本条明确了《个人信息出境办法》（征求意见稿）的立法目的和制定依据。

相较于《个人信息和重要数据出境办法》（征求意见稿），本办法可喜的变化在于将个人信息和重要数据出境区别对待。相较于重要数据出境主要影响国家安全、网络空间主权和社会公共利益，个人信息出境更多地影响个人信息的安全。因此，从立法目的的对比看，本办法重点在于保障出境的个人信息的安全；从制定依据的对比看，本办法主要上位法在于《网络安全法》，不再强调《国家安全法》同时作为上位法。

本条明确了个人信息的出境安全评估要求和不得出境的情形。

从出境安全评估要求看，主要包括三个要点：第一个要点，适用主体，网络运营者。关于网络运营者的定义，本办法第二十一条第一项进行了规定，此处不再赘述；第二个要点，地域和行为要求，中华人民共和国境内运营中收集个人信息；第三个要点，不同规定的适用关系，国家关于个人信息出境另有规定的，从其规定。对于特殊行业收集的个人信息出境有特殊规定的，应按照其特殊规定适用。

从不得出境的情形看，主要包括三种情形：第一种情形，可能影响国家安全、损害公共利益的，不得出境。大数据时代，个人信息的跨境流通和共享有助于充分挖掘数据的价值，但个人信息出境的最底线要求，就在于不得影响国家安全和损害公共利益。第二种情形，难以有效保障个人信息安全的，不得出境。个人信息的利用和保护需要平衡，个人信息使用的基本要求就在于保护个人信息的安全。应用到个人信息出境的场景，最基本的要求同样在于保障个人信息安全。第三种情形，国家关于个人信息出境另有规定的，从其规定。对于特殊行业有其他不得出境的情形要求的，按照其规定执行。

本条明确了个人信息出境的报请评估要求、评估次数要求和重新评估情形要求。

从报请评估要求看，相较于《个人信息和重要数据出境办法》（征求意见稿）规定的自行评估和六种情形下报请评估要求不同，本办法直接明确只要涉及个人信息出境均应报请所在地省级网信部门评估。值得探讨的是，网络运营者所在地分布在不同的省或直辖市且均涉及个人信息出境的情况下，所在地以网络运营者住所地认定集中进行报请评估还是按照不同所在地分别报请评估？实践中大量企业涉及个人信息的出境，全部需要报请评估且集中在省级网信部门评估，即使本办法第五条明确省级网信部门组织专家或技术力量进行具体评估，省级网信部门现有的人员配置能否满足评估的组织需要？

从评估次数要求看，区分的点在于接收者是否相同，主要包括两种情形：第一种情形，向不同的接收者提供个人信息应当分别申报安全评估。该等情形背后的考虑因素主要在于不同的接收者接受个人信息的目的、类型和保存时间不同，个人信息保护能力和采取的措施不同，是否存在损害个人信息主体合法权益的历史、是否发生过重大网络安全事件不同，适用的法律法规也可能有所不同。第二种情形，向同一接收者多次或连续提供个人信息无需多次评估。该等情形主要考虑实践中普遍存在向同一接收者多次或连续提供个人信息的情形，如果每次提供个人信息均需报请评估，将增加网络运营者的负担、降低商业合作的效率和提高省级网信部门的评估负担。但需要指出的是，向同一接收者多次或连续提供个人信息并非评估一次就"一劳永逸"，需要遵循本条第三款规定的重新评估情形要求。

从重新评估情形要求看，主要包括常规频率要求和特殊情形要求。常规频率要求即每2年重新评估；特殊情形要求即个人信息出境目的、类型和境外保存时间发生变化，该等情形对个人信息的安全风险、对国家安全和社会公共利益的影响可能产生重要变化，因此需要重新评估。但值得商榷的是，如何认定出境目的、类型和境外保存时间发生变化？只要发生任何变化均需重新评估还是需要发生实质变化才需重新评估？如何把握变化的尺度？网络运营者自行判断还是网信部门判断？前述问题，有待进一步明确。

本条明确了个人信息出境评估需提交的申请材料要求。

申请材料要求主要包括申请材料具体内容和材料真实性、准确性要求两个要点。

第一个要点，申请材料具体内容要求。本条明确了四项内容，其中需要指出的是第二项和第三项材料。第二项，网络运营者与接收者签订的合同，本办法第十三条-第十六条明确了对合同的要求；第三项，个人信息出境安全风险及安全保障措施分析报告，本办法第十七条明确了对分析报告的要求。

