原標(biāo)題：專家解讀｜《個(gè)人信息出境認(rèn)證辦法》公布 完成數(shù)據(jù)跨境制度體系新拼圖

　　個(gè)人信息跨境流動(dòng)關(guān)系個(gè)人權(quán)益保護(hù)、國(guó)際經(jīng)貿(mào)活動(dòng)秩序和國(guó)家司法管轄權(quán)，“按照國(guó)家網(wǎng)信部門的規(guī)定經(jīng)專業(yè)機(jī)構(gòu)進(jìn)行個(gè)人信息保護(hù)認(rèn)證”是《個(gè)人信息保護(hù)法》第三十八條所規(guī)定的數(shù)據(jù)出境合法途徑之一。近日，國(guó)家互聯(lián)網(wǎng)信息辦公室、國(guó)家市場(chǎng)監(jiān)督管理總局聯(lián)合公布《個(gè)人信息出境認(rèn)證辦法》（以下簡(jiǎn)稱《辦法》），進(jìn)一步完善了數(shù)據(jù)跨境流動(dòng)規(guī)則，打通了個(gè)人信息依法出境的新通道，便利了個(gè)人信息的有序跨境流動(dòng)。

　　一、《辦法》確立了個(gè)人信息出境的新方向

　　認(rèn)證是由認(rèn)證機(jī)構(gòu)證明產(chǎn)品、服務(wù)、管理體系符合相關(guān)技術(shù)規(guī)范、相關(guān)技術(shù)規(guī)范的強(qiáng)制性要求或者標(biāo)準(zhǔn)的合格評(píng)定活動(dòng)。“認(rèn)證”之所以可以成為個(gè)人信息出境的合法途徑之一，是因?yàn)樗芽缇硞鬏斔璧倪m當(dāng)保障具體化為經(jīng)認(rèn)可第三方審核+持續(xù)監(jiān)督+對(duì)數(shù)據(jù)主體可執(zhí)行的承諾與救濟(jì)的組合。

　?。ㄒ唬┱J(rèn)證是國(guó)際經(jīng)貿(mào)領(lǐng)域監(jiān)管互認(rèn)的主流工具

　　個(gè)人信息出境的主要需求是國(guó)際經(jīng)濟(jì)貿(mào)易往來(lái)，“認(rèn)證”則是國(guó)際經(jīng)貿(mào)領(lǐng)域常見的第三方合格評(píng)定方式。WTO框架下的《技術(shù)性貿(mào)易壁壘協(xié)定》開篇提到，認(rèn)識(shí)到國(guó)際標(biāo)準(zhǔn)和合格評(píng)定體系可以通過(guò)提高生產(chǎn)效率和便利國(guó)際貿(mào)易的進(jìn)行而在這方面作出重要貢獻(xiàn)，因此期望鼓勵(lì)制定此類國(guó)際標(biāo)準(zhǔn)和合格評(píng)定體系。為此，我們?cè)诟鞣N進(jìn)出口產(chǎn)品中都能看到很多認(rèn)證標(biāo)志，以此作為跨國(guó)監(jiān)管互認(rèn)的通行憑證?？梢哉f(shuō)，認(rèn)證是跨國(guó)組織常見且容易被接受的安全管理方式，將認(rèn)證機(jī)制引入數(shù)據(jù)跨境工作能夠增強(qiáng)跨國(guó)組織的認(rèn)可度。

　　作為個(gè)人信息出境監(jiān)管的先行者，歐盟《通用數(shù)據(jù)保護(hù)條例》（GDPR）在第46條要求數(shù)據(jù)處理者或控制者在向第三國(guó)或國(guó)際組織進(jìn)行個(gè)人信息傳輸時(shí)必須提供適當(dāng)?shù)陌踩Ｕ洗胧?，其中就包括GDPR第42條規(guī)定的認(rèn)證機(jī)制。為此，歐洲個(gè)人信息保護(hù)監(jiān)督機(jī)構(gòu)在2022年發(fā)布了《關(guān)于認(rèn)證作為跨境傳輸工具的07/2022號(hào)指南》。我國(guó)《個(gè)人信息保護(hù)法》和《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例》均將“認(rèn)證”作為個(gè)人信息出境的有效途徑之一，《辦法》的出臺(tái)將促進(jìn)我國(guó)個(gè)人信息出境認(rèn)證機(jī)制的完善。盡管中國(guó)和歐洲國(guó)家尚未達(dá)成關(guān)于數(shù)據(jù)充分性保護(hù)的協(xié)定，“認(rèn)證”作為國(guó)際上具有互信基礎(chǔ)的監(jiān)管工具，將有助于促進(jìn)各國(guó)認(rèn)證結(jié)果互認(rèn)。

