关于《个人信息跨境处理活动安全认证规范》十三个焦点问题的理解

信息安全标准化技术委员会于2022年4月29日发布《网络安全标准 个人信息跨境处理活动认证技术规范（征求意见稿）》（“征求意见稿”），距正式稿发布，有近两个月的时间，立法效率还是比较高的。从征求意见稿到正式稿的变化，往往反映出社会的关切和争议焦点。我们不妨先看一下，本认证规范正式稿的主要变化点：

其它的一些修改还包括文字修改和立法逻辑的理顺，此处不做详述。

首先，个人信息跨境处理活动认证属于国家推荐的自愿性认证，一旦认证成功，可以作为在认证范围内的跨境处理活动的合法路径。

其次，我们理解，本认证属于一种长效的机制，即，获得认证后的一定期限内，如果个人信息跨境处理活动的认证事项没有发生实质性变化的，即可作为连续性的跨境处理活动的依赖。虽然本认证规范没有明确认证的有效期限，我们可以参考《数据出境安全评估办法（征求意见稿）》的相关规定，即本认证会设定有效期限，期限届满，需要重新申请认证，期间如出现需要重新认证的情形的，应提前重新申请认证。

最后，关于认证机构，网信部门尚未指定。考虑到，中国网络安全审查技术与认证中心和中国电子技术标准化研究院等单位为本认证规范的制定提供了技术支持，如其最后成为指定的认证机构，也是顺理成章。

本认证规范第1条 a)规定的适用场景包括三个：

• 跨国公司的个人信息跨境处理活动（“场景一”）；

• 同一经济、事业实体下属子公司的个人信息跨境处理活动（“场景二”）；以及

• 关联公司之间的个人信息跨境处理活动（“场景三”）。

跨国公司及同一实体下的子公司间的处理活动，具有内部性，且各方的关系稳定、公司管理架构一致，容易达成认证所需要的协议、组织设置、统一数据处理规则等要求，比较适合于认证机制。关联公司之间的个人信息跨境处理活动的认证，是正式稿新增的场景，我们理解，这里的“关联”既可包括股权关联，也可以包括业务关联，只要处理者和境外接收方能够达到本认证规范所规定的认证条件即可。

而对于第1条 b)所规定的适用情形，即个保法第三条第二款规定的境外处理境内自然人个人信息的活动（“场景四”），引发了比较大的争议。业内普遍观点认为，个保法第三条第二款规定的处理活动，会导致个保法对境外的个人信息处理者直接适用，但第三章规定的个人信息跨境提供的规则不适用。该观点的逻辑是，该处理活动中，缺失境内个人信息处理者主体，也就没有发生（境内处理者）向境外提供个人信息的行为。GDPR在此问题上亦是这样的逻辑。 

但是，本认证规范第1条 b)把个保法第三条第二款规定的处理活动纳入认证的范围，而认证机制又在个保法第三章针对个人信息跨境提供的规则中所规定，是否可以理解，个保法第三条第二款规定的处理活动同样适用个保法第三章的跨境规则？至少，可以理解为这是本认证规范的一种观点。 

进一步讨论，如果场景四的适用缩限到境外的个人信息处理者再向第三方传输个人信息的场景，即使该第三方与境外的个人信息处理者位于同一法域，由于该传输处理构成跨境传输，进而可适用认证机制，逻辑上是行得通的。 

根据本认证规范第2条，对于跨境的场景一到场景三，由境内一方申请认证，并承担法律责任。也就是说，把境内的个人信息处理者作为认证的监管抓手及后续承担法律责任的主体，这种安排也是顺理成章。

但是，对于场景四，则规定由境外个人信息处理者在境内设置的专门机构或指定代表申请认证，并承担法律责任，就有些让人担心。在GDPR生效后，很多欧洲律所和第三方咨询公司提供了担任域外公司GDPR欧盟代表的服务。GDPR欧盟代表主要的职责是联络沟通，依照GDPR规定，即使指定了欧盟代表，数据处理活动的违法责任仍应当由数据控制者或处理者承担。在场景四的逻辑下，我们估计很少有律所或第三方机构敢于承担这项工作了。

个保法第三十八条规定，个人信息处理者应当采取必要措施，保障境外接收方处理个人信息的活动达到本法规定的个人信息保护标准，此即同等保护原则的来源。但是，本认证规范的第3条d)规定，要“确保个人信息跨境处理活动达到中华人民共和国个人信息保护相关法律法规规定的个人信息保护标准”。认证规范显然是扩张了个保法第三十八条的同等保护的基准，即不但包括个保法，还包括与个人信息处理活动有关的其它法律和行政法规，比如《数据安全法》及未来可能出台的《网络数据安全管理条例》等。

