原標題：專家解讀｜《個人信息出境認證辦法》公布 完成數(shù)據(jù)跨境制度體系新拼圖

　　個人信息跨境流動關(guān)系個人權(quán)益保護、國際經(jīng)貿(mào)活動秩序和國家司法管轄權(quán)，“按照國家網(wǎng)信部門的規(guī)定經(jīng)專業(yè)機構(gòu)進行個人信息保護認證”是《個人信息保護法》第三十八條所規(guī)定的數(shù)據(jù)出境合法途徑之一。近日，國家互聯(lián)網(wǎng)信息辦公室、國家市場監(jiān)督管理總局聯(lián)合公布《個人信息出境認證辦法》（以下簡稱《辦法》），進一步完善了數(shù)據(jù)跨境流動規(guī)則，打通了個人信息依法出境的新通道，便利了個人信息的有序跨境流動。

　　一、《辦法》確立了個人信息出境的新方向

　　認證是由認證機構(gòu)證明產(chǎn)品、服務(wù)、管理體系符合相關(guān)技術(shù)規(guī)范、相關(guān)技術(shù)規(guī)范的強制性要求或者標準的合格評定活動。“認證”之所以可以成為個人信息出境的合法途徑之一，是因為它把跨境傳輸所需的適當保障具體化為經(jīng)認可第三方審核+持續(xù)監(jiān)督+對數(shù)據(jù)主體可執(zhí)行的承諾與救濟的組合。

　?。ㄒ唬┱J證是國際經(jīng)貿(mào)領(lǐng)域監(jiān)管互認的主流工具

　　個人信息出境的主要需求是國際經(jīng)濟貿(mào)易往來，“認證”則是國際經(jīng)貿(mào)領(lǐng)域常見的第三方合格評定方式。WTO框架下的《技術(shù)性貿(mào)易壁壘協(xié)定》開篇提到，認識到國際標準和合格評定體系可以通過提高生產(chǎn)效率和便利國際貿(mào)易的進行而在這方面作出重要貢獻，因此期望鼓勵制定此類國際標準和合格評定體系。為此，我們在各種進出口產(chǎn)品中都能看到很多認證標志，以此作為跨國監(jiān)管互認的通行憑證?？梢哉f，認證是跨國組織常見且容易被接受的安全管理方式，將認證機制引入數(shù)據(jù)跨境工作能夠增強跨國組織的認可度。

　　作為個人信息出境監(jiān)管的先行者，歐盟《通用數(shù)據(jù)保護條例》（GDPR）在第46條要求數(shù)據(jù)處理者或控制者在向第三國或國際組織進行個人信息傳輸時必須提供適當?shù)陌踩Ｕ洗胧?，其中就包括GDPR第42條規(guī)定的認證機制。為此，歐洲個人信息保護監(jiān)督機構(gòu)在2022年發(fā)布了《關(guān)于認證作為跨境傳輸工具的07/2022號指南》。我國《個人信息保護法》和《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例》均將“認證”作為個人信息出境的有效途徑之一，《辦法》的出臺將促進我國個人信息出境認證機制的完善。盡管中國和歐洲國家尚未達成關(guān)于數(shù)據(jù)充分性保護的協(xié)定，“認證”作為國際上具有互信基礎(chǔ)的監(jiān)管工具，將有助于促進各國認證結(jié)果互認。

　　（二）認證是持續(xù)完善公私合作治理的價值體現(xiàn)

　　認證能夠通過發(fā)揮市場化的專業(yè)力量支持政府實現(xiàn)公共治理目標。借助市場化的第三方機構(gòu)開展認證工作，不僅可以提升治理的專業(yè)水平、降低政府成本，同時也能夠提升認證申請人的自由選擇度和獲得感。在這個過程中，監(jiān)管部門通過認定、備案和管理認證機構(gòu)來擴展監(jiān)管能力，認證機構(gòu)則依靠專業(yè)服務(wù)的信譽來獲得社會各方認可。

　　認證是企業(yè)主動合規(guī)體系建設(shè)的體現(xiàn)。認證制度遵循自愿性、市場化、社會化服務(wù)原則，故而個人信息保護認證不會額外增加企業(yè)負擔(dān)，而是為有志于積極從事合規(guī)體系建設(shè)的企業(yè)提供了檢驗合規(guī)工作效果的測試場。隨著個人信息保護法律法規(guī)的貫徹落實，各類數(shù)據(jù)處理者主動深化合規(guī)體系建設(shè)的意識不斷增強。符合相關(guān)條件的企業(yè)可以主動申請開展認證，從而對自身內(nèi)部合規(guī)決策進行檢查復(fù)核，提升企業(yè)的數(shù)據(jù)安全治理能力。

　　（三）專業(yè)認證機構(gòu)切實履行跟蹤調(diào)查職責(zé)是其功能實現(xiàn)的保障

　　《辦法》建立了全鏈條管理機制來壓實專業(yè)認證機構(gòu)的責(zé)任。專業(yè)認證機構(gòu)向國家網(wǎng)信部門辦理備案手續(xù)時，應(yīng)當提交對獲證個人信息處理者進行的個人信息出境活動符合認證標準情況的持續(xù)監(jiān)督機制。在出具認證證書之后，專業(yè)認證機構(gòu)發(fā)現(xiàn)獲證個人信息處理者存在個人信息出境情況與認證范圍不一致等情形，不再符合認證要求的，應(yīng)當暫停其使用直至撤銷相關(guān)認證證書，并予以公布。