　?。ǘ┱J(rèn)證是持續(xù)完善公私合作治理的價(jià)值體現(xiàn)

　　認(rèn)證能夠通過(guò)發(fā)揮市場(chǎng)化的專業(yè)力量支持政府實(shí)現(xiàn)公共治理目標(biāo)。借助市場(chǎng)化的第三方機(jī)構(gòu)開展認(rèn)證工作，不僅可以提升治理的專業(yè)水平、降低政府成本，同時(shí)也能夠提升認(rèn)證申請(qǐng)人的自由選擇度和獲得感。在這個(gè)過(guò)程中，監(jiān)管部門通過(guò)認(rèn)定、備案和管理認(rèn)證機(jī)構(gòu)來(lái)擴(kuò)展監(jiān)管能力，認(rèn)證機(jī)構(gòu)則依靠專業(yè)服務(wù)的信譽(yù)來(lái)獲得社會(huì)各方認(rèn)可。

　　認(rèn)證是企業(yè)主動(dòng)合規(guī)體系建設(shè)的體現(xiàn)。認(rèn)證制度遵循自愿性、市場(chǎng)化、社會(huì)化服務(wù)原則，故而個(gè)人信息保護(hù)認(rèn)證不會(huì)額外增加企業(yè)負(fù)擔(dān)，而是為有志于積極從事合規(guī)體系建設(shè)的企業(yè)提供了檢驗(yàn)合規(guī)工作效果的測(cè)試場(chǎng)。隨著個(gè)人信息保護(hù)法律法規(guī)的貫徹落實(shí)，各類數(shù)據(jù)處理者主動(dòng)深化合規(guī)體系建設(shè)的意識(shí)不斷增強(qiáng)。符合相關(guān)條件的企業(yè)可以主動(dòng)申請(qǐng)開展認(rèn)證，從而對(duì)自身內(nèi)部合規(guī)決策進(jìn)行檢查復(fù)核，提升企業(yè)的數(shù)據(jù)安全治理能力。

　　（三）專業(yè)認(rèn)證機(jī)構(gòu)切實(shí)履行跟蹤調(diào)查職責(zé)是其功能實(shí)現(xiàn)的保障

　　《辦法》建立了全鏈條管理機(jī)制來(lái)壓實(shí)專業(yè)認(rèn)證機(jī)構(gòu)的責(zé)任。專業(yè)認(rèn)證機(jī)構(gòu)向國(guó)家網(wǎng)信部門辦理備案手續(xù)時(shí)，應(yīng)當(dāng)提交對(duì)獲證個(gè)人信息處理者進(jìn)行的個(gè)人信息出境活動(dòng)符合認(rèn)證標(biāo)準(zhǔn)情況的持續(xù)監(jiān)督機(jī)制。在出具認(rèn)證證書之后，專業(yè)認(rèn)證機(jī)構(gòu)發(fā)現(xiàn)獲證個(gè)人信息處理者存在個(gè)人信息出境情況與認(rèn)證范圍不一致等情形，不再符合認(rèn)證要求的，應(yīng)當(dāng)暫停其使用直至撤銷相關(guān)認(rèn)證證書，并予以公布。

