管我们估计该等适用范围的扩大可能会引起市场的强烈反响, 也将是征求意见反馈的异议热点二监管内容 - 不管你是什么数据评估办法第八九和十一条分别从评估内容需报请行业主管或监管部门评估的情形和不得出境的数据等方面对不同类型不同情形的数据跨境传输进行全方位的监管 1. 数据出境安全评估重点

Size: px

Start display at page:

Download "管我们估计该等适用范围的扩大可能会引起市场的强烈反响, 也将是征求意见反馈的异议热点二监管内容 - 不管你是什么数据评估办法第八九和十一条分别从评估内容需报请行业主管或监管部门评估的情形和不得出境的数据等方面对不同类型不同情形的数据跨境传输进行全方位的监管 1. 数据出境安全评估重点"

昶亮文
5 years ago
Views:

2017 年 4 月 13 日李朝应许莹王晨 2015 年 10 月 10 日数据出境不再任性 --- 深度评析个人信息和重要数据出境安全评估办法 ( 征求意见稿 ) 唐志华朱敏 2017 年 4 月 11 日, 国家网信办发布了个人信息和重要数据出境安全评估 ( 征求意见稿 ) ( 评估办法 ), 公开征求意见, 以完善即将于 2017 年 6 月 1 日生效的网络安全法作为

1 2017 年 4 月 13 日李朝应许莹王晨 2015 年 10 月 10 日数据出境不再任性 --- 深度评析个人信息和重要数据出境安全评估办法 ( 征求意见稿 ) 唐志华朱敏 2017 年 4 月 11 日, 国家网信办发布了个人信息和重要数据出境安全评估 ( 征求意见稿 ) ( 评估办法 ), 公开征求意见, 以完善即将于 2017 年 6 月 1 日生效的网络安全法作为网络安全法的重要配套文件之一, 评估办法意在具体落实网络安全法第三十七条规定的个人信息和重要数据出境安全评估虽然目前评估办法仅是征求意见稿, 但从其具体内容看, 数据跨境转移的监管重点已一览无遗一监管对象 - 不管你是什么企业本次评估办法明显扩大了数据出境安全评估义务人的范围网络安全法第三十七条规定, 关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储因业务需要, 确需向境外提供的, 应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估同时, 网络安全法对关键信息基础设施的范围在第三十一条也有限定, 即公共通信和信息服务能源交通水利金融公共服务电子政务等重要行业和领域, 以及其他一旦遭到破坏丧失功能或者数据泄露, 可能严重危害国家安全国计民生公共利益的关键信息基础设施据此, 网络安全法下的数据存储本土化和出境安全评估义务仅适用于运营关键信息基础设施的企业但是, 评估办法将数据存储本土化和出境安全评估的要求适用于所有网络运营者根据评估办法第二条, 网络运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据, 应当在境内存储因业务需要, 确需向境外提供的, 应当按照本办法进行安全评估此外, 评估办法第十六条要求其他个人和组织在中华人民共和国境内收集和产生的个人信息和重要数据出境的安全评估工作参照本办法执行虽然理论上, 本条规定对网络运营者之外的企业不具有直接的强制适用效力, 但从目前个人信息和重要数据跨境传输的立法趋势和监管态势来看, 被参照的个人和组织在同等或类似情形中显然是要被新规所覆盖的从评估办法的上述两条规定, 显而易见, 凡存在数据跨境传输行为的企业都有可能都被囊括在安全评估的监管范围之内, 这无疑将增加企业的合规成本和负担, 尤其是从事跨境的企业管理融资活动信息服务数据存储技术研发网络平台等行业或活动的企业, 将会受安全评估的严格监

2 管我们估计该等适用范围的扩大可能会引起市场的强烈反响, 也将是征求意见反馈的异议热点二监管内容 - 不管你是什么数据评估办法第八九和十一条分别从评估内容需报请行业主管或监管部门评估的情形和不得出境的数据等方面对不同类型不同情形的数据跨境传输进行全方位的监管 1. 数据出境安全评估重点评估办法第八条规定, 数据出境安全评估应重点评估以下内容 : 1) 数据出境的必要性 ; 2) 涉及个人信息情况, 包括个人信息的数量范围类型敏感程度, 以及个人信息主体是否同意其个人信息出境等 ; 3) 涉及重要数据情况, 包括重要数据的数量范围类型及其敏感程度等 ; 4) 数据接收方的安全保护措施能力和水平, 以及所在国家和地区的网络安全环境等 ; 5) 数据出境及再转移后被泄露毁损篡改滥用等风险 ; 6) 数据出境及出境数据汇聚可能对国家安全社会公共利益个人合法利益带来的风险 ; 7) 其他需要评估的重要事项对于个人信息出境, 评估办法要求网络运营者应向个人信息主体说明数据出境的目的范围内容接收方及接收方所在的国家或地区, 并经其同意未成年人个人信息出境须经其监护人同意除此之外, 评估办法第十二条要求, 当数据接收方出现变更, 数据出境目的范围数量类型等发生较大变化, 数据接收方或出境数据发生重大安全事件时, 应及时重新进行安全评估 2. 报请数据出境安全评估评估办法第九条规定, 出境数据存在以下情况之一的, 网络运营者应报请行业主管或监管部门组织安全评估 : 1) 含有或累计含有 50 万人以上的个人信息 ; 2) 数据量超过 1000GB; 3) 包含核设施化学生物国防军工人口健康等领域数据, 大型工程活动海洋环境以及敏感地理信息数据等 ; 4) 包含关键信息基础设施的系统漏洞安全防护等网络安全信息 ; 5) 关键信息基础设施运营者向境外提供个人信息和重要数据 ; 6) 其他可能影响国家安全和社会公共利益, 行业主管或监管部门认为应该评估安全评估应当于六十个工作日内完成, 并及时反馈网络运营者, 上报国家网信部门行业主管或监管部门不明确的, 由国家网信部门组织评估