第二个要点，申请材料真实性、准确性要求。主要强调网络运营者对申报材料的责任，不得提交虚假、片面、有瑕疵的申请材料。

本条明确了个人信息出境评估的程序要求和时间要求。

从程序要求看，省级网信部门负责收取申报材料、核查材料完备性和组织专家或技术力量进行安全评估，具体评估工作由专家或技术力量进行。

从时间要求看，原则上应在15个工作日内完成，情况复杂的可以适当延长。需要探讨的问题在于，15个工作日的起算时间，是从收到申报材料起算还是从核查完毕材料的完备性起算？如果从核查完毕材料的完备性起算，核查材料完备性的时间要求？情况复杂如何认定？适当延长的期限为多久？前述问题，有待进一步明确。

本条明确了个人信息出境评估的重点评估内容。

重点评估内容涵盖了国家规定的遵守、合同条款内容、合同执行、网络运营者和接收者的"黑历史"情况、个人信息来源的合法正当性和其他内容。其中第四项和第五项的要求需要重点关注。

第四项，即网络运营者和接收者的"黑历史"情况，意味着如果网络运营者和接收者历史上存在过损害个人信息主体合法权益的历史和重大网络安全事件，将会影响其后续的个人信息出境的开展。对于网络运营者而言，不仅需要注意自身落实好网络安全要求和个人信息保护要求，还需要关注接收者的网络安全要求和个人信息保护落实情况。对于接收者存在"黑历史"的情况，审慎考虑是否开展或者继续进行个人信息传输的合作。

第五项，即个人信息来源的合法正当性，意味着网络运营者需要遵循《网络安全法》第四十一条等相关法律法规和参照《个人信息安全规范》等国家标准的规定，不论是直接获取个人信息还是间接获取个人信息，均需获得用户的同意，通过正当途径获取。

本条明确了个人信息出境评估结论的通报要求和异议申诉规定。

省级网信部门负责出境安全评估，其评估结论通报网络运营者的同时报国家网信部门，有助于国家网信部门及时了解并统筹把握出境安全评估事宜。对于网络运营者而言，对省级网信部门的安全评估结论存在异议的，可以向国家网信部门申诉，为网络运营者的权益增加了程序保障。但本条并未明确提出申诉的时间要求和申诉处理的时间要求，需要进一步明确。

本条明确了个人信息出境记录要求。

出境记录包括两个要点，内容要求和时间要求。

第一个要点，内容要求，日期时间、接收者的身份、个人信息类型及数量、敏感程度等。主要强调个人信息出境的有迹可循，方便网络运营者自主统计查询出境情况，也有利于网信部门等主管部门更好地检查个人信息出境情况。

第二个要点，时间要求，至少保存5年。5年是最低保存期限，也是个人信息出境后比较可能出现风险和安全事件的期限，因此本条提出了个人信息出境记录至少保存5年的要求。

本条明确了个人信息出境年度报告要求和较大数据安全事件报告要求。

从个人信息出境年度报告要求看，具体包括三个要点：第一个要点，报告时间，每年12月31日前；第二个要点，报告内容，本年度个人信息出境情况、合同履行情况等；第三个要点，所在地省级网信部门。年度报告的实行将有助于网信部门有效掌握单个网络运营者年度的整体数据出境情况和合同的执行情况，以便开展后续的监督检查等工作。

从较大数据安全事件报告要求看，主要强调报告的及时性和报告部门为所在地省级网信部门。

本条明确了个人信息出境的事中事后监督规定。

申报评估作为个人信息出境的事前监管要求，能够从源头上把控个人信息出境的安全风险；事中事后的监督检查要求，能够及时发现个人信息出境实际履行中和履行后的风险和安全事件，采取有效措施处置风险和安全事件，最大程度上降低损失。需要指出的是，本条明确了通过网络运营者督促接收者整改的要求，旨在应对网信部门无法管辖接收者的影响。

本条明确了暂停或终止个人信息出境的情形。

三种暂停或终止个人信息出境的情形，能够有效督促网络运营者和接收者加强个人信息安全保障，确保个人信息主体在数据出境后能够维护个人合法权益。更为重要的是，能够增强对境外接收者的监督，如果境外接收者基于境内网信部门无权管辖而拒不履行个人信息安全保护和维护个人信息主体合法权益的责任，网信部门有权基于本条规定要求暂停或终止个人信息出境。

本条明确了举报违规个人信息出境的规定。

举报规定具体包括两个要点。第一个要点，举报人，任何个人和组织，意味着举报主体没有设置限制。第二个要点，举报部门，省级以上网信部门或者相关部门。这里的相关部门，宜理解为行业主管部门、公安部门、国安部门等。

本条明确了个人信息出境合同内容的要求。

合同主要内容包括六项，其中五项为必备内容，一项为网络运营者和接收者的自主决定内容。对于五项必备内容，主要规定了个人信息出境的重要内容、个人信息主体权益损害救济保障、个人信息出境后法律环境变化的应对措施和合同终止后个人信息主体权益的保障。