本认证规范所规定的认证，是对个保法第三十八条第（二）项规定的认证机制的配合实施，属于个人信息跨境传输的合法路径之一。同样，个保法第三十八条第（三）项规定的标准合同条款，是与认证机制平行的机制，两者相互独立。本认证规范第4.1条也要求开展跨境处理活动的双方签署具有法律约束力的协议，至少包括：处理活动双方、跨境处理个人信息的目的及个人信息的类别和范围；统一的跨境处理规则，达到同等保护的标准；接受监督；接受中国法的管辖；明确责任等。

个保法第三十八条第（三）项规定的标准合同条款尚未公布，与认证机制相比，标准合同条款仍属于合同性质，缺少第三方机构的介入，因此，在合同架构和责任义务设定上，比认证规范所要求的协议可能会更加复杂。 目前，对于标准合同条款机制，监管部门的监管抓手和监管程序尚待完善。

本认证规范第4.1条要求个人信息处理者和境外接收方之间应当签订具有法律约束力和执行力的文件。针对场景四，因为不存在境内的个人信息处理者，境外的个人信息处理者与谁来签署这份协议呢?

一种可能的方案是，由境外个人信息处理者与其在境内设置的专门机构或指定代表签署协议。 此种方案下，是把境内的机构或代表拟制成为境内的个人信息处理者，成为监管抓手和协议义务主体，并承担相应的法律责任。

本认证规范第4.2.1条规定了个人信息保护负责人（DPO），且个人信息处理者和境外接收方均应指定。从本认证规范的条款看，DPO除了要具备专业知识和管理经历外，还应当是该组织的决策层成员，也就是具有决策权利的高管。此项规定无疑也提升了DPO的层级和重要性。我们理解，这些要求的背后逻辑是DPO要具有管理权限和资源调配能力，只有如此，数据保护工作才能顺利开展。

在DPO之下，本认证规范第4.2.2条还要求个人信息处理者和境外接收方均应设立个人信息保护机构，主要职责是制定跨境处理活动计划、开展个人信息保护影响评估（“PIA”）、监督跨境处理活动、接受个人信息主体权利请求和投诉。

我们可以理解，个人信息保护机构是DPO领导下的个人信息保护执行机构。

本认证规范第4.3条要求个人信息处理者和境外接收方遵守统一的个人信息跨境处理规则。此要求含义有二： 一是双方在议定跨境个人信息传输过程中，要制定个人信息跨境处理规则；二是，该个人信息跨境处理规则对双方都适用，都要遵守。 统一的个人信息跨境处理规则是保障跨境数据处理活动达到同等保护水平的基础机制。在规则的内容上，至少要包括：跨境处理活动的基本情况，处理的目的、方式和范围，存储期限及到期后的处理方式，需要中转的国家/地区，资源和措施，安全事件的赔偿和处理规则。

本认证规范第4.4条要求进行个人信息跨境活动前，个人信息处理者要开展PIA评估。GB/T39335—2020《信息安全技术 个人信息安全影响评估指南》所确立的评估方法可以作为借鉴，但考虑到该指南并未重点考虑数据跨境传输场景，在参考该指南的同时，要重点补足跨境风险因素的考量。

个保法对个人信息跨境传输监管的主要考虑之一就是个人信息主体权益能否得到保障。因此，本认证规范第5.1条赋予了个人信息主体在跨境处理活动中充分的权利保障，尤其值得关注的是关于个人信息主体的救济渠道。即个人信息主体有权对违法个人信息处理活动向国内监管部门进行投诉、举报，也可以在其经常居住地法院对处理者和境外接收方提起司法诉讼。

本认证规范第5.2条规定了针对个人信息处理者和境外接收方的系统性责任义务，主要包括：

• 充分告知个人信息主体的义务，并获得单独同意；

• 查阅途径，及响应查阅、复制、更正、补充或者删除的请求；

• 如难以保证安全，应中止传输；

• 发生信息安全事件，采取补救措施，并通知监管部门和个人；

• 应请求提供与个人信息主体权益有关的法律文件副本；

• 承担赔偿责任；

• 接受认证机构的监督；

• 承诺接受中国法的管辖。