3 3. 不得出境的数据评估办法在第十一条规定了几类不得出境的数据, 包括 : 1) 个人信息出境未经个人信息主体同意, 或可能侵害个人利益 ; 2) 数据出境给国家政治经济科技国防等安全带来风险, 可能影响国家安全损害社会公共利益 ; 3) 其他经国家网信部门公安部门安全部门等有关部门认定不能出境的评估办法的上述规定, 从评估的重点评估的方式, 到数据的性质信息的数量等角度, 在扩大评估适用义务人范围的基础上, 对跨境数据传输实施了几乎全覆盖的监管三责任承担 - 企业都得兜着评估办法第六七九和十二条规定了出境数据安全评估的具体方式在数据出境前, 企业应以自评为主一般情况下, 企业自行组织对数据出境进行安全评估, 对评估结果负责 ; 特殊情形下, 包括遇到上文提到的法定情形, 企业应报请行业主管或监管部门进行评估, 由监管部门决定是否可以出境我们认为, 这些规定释放了一个很明显的信号, 即安全评估相当强调企业的主体责任 : 对于一般情形 ( 第六条 ), 企业自行评估, 并对评估结果负责 ; 对于特定情形 ( 第九条 ), 企业应当主动报请有关部门参与评估企业显然被放在了一个第一责任人并担负主要评估责任的位置由此, 对企业而言, 在一般情形中, 如果未开展自行评估, 或在自行评估中存在任何隐瞒欺诈或造假行为, 或在特殊情形中, 如果未及时报请行业主管或监管部门进行评估而擅自开展数据跨境传输行为, 都会面临监管机构的整改要求, 甚至处罚四企业该怎么办? 评估办法对网络安全法中提及的部分概念性条款作了阐明和注释, 无疑对企业数据存储和跨境传输的合规性提供了进一步的指引但网络安全法中部分待明确的概念在评估办法中仍未解释清楚, 或者评估办法本身又引申出了一些待定问题例如, 重要数据, 在评估办法中, 被定义为与国家安全经济发展, 以及社会公共利益密切相关的数据, 但又将具体范围推给了不知何时出台的国家标准和识别指南再如, 关键信息基础设施运营者向境外提供个人信息和重要数据必须报请安全评估, 但是对关键信息基础设施的具体范围, 除了网络安全法中的列举描述和目前普遍参考的国家网络安全检查操作指南, 国务院也仍未正式出台相关文件, 评估办法也未提及再如, 评估办法规定未经个人信息主体同意的个人信息不得出境, 以何种方式才算有效获得了信息主体的同意? 这对信息主体覆盖面相当广的银行金融医疗健康互联网以及其他公共服务行业而言显得尤为重要随着网络安全法正式施行的临近, 这些概念的模糊不清将会对企业数据出境操作的合规带来不确定性, 也必然增加了企业的合规风险鉴此, 在网络安全法正式施行而配套规定尚未完善之际, 我们建议企业 : 1. 应尽早建立数据存储和跨境传输的内控政策以及出境安全的评估机制 ; 对已建立相应政策

4 和机制的企业, 则应根据评估办法的要求进行对照审查, 调整修改同时, 结合评估办法第八条规定的评估重点内容, 内部先行梳理出境数据的性质数量, 从管理业务市场融资等方面入手, 准备数据出境的必要性分析 2. 建设和完善信息保护和数据安全的软硬件设施, 了解数据出境目的地的网络安全状况, 确保与出境数据的境外接收方形成有效的联动机制 3. 尤为重要的是, 企业在发生跨境数据或信息传输前, 与行业主管或监管部门进行有效的沟通, 对可能的数据出境行为先行报备, 了解清楚出境数据的评估属于自我评估还是报请评估, 以大大减少数据传输的合规成本和风险

5 特别声明汉坤律师事务所编写汉坤法律评述的目的仅为帮助客户及时了解中国法律及实务的最新动态和发展, 上述有关信息不应被看作是特定事务的法律意见或法律依据, 上述内容仅供参考如您对上述内容有任何问题或建议, 请与汉坤唐志华律师 ( ; david.tang@hankunlaw.com) 或朱敏律师 ( ; min.zhu@hankunlaw.com) 联系 Copyright 汉坤律师事务所 Han 北京 Kun Law 上海 Offices 深圳 All Rights 香港 Reserved

拟上市公司的职工持股安排

拟上市公司的职工持股安排公司及并购法律评述 2017 年 4 月管窥个人信息和重要数据出境安全评估办法 ( 征求意见稿 ) : 规范的梳理与探讨作者 : 陈巍 / 潘永建 / 李天航 2017 年 4 月 11 日, 国家互联网信息办公室发布了关于个人信息和重要数据出境安全评估办法 ( 征求意见稿 ) ( 以下简称数据出境办法 ( 征求意见稿 ) ) 公开征求意见的通知根据我国既往的立法实践, 规范性文件的征求意见稿往往与最后实施的正式文件在内容上差异不大,