2017年6月1日《网络安全法》（以下简称《网安法》）的颁布后, 数据出境合规成为了被广泛关注的问题，然而该法中对于个人信息出境评估的要求仅针对关键信息基础设施的运营者(“CIIO”)¹，并未对非CIIO向境外提供个人信息提出监管要求。

此后, 国家互联网信息办公室于2021年依次发布的《数据出境安全评估办法（征求意见稿）》以及《网络数据安全管理条例(征求意见稿)》²中, 进一步扩大了数据出境需要进行安全评估的范围, 将出境数据中包含重要数据或者处理个人信息达到一百万人的个人信息处理者纳入了安全评估的范围，尽管当时这两个文件还是征求意见稿，但足见监管部门对于数据出境的监管范围在逐步扩大。

2021年施行的《数据安全法》对于CIIO在境内存收集和产生的重要数据的出境安全管理提出监管要求，由于该法在立法层面更多的是维护国家主权、安全和发展的利益，因此更侧重对涉及国家安全、社会稳定的重要数据提出监管要求。

《个人信息保护法》（以下简称《个保法》）于2021年8月正式出台。其中第38条规定，个人信息处理者因业务需要, 向境外提供个人信息的需要具备以下条件之一：

而在《个保法》第55条, 进一步将个人信息出境规定为必须事前进行个人信息保护影响评估的情形之一。

尽管《个保法》明确提出了个人信息出境的三条路径，即安全评估、保护认证和标准合同，但在《个保法》出台的时候, 国家网信部门尚未发布正式的安全评估办法，如何进行个人信息保护认证以及标准合同模板也都没有明确。而《信息安全技术 个人信息安全规范》中对于个人信息跨境传输，也仅仅规定了“在中华人民共和国境内运营中收集和产生的个人信息向境外提供的，个人信息控制者应遵循国家相关规定和相关标准的要求”。在这个阶段，尽管监管部门对个人信息出境的合规义务已经建立了法律层面的依据，但企业的实务操作还存在很多不明确的地方。

此后，在《个保法》的基础上，三条个人信息出境路径具体的合规要求逐渐明确：2022年6月24日, 全国信息安全标准技术委员会（以下简称“信标委”）发布了《网络安全标准实践指南—个人信息跨境处理活动安全认证规范》（以下简称《认证规范1.0》），为企业采取认证途径进行个人信息出境的提供了相关认证合规要求的依据。在发布《认证规范1.0》正式稿不到五个月时间，信安标委又将1.0版本升级到了2.0版本，2022年11月8日，再次发布《网络安全标准实践指南 个人信息跨境处理活动安全认证规范（征求意见稿）》（以下简称《认证规范2.0（征求意见稿）》）。

在标准合同方面，6月30日, 网信办发布《个人信息出境标准合同规定（征求意见稿）》（以下简称《标准合同规定》），并通过附件公布了个人信息处理者和境外数据接收方签订的标准合同模板。

2022年7月7日，网信办进一步发布了《数据出境安全评估办法》（《评估办法》），明确了数据处理者向境外提供数据时适用国家网信部门评估的情形、内容、流程等，其中明确规定了CIIO以及处理100万以上个人信息处理者向境外提供个人信息，以及自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者向境外提供个人信息的，应当申报数据出境安全评估。

从个人信息出境监管规制的历程来看，自《网安法》出台以来，立法机构及有关监管部门也在逐步在建立和个人信息出境相关的法律、法规和监管规则及标准。至今，以《网安法》、《数安法》和《个保法》“三驾马车”为基础的个人信息出境监管体系已经形成，企业应当结合自身的业务情况、数据传输情况，按照相关规定履行个人信息出境的合规要求。

从现有法律框架看，我国个人信息有三条出境途径：

其中，安全评估强制适用于CIIO和处理个人信息达到规定数量的公司的个人信息出境活动；标准合同及认证都仅适用于未达安全评估标准的个人信息出境活动。

对于个人信息处理者而言，无论采取那种路径出境，以下三个工作都是必须进行的：

我们理解，个人信息保护影响评估主要以《个保法》为依据，衡量数据处理活动是否会对个人信息主体的权益造成影响，而企业申请安全评估方式出境的数据不仅仅包括个人信息，也包括重要数据；此外，企业是否开展个人保护影响评估应当是自评估的范围，用以说明数据处理者数据安全保障能力情况。