　　《認證認可條例》通過設(shè)定嚴格法律責(zé)任監(jiān)督認證機構(gòu)勤勉盡責(zé)。如果認證機構(gòu)未對其認證的產(chǎn)品、服務(wù)、管理體系實施有效的跟蹤調(diào)查，或者發(fā)現(xiàn)其認證的產(chǎn)品、服務(wù)、管理體系不能持續(xù)符合認證要求，不及時暫停其使用或者撤銷認證證書并予以公布的，可能面臨5萬元以上20萬元以下的罰款、沒收違法所得；情節(jié)嚴重的，可能被要求停業(yè)整頓，直至撤銷批準文件。同時《辦法》規(guī)定，國家市場監(jiān)督管理部門和國家網(wǎng)信部門對個人信息出境認證活動進行監(jiān)督，開展定期或者不定期的檢查，對認證過程和認證結(jié)果進行抽查，對專業(yè)認證機構(gòu)進行抽查和評價，從而壓實專業(yè)認證機構(gòu)責(zé)任。

　　二、個人信息出境認證制度與相關(guān)制度共同構(gòu)筑我國數(shù)據(jù)跨境監(jiān)管的完整體系

　　《辦法》構(gòu)建的個人信息出境認證是通用認證體系和數(shù)據(jù)出境監(jiān)管中的一塊新拼圖，需要對《辦法》和相關(guān)制度的適用關(guān)系予以說明。

　?。ㄒ唬﹤€人信息出境認證和通用個人信息保護認證

　　《個人信息保護法》所規(guī)定的“認證制度”在第三十八條和第六十二條均有體現(xiàn)，本次的《辦法》為第三十八條落地提供了支撐。《個人信息保護法》第六十二條所規(guī)定的“支持有關(guān)機構(gòu)開展個人信息保護認證服務(wù)”則在2022年就已經(jīng)啟動。國家互聯(lián)網(wǎng)信息辦公室、國家市場監(jiān)督管理總局在2022年11月聯(lián)合發(fā)布了《關(guān)于實施個人信息保護認證的公告》，決定實施個人信息保護認證，鼓勵個人信息處理者通過認證方式提升個人信息保護能力，并明確了《個人信息保護認證實施規(guī)則》。該規(guī)則對個人信息保護認證的認證依據(jù)作出規(guī)定，提出“個人信息處理者應(yīng)當符合GB/T 35273《信息安全技術(shù) 個人信息安全規(guī)范》的要求，對于開展跨境處理活動的個人信息處理者，還應(yīng)當符合TC260-PG-20222A《個人信息跨境處理活動安全認證規(guī)范》的要求”，并明確了不含跨境處理活動的個人信息保護認證標志、包含跨境處理活動的個人信息保護認證標志2種認證標志。

　　根據(jù)以上規(guī)定，個人信息出境認證是特殊類型的個人信息保護認證，除符合通用個人信息保護認證的標準要求外，還應(yīng)符合關(guān)于個人信息跨境的特殊要求，并具有專門的認證標志?！掇k法》公布后，將在部門規(guī)章這一更高層面上明確個人信息出境認證的特殊要求，與《關(guān)于實施個人信息保護認證的公告》相銜接，共同構(gòu)建個人信息出境認證的制度規(guī)范體系。同時，《辦法》也規(guī)定，本辦法施行前制定的關(guān)于個人信息出境認證的相關(guān)規(guī)定與本辦法不一致的，按照本辦法執(zhí)行，明確了制度間的適用效力。

　?。ǘ﹤€人信息出境認證和標準合同、安全評估的關(guān)系

　　《個人信息保護法》明確了安全評估、個人信息保護認證、標準合同等個人信息出境制度?！洞龠M和規(guī)范數(shù)據(jù)跨境流動規(guī)定》具體劃定了三種途徑的適用范圍，納入“安全評估”范圍內(nèi)則不能適用“標準合同”“認證”，而“標準合同”和“認證”的適用范圍均為：非關(guān)鍵信息基礎(chǔ)設(shè)施運營者自當年1月1日起累計向境外提供10萬人以上、不滿100萬人個人信息（不含敏感個人信息）或者不滿1萬人敏感個人信息，且個人信息不包括重要數(shù)據(jù)。

　　值得注意的是，出境認證還可以適用于境外直接處理境內(nèi)自然人個人信息的企業(yè)?！掇k法》對此專門規(guī)定，中華人民共和國境外的個人信息處理者申請個人信息出境認證的，應(yīng)當由其在境內(nèi)設(shè)立的專門機構(gòu)或者指定代表協(xié)助進行申請，為境外個人信息處理者提供明確的操作指引。

　　與一次性簽約的“標準合同”不同，認證是針對特定處理活動的體系化“打包合規(guī)”。認證由經(jīng)認可的認證機構(gòu)持續(xù)監(jiān)督，且認證結(jié)果可撤銷，形成外部“合規(guī)張力”，幫助對外提供方在盡職調(diào)查與持續(xù)監(jiān)控上節(jié)省人力、事務(wù)成本，而不必反復(fù)做同質(zhì)化檢查。此外，通過“標準合同”途徑對外提供個人信息的，需要個人信息處理者在標準合同生效之日起10個工作日內(nèi)通過數(shù)據(jù)出境申報系統(tǒng)備案，這將促使頻繁向不同接收方提供個人信息的境內(nèi)主體選擇“認證”方式以減輕事務(wù)壓力。

　　黨的二十屆三中全會《決定》要求我們“建立高效便利安全的數(shù)據(jù)跨境流動機制”?！掇k法》的出臺，標志著中國個人信息出境管理體系的全面建成，這將進一步優(yōu)化我國法治化營商環(huán)境，促進數(shù)字經(jīng)濟健康可持續(xù)發(fā)展。（作者：申衛(wèi)星，清華大學(xué)法學(xué)院教授）