原標題：專家解讀｜筑基數(shù)據(jù)跨境流動 護航個人信息安全

　　近日，國家互聯(lián)網(wǎng)信息辦公室、國家市場監(jiān)督管理總局聯(lián)合發(fā)布《個人信息出境認證辦法》（以下簡稱《辦法》），進一步推動《個人信息保護法》第三十八條所規(guī)定的個人信息出境合規(guī)體系全面落地?！掇k法》詳細規(guī)定了個人信息出境認證的適用情形，個人信息出境認證的申請方式、認證要求及證書有效期，專業(yè)認證機構(gòu)應(yīng)當履行的義務(wù)，監(jiān)督管理要求等關(guān)鍵內(nèi)容，填補了此前個人信息出境認證機制在操作層面的法律空白。同時，《辦法》與《數(shù)據(jù)出境安全評估辦法》《個人信息出境標準合同辦法》《促進和規(guī)范數(shù)據(jù)跨境流動規(guī)定》等規(guī)章相互銜接，共同構(gòu)筑起一套多層次、全覆蓋的個人信息出境監(jiān)管框架，為實現(xiàn)個人信息安全有序跨境流動提供了堅實的制度保障。

　　在國際數(shù)據(jù)治理實踐中，個人信息出境認證已成為數(shù)據(jù)跨境流動的重要合法性機制之一。歐盟《通用數(shù)據(jù)保護條例》明確將數(shù)據(jù)保護認證作為判斷數(shù)據(jù)跨境流動合法性的依據(jù)，該類認證制度的適用范圍不斷擴大，有助于解決各國關(guān)于個人信息安全出境的制度分歧。與數(shù)據(jù)出境安全評估、個人信息出境標準合同等其他數(shù)據(jù)出境制度相比，個人信息出境認證制度展現(xiàn)出其獨特優(yōu)勢：它不是由主管部門對申報材料直接審核，而是將認證活動交由具備資質(zhì)的專業(yè)認證機構(gòu)組織實施，并由其頒發(fā)認證證書。獲證個人信息處理者在證書有效期內(nèi)無需重復(fù)申請認證，既能在一定程序上確保個人信息出境的安全性，又減輕了企業(yè)合規(guī)負擔。此前，國家互聯(lián)網(wǎng)信息辦公室與國家市場監(jiān)督管理總局聯(lián)合發(fā)布了《關(guān)于實施個人信息保護認證的公告》，提出《個人信息保護認證實施規(guī)則》，明確將推薦性國家標準GB/T 35273《信息安全技術(shù) 個人信息安全規(guī)范》和網(wǎng)安標委實踐指南TC260-PG-20222A《個人信息跨境處理活動安全認證規(guī)范》作為認證依據(jù)，并規(guī)定上述標準、規(guī)范原則上應(yīng)當執(zhí)行最新版本。日前，國家標準委公布新的推薦性國家標準GB/T 46068-2025《數(shù)據(jù)安全技術(shù) 個人信息跨境處理活動安全認證要求》，將于2026年3月1日實施，《個人信息跨境處理活動安全認證規(guī)范》將不再適用。《辦法》與以上文件、標準共同形成了涵蓋認證標準、實施程序與機構(gòu)管理的完整制度體系，使個人信息出境認證機制從原則性規(guī)定走向具體實踐?？傮w來看，《辦法》在借鑒國際通行做法的基礎(chǔ)上，結(jié)合我國數(shù)據(jù)出境治理實踐，對個人信息出境認證制度進行了系統(tǒng)設(shè)計，使其在保障安全的同時更好地服務(wù)于數(shù)據(jù)跨境流動的現(xiàn)實需求。具體而言，主要表現(xiàn)為以下三個方面。

