确定安全自评估责任主体。如：云服务客户主动要求云服务提供商进行数据出境的，由云服务提供商配合云服务客户开展安全自评估，且由云服务客户承担相应责任。如云服务提供商主动要求进行数据出境的，由云服务客户配合云服务提供商开展安全自评估，且由云服务提供商承担相应责任。

2. 细化安全自评估的具体流程

在数据出境安全自评估启动后，数据出境安全自评估工作组审查数据出境计划，对个人信息与重要数据依照流程进行评估，并形成评估报告。

数据出境满足上报要求的，评估报告应按要求报送国家网信部门、行业主管部门。

数据出境需获得国家网信部门、行业主管部门同意的，应在数据出境前将评估报告按要求报送国家网信部门、行业主管部门，并获得其同意。

对评估结果为可以出境的，依照出境计划进行出境，对评估结果禁止出境的，提出出境计划修改建议，业务部门修改出境计划，降低数据出境安全风险后，重新进行评估。

3. 规定安全自评估报告的保存时间及需上报的情形

4.5评估报告

网络运营者在完成对数据出境计划的评估后，应形成评估报告，评估报告应至少保存5年。

4.2.6安全自评估报告

网络运营者在完成数据出境安全自评估后，应形成安全自评估报告。安全自评估报告内容应包括但不限于：安全自评估对象基本情况、安全自评估组织实施情况、安全自评估结果、数据出境安全风险点、检查修正建议。安全自评估报告应至少保存2年，并在如下情况下将安全自评估报告上报行业主管部门，行业主管部门不明确的，报国家网信部门。

a)   关键信息基础设施运营者开展的安全自评估；

b)   一年内出境的个人信息数量达到国家网信部门、行业主管部门上报要求的；

c)   包含核设施、生物化学、国防军工、人口健康等领域数据，大型工程活动、海洋环境敏感地理信息数据，以及其他重要数据的；

d)   涉及关键信息基础设施的安全缺陷、具体安全防护措施等网络安全信息的；

e)   其他可能影响国家安全、经济发展和社会公共利益的。

4. 新增主管部门评估的启动条件

4.3.2主管部门评估启动条件

国家网信部门、行业主管部门根据数据出境类型、数量、范围、重要程度等，酌情组织开展主管部门评估。具有下列情形之一的，国家网信部门、行业主管部门可启动主管部门评估：

a)   一年内出境的个人信息数量达到国家网信部门、行业主管部门上报要求的；

b)      包含核设施、生物化学、国防军工、人口健康等领域数据，大型工程活动、海洋环境、敏感地理信息数据，以及其他重要数据的；

c)   涉及关键信息基础设施的安全缺陷、具体安全防护措施等网络安全信息的；

d)      关键基础设施运营者数据出境的；

e)      其他可能影响国家安全、经济发展和社会公共利益的；

f)   大量用户投诉、举报的；

g)   全国性行业协会建议的；

h)   其他经国家网信部门、行业主管部门认定有必要启动主管部门评估的。

注：数据出境涉及多方主体的，如：云服务等，根据数据出境发起方，确定主管部门评估责任主体。

5. 细化主管部门评估的具体流程

在数据出境主管部门评估启动之后，国家网信部门、行业主管部门确定主管部门评估范围，制定主管部门评估方案，并成立主管部门评估工作组。

网络运营者按要求向主管部门评估工作组提交相关材料，材料包括安全自评估报告以及相关证明资料等。

主管部门评估工作组根据主管部门评估方案，通过远程检测、现场检查等方式进行主管部门评估并形成主管部门评估报告。

专家委员会对主管部门评估工作组做出的主管部门评估报告、安全自评估报告进行审议并给出是否同意数据出境的建议。

国家网信部门、行业主管部门根据专家委员会建议做出决定。

6

调整评估要点，细化个人数据出境的个人主体同意要求

合法正当；风险可控

（数据出境目的）合法性、正当性和必要性；数据出境安全风险

注1：拨打国际及漫游电话、发送国际电子邮件、进行国际即时通信、通过互联网进行跨境交易以及其他个人主动行为，视为个人信息主体已经同意。

注2：将合法向社会公开披露的个人信息出境，视为个人信息主体已经同意。

注3：网络运营者在取得个人信息主体同意前，应将数据出境目的、类型、数据接收方情况及数据出境可能存在的风险，网络运营者的联系人及其联系方式等信息明确告知个人信息主体。

注4：当网络运营者隐私规则发生变更、数据出境目的、范围、类型、数量发生较大变化、数据接收方发生变更或数据出境风险发生较大变化时应重新取得个人信息主体同意。