从个人信息主体权益损害救济保障看，规定了个人信息主体救济损害的基础、救济方式、索赔责任主体和证明责任划分四个要点。第一个要点，个人信息主体救济损害的基础，个人信息主体是合同中涉及个人信息主体权益的条款的受益人，保障个人信息主体有权在合同的相对性之外基于合同的约定提起损害救济的主张；第二个要点，救济方式，自行或者委托代理人，意味着个人信息主体可以自行或委托律师等代理人提起救济主张；第三个要点，索赔责任主体，向网络运营者或者接收者或者双方索赔，意味着个人信息主体的索赔主体由其自行选择，可以根据索赔便利程度、索赔效果等进行选择。对于网络运营者而言，即使是接收者的过错其也可能面临个人信息主体的索赔，督促其更好地通过合同等督促接收者履行个人保护义务；第四个要点，证明责任划分，除非证明没有责任。这里采用了过错推定的责任划分，意味着网络运营者或接收者要想免于承担索赔责任，需要提供个人信息出境记录、个人信息安全保护措施、督促对方履行保护义务的证据等充分证明其已按照法律法规和合同约定履行个人信息安全保护义务等职责。

从个人信息出境后法律环境变化的应对措施看，主要在于防止境外法律法规政策等变化导致个人信息出境和个人信息保护的不确定性造成的不利影响。从境内法律环境看，个人信息保护的基本方向在可预见的短期内不会发生变化，但境外的法律环境，存在政党变更、贸易摩擦等诸多不确定性，因此，变化的可能性随时存在。基于此，本条要求在个人信息出境后法律环境发生变化导致合同难以履行的情况下，网络运营者有权选择是否终止合同或者重新进行安全评估，将主动权掌握在了网络运营者的手中，也能够为网信部门加强监管提供便利条件。

从合同终止后个人信息主体权益的保障看，合同中涉及个人信息主体合法权益有关条款规定的网络运营者和接收者的责任和义务具有独立性，不因合同的终止而终止，能够确保合同终止后个人信息的安全保护，避免在合同终止后已经出境的个人信息失去应有的保护而加大个人信息安全风险。这里也明确了例外要求，即接收者已经销毁了接收到的个人信息或作了匿名化处理，该等情形下，无法再识别到个人信息主体，有效降低了个人信息的安全风险。

本条明确了合同中网络运营者的责任和义务。

网络运营者的责任和义务包括三项：

第一项，对个人信息主体的告知义务。具体包括两个要点：第一个要点，告知的方式，电子邮件、即时通信、信函、传真等方式。这里并未明确将隐私政策列入在内，如果从狭义的角度理解，隐私政策和电子邮件、即时通信、信函、传真并非同类告知途径，至少其时效性和针对性存在区别。从可操作性看，对于用户量大、个人信息出境涉及的用户量大的网络运营者，电子邮件、即时通信似乎更易于操作。这里的"即时通信"，宜理解为群发消息、站内信等。

第二项，应请求提供合同副本的义务。从可执行性角度，该项义务要求值得进一步探讨。很多企业个人信息主体众多，大量请求提供合同副本会给网络运营者造成繁重的负担。而且，从提供副本的形式看，是提供扫描件还是需要纸质复印件？此外，合同除了必备内容外，会涉及网络运营者的商业合作条款，该等条款一般不宜对外公开，网络运营者提供副本时是否可以对商业条款等非个人信息主体权益保护条款进行脱敏？

第三项，转达个人信息主体诉求和先行赔付义务。从便利性角度，网络运营者联系接收者更为便利，个人信息主体的诉求通过网络运营者能够更快速的到达接收者。先行赔付的要求，保障了个人信息主体索赔的有效实施，加重了网络运营者的责任承担。因接收者抗辩、资金紧张、外汇管制等原因，个人信息主体不能从接收者获得赔偿的情形应该会经常发生。当然，为了保护网络运营者的权益，网络运营者应该在合同内明确约定，如果因接收者的责任导致个人信息主体索赔且网络运营者进行了先行赔付，网络运营者有权向接收者索赔。

本条明确了合同中接收者的责任和义务。

接收者的责任和义务包括三项：

第一项，个人信息主体权利保障，具体指向访问、变更或删除的权利。《网络安全法》等法律法规和相关规定明确了网络运营者应保障个人信息主体行使访问、变更或删除个人信息的权利。个人信息出境后，为了保障个人信息主体权利的行使不因出境而受到影响，本项提出了该等保障要求。当然，本项也规定了权利行使的限制，即合理的代价和时限，如果响应个人信息主体的权利主张需要花费较大代价，可以不予响应或合理收取费用等。

