个人信息出境标准合同办法
本文用于指导通过标准合同路径开展个人信息出境。路径选择应同时核对现行《促进和规范数据跨境流动规定》等后续规则，不能只机械套用2023年办法中的原始数量门槛。
法规概览
| 项目 | 内容 |
|---|---|
| 法规 | 《个人信息出境标准合同办法》，国家互联网信息办公室令第13号 |
| 生效日期 | 2023年6月1日 |
| 主要适用场景 | 符合现行跨境规则、选择标准合同路径向境外提供个人信息的个人信息处理者 |
| 核心问题 | 路径判断、影响评估、标准合同签署、生效后出境、备案、变更后重新评估与备案 |
| 官方来源 | 国家互联网信息办公室 |
下文按 “法规要求 → 落实与验收” 展开：每项要求同时说明实施动作与可验证证据。2024年《促进和规范数据跨境流动规定》与本办法不一致的，适用后发布的规定。
安全要求与实施
先判断能不能走标准合同路径
法规要求｜第4条及后续跨境规则。 标准合同不是所有个人信息出境的通用路径；关键信息基础设施、重要数据、数据规模和其他法定条件可能触发安全评估、认证或其他要求。
落实与验收。
- 建立跨境数据流清单，按处理者身份、个人信息/敏感个人信息规模、重要数据属性和出境场景判断适用路径。
- 路径判断使用最新跨境规则，记录适用条款和计算口径，防止沿用历史阈值。
- 禁止通过拆分主体、拆分批次或拆分系统规避依法应当进行的安全评估。
验收证据。
- 随机抽一条标准合同出境链路，为什么不是安全评估或认证路径？依据的是哪一版规则？
- 数量统计能否从真实出境记录复算，是否存在按项目拆分后分别计算？
- 重要数据判断是否有依据，还是因为“主要是个人信息”就默认没有重要数据？
出境前完成个人信息保护影响评估
法规要求｜第5条。 出境前应开展个人信息保护影响评估，评估处理目的、规模和敏感程度、接收方能力、出境后风险、境外政策法规影响和权益维护渠道等。
落实与验收。
- 影响评估必须基于真实数据流、接收方、系统、保存地点和保护措施，不使用与实际项目脱节的通用模板。
- 评估结论要能影响出境范围、字段、加密、权限、保存期限、合同条款和接收方控制。
- 评估材料与标准合同中的目的、范围、责任和技术措施保持一致。
验收证据。
- 抽一份影响评估，里面写的数据字段和接收方是否与真实接口一致？
- 评估发现过什么风险，是否因此减少字段、修改架构或增加保护措施？
- 境外接收方所在国家或地区环境变化后，是否重新判断风险？
正确签署并执行标准合同
法规要求｜第6条。 标准合同应严格按照附件订立，可以约定其他条款但不得与标准合同冲突；标准合同生效后方可开展个人信息出境活动。
落实与验收。
- 使用当期有效的标准合同文本，核对双方主体、出境目的、数据范围、保存期限、权益处理、事件处置和监督责任。
- 出境技术开通设置为合同生效后的受控动作，不能先传数据后补签合同。
- 附加商业条款由法务核对，不得削弱标准合同中的个人信息保护义务。
- 通过合同和技术手段持续监督境外接收方履约。
验收证据。
- 比较首笔真实出境时间与合同生效时间，是否存在先出境后签约？
- 标准合同是否被业务方删改过法定条款，附加条款是否与标准合同冲突？
- 接收方实际使用、再提供和保存个人信息的方式是否与合同一致？
在规定期限内完成备案
法规要求｜第7条。 标准合同生效之日起10个工作日内，应向所在地省级网信部门备案，提交标准合同和个人信息保护影响评估报告，并对备案材料真实性负责。
落实与验收。
- 建立合同生效日、备案截止日、材料版本、提交结果和监管反馈台账。
- 备案材料从正式合同和最终评估报告自动取数或复核，避免“备案版”和“执行版”不一致。
- 备案完成不等于后续处理永久合规，真实出境仍应持续符合备案内容。
验收证据。
- 最近三份标准合同从生效到备案分别用了几个工作日？
- 备案的评估报告与内部最终批准版本是否一致？
- 备案后实际出境范围是否扩大，是否出现备案材料没有覆盖的新数据？
变化后重新评估、签约和备案
法规要求｜第8条。 出境目的、范围、种类、敏感程度、方式、保存地点、接收方处理用途/方式、保存期限或境外政策法规等发生法定变化时，应重新开展影响评估，并补充或重新订立标准合同、履行相应备案手续。
落实与验收。