　　第一，精準界定認證制度適用范圍，實現(xiàn)風險分級與監(jiān)管聚焦的有機結(jié)合?！掇k法》第五條明確，適用認證機制的個人信息處理者應(yīng)為非關(guān)鍵信息基礎(chǔ)設(shè)施運營者，且在當年度累計向境外提供的個人信息數(shù)量處于特定區(qū)間，即不含敏感個人信息的數(shù)量在10萬人以上、不滿100萬人，或敏感個人信息的數(shù)量為不滿1萬人。同時，《辦法》強調(diào)所涉出境個人信息不得包含重要數(shù)據(jù)，并禁止通過數(shù)量拆分等方式規(guī)避安全評估義務(wù)。這種分類分級的設(shè)計思路，既體現(xiàn)了基于風險的監(jiān)管邏輯，也為不同類型、不同規(guī)模的企業(yè)提供了與其風險等級相匹配的個人信息出境路徑選擇，實現(xiàn)了精準監(jiān)管與促進發(fā)展的平衡。除此之外，《辦法》第七條明確，中華人民共和國境外的個人信息處理者申請個人信息出境認證的，應(yīng)當由其在境內(nèi)設(shè)立的專門機構(gòu)或者指定代表協(xié)助進行申請，規(guī)定了我國個人信息出境認證制度的域外適用效力，有助于提升我國數(shù)據(jù)跨境流動法律制度的國際競爭力。

　　第二，明確專業(yè)認證機構(gòu)應(yīng)當履行的義務(wù)，構(gòu)建權(quán)責清晰、運行透明的認證實施體系?！掇k法》第八條、第九條明確，專業(yè)認證機構(gòu)應(yīng)當按照認證基本規(guī)范、個人信息保護認證規(guī)則開展個人信息出境認證活動；應(yīng)當在出具認證證書或者認證證書狀態(tài)發(fā)生變化后5個工作日內(nèi)，向全國認證認可信息公共服務(wù)平臺報送相關(guān)信息?！掇k法》第十條明確，專業(yè)認證機構(gòu)發(fā)現(xiàn)獲證個人信息處理者存在個人信息出境情況與認證范圍不一致等情形，不再符合認證要求的，應(yīng)當暫停其使用直至撤銷相關(guān)認證證書?！掇k法》第十一條、第十二條明確，專業(yè)認證機構(gòu)發(fā)現(xiàn)個人信息出境活動違反法律、行政法規(guī)和國家有關(guān)規(guī)定的，應(yīng)當及時向國家網(wǎng)信部門和有關(guān)部門報告；在取得個人信息保護認證資質(zhì)之日起10個工作日內(nèi)向國家網(wǎng)信部門辦理備案手續(xù)。這些要求不僅強化了專業(yè)認證機構(gòu)的規(guī)范水平、專業(yè)責任與社會信用，也通過信息公示與備案管理增強了認證過程的透明度與公信力，為認證結(jié)果的權(quán)威性奠定了制度基礎(chǔ)。

　　第三，明確網(wǎng)信部門與市場監(jiān)管部門等部門的職責分工，形成協(xié)同監(jiān)管與動態(tài)治理的合力。《辦法》第四條明確，國家市場監(jiān)督管理部門會同國家網(wǎng)信部門制定個人信息保護認證規(guī)則、統(tǒng)一認證證書及標志?！掇k法》第九條、第十條、第十三條、第十六條明確，國家市場監(jiān)督管理部門和國家網(wǎng)信部門建立認證信息共享機制，對個人信息出境認證活動開展定期或者不定期的檢查，并對認證過程與結(jié)果進行抽查。在發(fā)現(xiàn)獲證個人信息處理者存在違規(guī)情形時，國家網(wǎng)信部門和有關(guān)部門可依法要求專業(yè)認證機構(gòu)暫停直至撤銷相關(guān)認證證書，省級以上網(wǎng)信部門和有關(guān)部門可對涉事企業(yè)開展約談并實施整改監(jiān)督。這種分工明確、互為補充的監(jiān)管模式，既避免了職能重疊與資源浪費，又確保了認證活動全流程的可控性與應(yīng)變能力，充分體現(xiàn)了我國在個人信息保護領(lǐng)域治理能力現(xiàn)代化水平的提升。

　　《辦法》的出臺，不僅是我國個人信息出境制度完善的重要里程碑，也是全球數(shù)據(jù)治理體系中的一項積極實踐。它通過認證這一市場化機制，在安全與效率、監(jiān)管與市場之間找到了富有中國智慧的數(shù)據(jù)出境治理新方案。隨著未來認證工作的逐步推廣，我國個人信息跨境流動將迎來更加規(guī)范、便捷的新局面，為數(shù)字經(jīng)濟的持續(xù)健康發(fā)展注入強勁動力。（作者：趙精武，北京航空航天大學法學院副教授）