　　《認(rèn)證認(rèn)可條例》通過(guò)設(shè)定嚴(yán)格法律責(zé)任監(jiān)督認(rèn)證機(jī)構(gòu)勤勉盡責(zé)。如果認(rèn)證機(jī)構(gòu)未對(duì)其認(rèn)證的產(chǎn)品、服務(wù)、管理體系實(shí)施有效的跟蹤調(diào)查，或者發(fā)現(xiàn)其認(rèn)證的產(chǎn)品、服務(wù)、管理體系不能持續(xù)符合認(rèn)證要求，不及時(shí)暫停其使用或者撤銷認(rèn)證證書并予以公布的，可能面臨5萬(wàn)元以上20萬(wàn)元以下的罰款、沒(méi)收違法所得；情節(jié)嚴(yán)重的，可能被要求停業(yè)整頓，直至撤銷批準(zhǔn)文件。同時(shí)《辦法》規(guī)定，國(guó)家市場(chǎng)監(jiān)督管理部門和國(guó)家網(wǎng)信部門對(duì)個(gè)人信息出境認(rèn)證活動(dòng)進(jìn)行監(jiān)督，開展定期或者不定期的檢查，對(duì)認(rèn)證過(guò)程和認(rèn)證結(jié)果進(jìn)行抽查，對(duì)專業(yè)認(rèn)證機(jī)構(gòu)進(jìn)行抽查和評(píng)價(jià)，從而壓實(shí)專業(yè)認(rèn)證機(jī)構(gòu)責(zé)任。

　　二、個(gè)人信息出境認(rèn)證制度與相關(guān)制度共同構(gòu)筑我國(guó)數(shù)據(jù)跨境監(jiān)管的完整體系

　　《辦法》構(gòu)建的個(gè)人信息出境認(rèn)證是通用認(rèn)證體系和數(shù)據(jù)出境監(jiān)管中的一塊新拼圖，需要對(duì)《辦法》和相關(guān)制度的適用關(guān)系予以說(shuō)明。

　?。ㄒ唬﹤€(gè)人信息出境認(rèn)證和通用個(gè)人信息保護(hù)認(rèn)證

　　《個(gè)人信息保護(hù)法》所規(guī)定的“認(rèn)證制度”在第三十八條和第六十二條均有體現(xiàn)，本次的《辦法》為第三十八條落地提供了支撐?！秱€(gè)人信息保護(hù)法》第六十二條所規(guī)定的“支持有關(guān)機(jī)構(gòu)開展個(gè)人信息保護(hù)認(rèn)證服務(wù)”則在2022年就已經(jīng)啟動(dòng)。國(guó)家互聯(lián)網(wǎng)信息辦公室、國(guó)家市場(chǎng)監(jiān)督管理總局在2022年11月聯(lián)合發(fā)布了《關(guān)于實(shí)施個(gè)人信息保護(hù)認(rèn)證的公告》，決定實(shí)施個(gè)人信息保護(hù)認(rèn)證，鼓勵(lì)個(gè)人信息處理者通過(guò)認(rèn)證方式提升個(gè)人信息保護(hù)能力，并明確了《個(gè)人信息保護(hù)認(rèn)證實(shí)施規(guī)則》。該規(guī)則對(duì)個(gè)人信息保護(hù)認(rèn)證的認(rèn)證依據(jù)作出規(guī)定，提出“個(gè)人信息處理者應(yīng)當(dāng)符合GB/T 35273《信息安全技術(shù) 個(gè)人信息安全規(guī)范》的要求，對(duì)于開展跨境處理活動(dòng)的個(gè)人信息處理者，還應(yīng)當(dāng)符合TC260-PG-20222A《個(gè)人信息跨境處理活動(dòng)安全認(rèn)證規(guī)范》的要求”，并明確了不含跨境處理活動(dòng)的個(gè)人信息保護(hù)認(rèn)證標(biāo)志、包含跨境處理活動(dòng)的個(gè)人信息保護(hù)認(rèn)證標(biāo)志2種認(rèn)證標(biāo)志。