- 将跨境重大变更判断嵌入产品、系统、合同、云资源和第三方变更流程。
- 建立变更触发清单，不依赖项目负责人自行记得重新备案。
- 变更评估覆盖旧合同与新实际处理的差异，并在新处理开始前完成适用动作。
验收证据。
- 从最近一次境外接收方、数据字段或存储地区变更反查，是否触发重新评估？
- 云区域变化、集团内部接收主体变化是否被错误认为“只是技术变更”？
- 新的出境处理是什么时候开始，重新签约和备案是什么时候完成？
法规原文
以下保留办法原文用于核对；路径阈值和豁免应同时核对后续跨境规则。
查看法规原文
- 第一条 为了保护个人信息权益，规范个人信息出境活动，根据《中华人民共和国个人信息保护法》等法律法规，制定本办法。
- 第二条 个人信息处理者通过与境外接收方订立个人信息出境标准合同（以下简称标准合同）的方式向中华人民共和国境外提供个人信息，适用本办法。
- 第三条 通过订立标准合同的方式开展个人信息出境活动，应当坚持自主缔约与备案管理相结合、保护权益与防范风险相结合，保障个人信息跨境安全、自由流动。
- 第四条 个人信息处理者通过订立标准合同的方式向境外提供个人信息的，应当同时符合下列情形：
- （一）非关键信息基础设施运营者；
- （二）处理个人信息不满100万人的；
- （三）自上年1月1日起累计向境外提供个人信息不满10万人的；
- （四）自上年1月1日起累计向境外提供敏感个人信息不满1万人的。
- 法律、行政法规或者国家网信部门另有规定的，从其规定。
- 个人信息处理者不得采取数量拆分等手段，将依法应当通过出境安全评估的个人信息通过订立标准合同的方式向境外提供。
- 第五条 个人信息处理者向境外提供个人信息前，应当开展个人信息保护影响评估，重点评估以下内容：
- （一）个人信息处理者和境外接收方处理个人信息的目的、范围、方式等的合法性、正当性、必要性；
- （二）出境个人信息的规模、范围、种类、敏感程度，个人信息出境可能对个人信息权益带来的风险；
- （三）境外接收方承诺承担的义务，以及履行义务的管理和技术措施、能力等能否保障出境个人信息的安全；
- （四）个人信息出境后遭到篡改、破坏、泄露、丢失、非法利用等的风险，个人信息权益维护的渠道是否通畅等；
- （五）境外接收方所在国家或者地区的个人信息保护政策和法规对标准合同履行的影响；
- （六）其他可能影响个人信息出境安全的事项。
- 第六条 标准合同应当严格按照本办法附件订立。国家网信部门可以根据实际情况对附件进行调整。
- 个人信息处理者可以与境外接收方约定其他条款，但不得与标准合同相冲突。
- 标准合同生效后方可开展个人信息出境活动。
- 第七条 个人信息处理者应当在标准合同生效之日起10个工作日内向所在地省级网信部门备案。备案应当提交以下材料：
- （一）标准合同；
- （二）个人信息保护影响评估报告。
- 个人信息处理者应当对所备案材料的真实性负责。
- 第八条 在标准合同有效期内出现下列情形之一的，个人信息处理者应当重新开展个人信息保护影响评估，补充或者重新订立标准合同，并履行相应备案手续：
- （一）向境外提供个人信息的目的、范围、种类、敏感程度、方式、保存地点或者境外接收方处理个人信息的用途、方式发生变化，或者延长个人信息境外保存期限的；
- （二）境外接收方所在国家或者地区的个人信息保护政策和法规发生变化等可能影响个人信息权益的；
- （三）可能影响个人信息权益的其他情形。
- 第九条 网信部门及其工作人员对在履行职责中知悉的个人隐私、个人信息、商业秘密、保密商务信息等应当依法予以保密，不得泄露或者非法向他人提供、非法使用。
- 第十条 任何组织和个人发现个人信息处理者违反本办法向境外提供个人信息的，可以向省级以上网信部门举报。
- 第十一条 省级以上网信部门发现个人信息出境活动存在较大风险或者发生个人信息安全事件的，可以依法对个人信息处理者进行约谈。个人信息处理者应当按照要求整改，消除隐患。
- 第十二条 违反本办法规定的，依据《中华人民共和国个人信息保护法》等法律法规处理；构成犯罪的，依法追究刑事责任。
- 第十三条 本办法自2023年6月1日起施行。本办法施行前已经开展的个人信息出境活动，不符合本办法规定的，应当自本办法施行之日起6个月内完成整改。