对于企业而言，在开展个人信息出境活动时，应当参考以下合规流程：

个人信息保护影响评估在一定条件下应重新进行，此外数据出境安全评估结果的有效期也只有2年，并且发生一定情形时还应当重新申报等等，企业应持续关注这些合规义务，注意识别是否发生相应应重新评估或申报的条件，也应持续监督境外接收方的个人信息处理活动，以及监管部门是否提出个人信息出境的补充合规要求。

如个人信息处理者需要通过国家网信部门的安全评估进行出境的，应当在申报数据出境安全评估前，应当开展数据出境风险自评估，自评估重点评估内容如下：

通过对比评估范围，网信部门所组织的安全评估相比自评估而言，安全评估还会对“境外接收方所在国家或者地区的数据安全保护政策法规和网络安全环境对出境数据安全的影响”，我们理解，网信部门还将从宏观角度考虑境外接收方的国家的法律政策环境以及该国的网络安全环境对数据安全、国家安全的影响。尽管这一评估要点并没有在《认证规范》第5条中明确，但《数据出境安全评估申报指南》自评估报告模板中，对于境外接收方情况的描述要求中第4点就是“境外接收方所在国家或地区数据安全保护政策法规和网络安全环境情况”。因此，我们认为在企业进行自评估的时候还是应当将境外接收方宏观的法律及网络安全环境纳入评估范围中。

2022年6月5日国家市场监督管理总局、国家互联网信息办公室颁布《数据安全管理认证规则》，主要是依据GB/T 41479《信息安全技术 网络数据处理安全要求》及相关标准规范对数据安全管理体系进行认证，而本次发布的《个人信息保护认证实施规则》的认证依据有两个，包括GB/T 35273《信息安全技术个人信息安全规范》以及TC260-PG-20222A《个人信息跨境处理活动安全认证规范》，前者是国家标准，而后者是由全国信息安全标准化技术委员会组织制定和发布。

事实上，在实践中很多企业为履行《个保法》的合规义务，在个人信息保护合规体系具体的搭建过程中，参考最多的也是GB/T 35273《信息安全技术个人信息安全规范》，因此发布的认证规则，相当于建立了通用的个人信息保护认证制度。而由于《个保法》中对于个人信息出境另外提出了认证途径，我们理解，个人信息出境的认证活动是通用个人信息保护认证制度的补充，也为企业个人信息出境认证活动的开展提供了明确的规则依据。

具体到个人信息跨境认证要求来看，结合《认证规范1.0》和《认证规范2.0（征求意见稿）》来看，认证的适用范围的表述有所变化：在1.0版中，第1条适用情形有两种，一种是跨国公司或同一经济、事业实体内部的个人信息跨境处理活动，比如跨国公司内部的员工个人信息跨境传输，而第二种是境外主体向境内自然人提供服务的情形；而在2.0版本中，适用情形放宽到适用于个人信息处理者开展个人信息跨境处理活动，并没有具体约束仅限上述两种情况。但在第二条的认证主体中，第一款规定具有法人资格的主体均可以；第二款和第三款则是针对之前适用范围的两类对象，进一步明确了申请认证的主体，这种特别提示足见其特殊性。

2022年6月30日，网信办发布《个人信息出境标准合同规定（征求意见稿）》及个人信息出境标准合同。

尽管采取标准合同进行出境无须向网信部门申请安全评估，但个人信息处理者的合规义务并不会因此而降低，仍然需要履行《标准合同》中明确规定的义务，比如履行告知同意的义务、确保境外接收方采取相应的技术和管理措施履行合规义务、开展个人信息保护影响评估等。根据《标准合同规定征求意见稿》第7条，个人信息处理者应当在标准合同生效之日起10个工作日内，向所在地省级网信部门提交标准合同和个人信息保护影响评估报告，以进行备案。除备案以外，监管部门仍然会持续关注境外个人信息处理活动的情况，个人信息处理者也应及时答复来自监管机构关于境外接收方的个人信息处理活动的询问。