國家網信辦發個人資訊和重要資料出境安全評估辦法

國家網際網路資訊辦公室關於《個人資訊和重要資料出境安全評估辦法（徵求意見稿）》公開徵求意見的通知

為保障個人資訊和重要資料安全，維護網路空間主權和國家安全、社會公共利益，促進網路資訊依法有序自由流動，依據《中華人民共和國國家安全法》《中華人民共和國網路安全法》等法律法規，我辦會同相關部門起草了《個人資訊和重要資料出境安全評估辦法（徵求意見稿）》，現向社會公開徵求意見。有關單位和各界人士可以在2017年5月11日前，通過以下方式提出意見：

一、通過信函方式將意見寄至：北京市東城區朝陽門內大街225號國家網際網路資訊辦公室網路安全協調局，郵編：100010，並在信封上註明“徵求意見”。

二、通過電子郵件方式傳送至：security@cac.gov.cn。

附件：個人資訊和重要資料出境安全評估辦法（徵求意見稿）

國家網際網路資訊辦公室

2017年4月11日

附件

個人資訊和重要資料出境安全評估辦法

（徵求意見稿）

第一條 為保障個人資訊和重要資料安全，維護網路空間主權和國家安全、社會公共利益，保護公民、法人和其他組織的合法利益，根據《中華人民共和國國家安全法》《中華人民共和國網路安全法》等法律法規，制定本辦法。

第二條 網路運營者在中華人民共和國境內運營中收集和產生的個人資訊和重要資料，應當在境記憶體儲。因業務需要，確需向境外提供的，應當按照本辦法進行安全評估。

第三條 資料出境安全評估應遵循公正、客觀、有效的原則，保障個人資訊和重要資料安全，促進網路資訊依法有序自由流動。

第四條 個人資訊出境，應向個人資訊主體說明資料出境的目的、範圍、內容、接收方及接收方所在的國家或地區，並經其同意。未成年人個人資訊出境須經其監護人同意。

第五條 國家網信部門統籌協調資料出境安全評估工作，指導行業主管或監管部門組織開展資料出境安全評估。

第六條 行業主管或監管部門負責本行業資料出境安全評估工作，定期組織開展本行業資料出境安全檢查。

第七條 網路運營者應在資料出境前，自行組織對資料出境進行安全評估，並對評估結果負責。

第八條 資料出境安全評估應重點評估以下內容：

（一）資料出境的必要性；

（二）涉及個人資訊情況，包括個人資訊的數量、範圍、型別、敏感程度，以及個人資訊主體是否同意其個人資訊出境等；

（三）涉及重要資料情況，包括重要資料的數量、範圍、型別及其敏感程度等；

（四）資料接收方的安全保護措施、能力和水平，以及所在國家和地區的網路安全環境等；

（五）資料出境及再轉移後被洩露、毀損、篡改、濫用等風險；

（六）資料出境及出境資料匯聚可能對國家安全、社會公共利益、個人合法利益帶來的風險；

（七）其他需要評估的重要事項。

第九條 出境資料存在以下情況之一的，網路運營者應報請行業主管或監管部門組織安全評估：

（一）含有或累計含有50萬人以上的個人資訊；

（二）資料量超過1000GB；

（三）包含核設施、化學生物、國防軍工、人口健康等領域資料，大型工程活動、海洋環境以及敏感地理資訊資料等；

（四）包含關鍵資訊基礎設施的系統漏洞、安全防護等網路安全資訊；

（五）關鍵資訊基礎設施運營者向境外提供個人資訊和重要資料；

（六）其他可能影響國家安全和社會公共利益，行業主管或監管部門認為應該評估。

行業主管或監管部門不明確的，由國家網信部門組織評估。

第十條 行業主管或監管部門組織的安全評估，應當於六十個工作日內完成，及時向網路運營者反饋安全評估情況，並報國家網信部門。

第十一條 存在以下情況之一的，資料不得出境：

（一）個人資訊出境未經個人資訊主體同意，或可能侵害個人利益；

（二）資料出境給國家政治、經濟、科技、國防等安全帶來風險，可能影響國家安全、損害社會公共利益；

（三）其他經國家網信部門、公安部門、安全部門等有關部門認定不能出境的。

第十二條 網路運營者應根據業務發展和網路運營情況，每年對資料出境至少進行一次安全評估，及時將評估情況報行業主管或監管部門。

當資料接收方出現變更，資料出境目的、範圍、數量、型別等發生較大變化，資料接收方或出境資料發生重大安全事件時，應及時重新進行安全評估。

第十三條 對違反相關法律法規和本辦法向境外提供資料的行為，任何個人和組織有權向國家網信部門、公安部門等有關部門舉報。

第十四條 違反本辦法規定的，依照有關法律法規進行處罰。

第十五條 我國政府與其他國家、地區簽署的關於資料出境的協議，按照協議的規定執行。

涉及國家祕密資訊的按照相關規定執行。

第十六條 其他個人和組織在中華人民共和國境內收集和產生的個人資訊和重要資料出境的安全評估工作參照本辦法執行。

第十七條 本辦法下列用語的含義：

網路運營者，是指網路的所有者、管理者和網路服務提供者。

資料出境，是指網路運營者將在中華人民共和國境內運營中收集和產生的個人資訊和重要資料，提供給位於境外的機構、組織、個人。

個人資訊，是指以電子或者其他方式記錄的能夠單獨或者與其他資訊結合識別自然人個人身份的各種資訊，包括但不限於自然人的姓名、出生日期、身份證件號碼、個人生物識別資訊、住址、電話號碼等。

重要資料，是指與國家安全、經濟發展，以及社會公共利益密切相關的資料，具體範圍參照國家有關標準和重要資料識別指南。

第十八條 本辦法自2017年 月 日起實施。

本文轉自d1net（轉載）