　　根據(jù)以上規(guī)定，個(gè)人信息出境認(rèn)證是特殊類型的個(gè)人信息保護(hù)認(rèn)證，除符合通用個(gè)人信息保護(hù)認(rèn)證的標(biāo)準(zhǔn)要求外，還應(yīng)符合關(guān)于個(gè)人信息跨境的特殊要求，并具有專門的認(rèn)證標(biāo)志?！掇k法》公布后，將在部門規(guī)章這一更高層面上明確個(gè)人信息出境認(rèn)證的特殊要求，與《關(guān)于實(shí)施個(gè)人信息保護(hù)認(rèn)證的公告》相銜接，共同構(gòu)建個(gè)人信息出境認(rèn)證的制度規(guī)范體系。同時(shí)，《辦法》也規(guī)定，本辦法施行前制定的關(guān)于個(gè)人信息出境認(rèn)證的相關(guān)規(guī)定與本辦法不一致的，按照本辦法執(zhí)行，明確了制度間的適用效力。

　?。ǘ﹤€(gè)人信息出境認(rèn)證和標(biāo)準(zhǔn)合同、安全評(píng)估的關(guān)系

　　《個(gè)人信息保護(hù)法》明確了安全評(píng)估、個(gè)人信息保護(hù)認(rèn)證、標(biāo)準(zhǔn)合同等個(gè)人信息出境制度?！洞龠M(jìn)和規(guī)范數(shù)據(jù)跨境流動(dòng)規(guī)定》具體劃定了三種途徑的適用范圍，納入“安全評(píng)估”范圍內(nèi)則不能適用“標(biāo)準(zhǔn)合同”“認(rèn)證”，而“標(biāo)準(zhǔn)合同”和“認(rèn)證”的適用范圍均為：非關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者自當(dāng)年1月1日起累計(jì)向境外提供10萬(wàn)人以上、不滿100萬(wàn)人個(gè)人信息（不含敏感個(gè)人信息）或者不滿1萬(wàn)人敏感個(gè)人信息，且個(gè)人信息不包括重要數(shù)據(jù)。

　　值得注意的是，出境認(rèn)證還可以適用于境外直接處理境內(nèi)自然人個(gè)人信息的企業(yè)?！掇k法》對(duì)此專門規(guī)定，中華人民共和國(guó)境外的個(gè)人信息處理者申請(qǐng)個(gè)人信息出境認(rèn)證的，應(yīng)當(dāng)由其在境內(nèi)設(shè)立的專門機(jī)構(gòu)或者指定代表協(xié)助進(jìn)行申請(qǐng)，為境外個(gè)人信息處理者提供明確的操作指引。

　　與一次性簽約的“標(biāo)準(zhǔn)合同”不同，認(rèn)證是針對(duì)特定處理活動(dòng)的體系化“打包合規(guī)”。認(rèn)證由經(jīng)認(rèn)可的認(rèn)證機(jī)構(gòu)持續(xù)監(jiān)督，且認(rèn)證結(jié)果可撤銷，形成外部“合規(guī)張力”，幫助對(duì)外提供方在盡職調(diào)查與持續(xù)監(jiān)控上節(jié)省人力、事務(wù)成本，而不必反復(fù)做同質(zhì)化檢查。此外，通過(guò)“標(biāo)準(zhǔn)合同”途徑對(duì)外提供個(gè)人信息的，需要個(gè)人信息處理者在標(biāo)準(zhǔn)合同生效之日起10個(gè)工作日內(nèi)通過(guò)數(shù)據(jù)出境申報(bào)系統(tǒng)備案，這將促使頻繁向不同接收方提供個(gè)人信息的境內(nèi)主體選擇“認(rèn)證”方式以減輕事務(wù)壓力。

　　黨的二十屆三中全會(huì)《決定》要求我們“建立高效便利安全的數(shù)據(jù)跨境流動(dòng)機(jī)制”。《辦法》的出臺(tái)，標(biāo)志著中國(guó)個(gè)人信息出境管理體系的全面建成，這將進(jìn)一步優(yōu)化我國(guó)法治化營(yíng)商環(huán)境，促進(jìn)數(shù)字經(jīng)濟(jì)健康可持續(xù)發(fā)展。（作者：申衛(wèi)星，清華大學(xué)法學(xué)院教授）