第二项，个人信息使用和保存期限要求。按照约定的目的使用个人信息，按照约定的期限保存个人信息，能够有效保障个人信息的安全可控，降低发生个人信息安全事件的风险。

第三项，法律环境发生变化的及时通知义务。本项与第十三条第四项结合，能够确保网络运营者和网信部门及时掌握接收者所在国家和地区法律环境发生变化的情况，及时评估该等变化对合同履行的影响。

本条明确了接收者将接收到的个人信息传输给第三方的限制。

本办法原则上要求接收者不得将接收到的个人信息传输给第三方，但同时设置了可以传输给第三方的四项要求，涉及网络运营者的义务要求、接收者的义务要求和网络运营者的责任承担。

第一项，网络运营者的告知义务，告知内容为将个人信息传输给第三方的目的、第三方的身份和国别，以及传输的个人信息类型、第三方保留时限等，告知方式为电子邮件、即时通信、信函、传真等方式。

第二项，接收者的义务要求，包括响应个人信息主体请求停止传输请求义务和要求第三方销毁已经接收到的个人信息义务。从操作难度看，后者的难度更高，如何确保第三方销毁也是需要解决的问题。

第三项，个人敏感信息传输第三方的明确同意要求。因个人敏感信息一旦泄露等造成的损失更严重，因此本项要求对个人敏感信息提出了明确同意的要求。

第四项，网络运营者的责任承担。因向第三方传输个人信息对个人信息主体合法权益带来损害，网络运营者同意先行承担赔付责任，意味着网络运营者对于个人信息出境不仅需要承担接收者可能造成的损失，如果同意向第三方传输还需先行承担第三方可能造成的损失。从实践角度，网络运营者向第三方追偿损失的难度会比较高，且对第三方的监督控制措施更加有限，导致的结果可能就是出于网络运营者的阻力，向第三方传输会受到限制。

本条明确了个人信息出境安全风险及安全保障措施分析报告的内容要求。

分析报告的内容包括三项：

第一项，网络运营者和接收者的基本情况，重点围绕背景、规模、业务、财务、信誉、网络安全能力，从主体角度评估出境安全风险。

第二项，个人信息出境计划，包括持续时间、涉及的个人信息主体数量、向境外提供的个人信息规模、个人信息出境后是否会再向第三方传输等，主要涉及出境的重点情况。

第三项，风险分析和保障措施，主要在于从事前角度预判可能出现的风险，对于可能出现的风险能够采取的措施，并需审慎判断该等措施能否有效防范可能出现的风险。

本条明确了违规个人信息出境的法律责任。

本条并未直接规定违规个人信息出境的具体法律责任，而是指向了有关法律法规。这里的法律法规，主要指向《网络安全法》、《国家安全法》等法律法规。

本条明确了境外网络运营者承担责任和义务的方式。

本条具体包括三个要点。第一个要点，适用对象为通过互联网等收集用户个人信息的境外机构；第二个要点，其收集的个人信息来源于境内用户；第三个要点，其承担责任和义务方式为通过境内法定代表人或者机构履行网络运营者的责任和义务。本条规定通过境外机构的境内法定代表人或境内机构间接实现了监管部门对通过互联网等收集境内个人信息的境外机构的管辖。但本条中所提及的境外机构的境内机构，所指向的对象是其境内主体、子公司还是办事处等其他机构，有待进一步明确。

本条明确了本办法下"网络运营者"、"个人信息"、"个人敏感信息"的定义。

从网络运营者的定义看，作为《网络安全法》的配套办法，网络运营者的定义延用了《网络安全法》、《个人信息和重要数据出境办法》（征求意见稿）的有关规定，将几乎涉及网络产品服务的所有主体都纳入了网络运营者的范畴。

从个人信息的定义看，本办法中个人信息的定义亦沿用了《网络安全法》和《数据安全管理办法（征求意见稿）》的有关规定，基本覆盖了实践中网络运营者可能收集的个人信息范畴。

从个人敏感信息看，在《网络安全法》和《个人信息和重要数据出境办法》（征求意见稿）未对个人敏感信息进行定义的情况下，本办法中个人敏感信息的定义则并未完全沿用《信息安全技术个人信息安全规范》（草案）的相关规定。一旦被泄露、窃取、篡改、非法使用可能危害个人信息主体人身、财产安全，或导致个人信息主体名誉、身心健康受到损害等的个人信息都属于本办法所称的"个人敏感信息"。

本条明确了《个人信息出境办法（征求意见稿）》正式生效的具体时间。考虑到目前本规定仅处于征求意见稿阶段，具体实施时间有待正式稿出台时进一步明确。