2月24日，國家互聯(lián)網(wǎng)信息辦公室公布《個人信息出境標(biāo)準(zhǔn)合同辦法》（以下簡稱《辦法》），對個人信息出境標(biāo)準(zhǔn)合同（以下簡稱《標(biāo)準(zhǔn)合同》）的適用條件和備案監(jiān)管等作了具體規(guī)定，自2023年6月1日起施行?！掇k法》的施行，反映了尊重國際規(guī)則又適應(yīng)中國國情的個人信息出境監(jiān)管體系的新發(fā)展。

一、《標(biāo)準(zhǔn)合同》的適用主體、保護(hù)目的、效力范圍與生效條件

1.適用《標(biāo)準(zhǔn)合同》的主體限定

《辦法》對于能夠采取《標(biāo)準(zhǔn)合同》實施個人信息跨境的主體范圍進(jìn)行了非常明確的界定，包括：非關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者；處理個人信息不滿100萬人的；自上年1月1日起累計向境外提供個人信息不滿10萬人的；自上年1月1日起累計向境外提供敏感個人信息不滿1萬人的。個人信息處理者必須同時滿足上述四項條件，才能夠適用《標(biāo)準(zhǔn)合同》。

2.基于合同出境的個人信息保護(hù)最低約束條件

《標(biāo)準(zhǔn)合同》明確其制定直接目的在于“為了確保境外接收方處理個人信息的活動達(dá)到中華人民共和國相關(guān)法律法規(guī)規(guī)定的個人信息保護(hù)標(biāo)準(zhǔn)”、“明確個人信息處理者和境外接收方個人信息保護(hù)的權(quán)利和義務(wù)”?；诖四康脑O(shè)置了個人信息出境活動中，作為境外接收方的外國企業(yè)、組織等實體的最低合同義務(wù)要求，并通過合同對各方權(quán)利義務(wù)的合理分配、法律適用與違約責(zé)任等予以規(guī)定，保障了對個人信息出境活動的各方管理制度、安全技術(shù)措施的驗證與追責(zé)，使得個人、境內(nèi)外企業(yè)組織等實體完全可以通過民事訴訟等方式維護(hù)自身合法權(quán)益，而無需動輒啟動公權(quán)力。

3.民事合同層面的優(yōu)先適用與效力

根據(jù)《標(biāo)準(zhǔn)合同》第九條，個人信息處理者與境外接收方簽訂與個人信息出境活動相關(guān)的其他合同如與《標(biāo)準(zhǔn)合同》沖突，《標(biāo)準(zhǔn)合同》條款優(yōu)先適用，且個人信息處理者和境外接收方不能對《標(biāo)準(zhǔn)合同》的內(nèi)容進(jìn)行調(diào)整或刪減，否則將視為未簽訂《個人信息保護(hù)法》第38條規(guī)定的標(biāo)準(zhǔn)合同。而如果未簽訂《標(biāo)準(zhǔn)合同》，則可能導(dǎo)致對《個人信息保護(hù)法》出境條件的不符合而承擔(dān)不利法律后果。

若各方確需對個人信息的出境情況進(jìn)行補(bǔ)充，補(bǔ)充條款不應(yīng)對《標(biāo)準(zhǔn)合同》條款進(jìn)行任何效力修訂、否定或排除，不得與《標(biāo)準(zhǔn)合同》相沖突，并不得規(guī)定低于《標(biāo)準(zhǔn)合同》設(shè)置的義務(wù)和責(zé)任，特別是不得對個人信息主體的權(quán)利及其行使設(shè)定任何障礙或限制。

還需要注意，簽訂和履行《標(biāo)準(zhǔn)合同》僅是從民事合同層面約定的各方權(quán)利義務(wù)，以及違反合同約定的民事責(zé)任，并不能當(dāng)然減輕或免除個人信息處理者因違反《個人信息保護(hù)法》而導(dǎo)致的其他法律責(zé)任。

4.《標(biāo)準(zhǔn)合同》的生效條件與備案性質(zhì)

《辦法》第七條要求個人信息處理者應(yīng)當(dāng)在《標(biāo)準(zhǔn)合同》生效之日起10個工作日內(nèi)，向所在地省級網(wǎng)信部門備案。該條明確了《標(biāo)準(zhǔn)合同》的生效不依賴于備案或任何前置條件，備案《標(biāo)準(zhǔn)合同》不屬于行政許可，即使未備案，也不影響合同本身的有效性，充分尊重各方當(dāng)事人的意思自治，但同樣這不影響因違反《個人信息保護(hù)法》而產(chǎn)生的相關(guān)行政責(zé)任。如果在合同有效期內(nèi)發(fā)生重大的約定事項變化，個人信息處理者需要補(bǔ)充或者重新簽訂《標(biāo)準(zhǔn)合同》并備案。

二、《標(biāo)準(zhǔn)合同》的體系結(jié)構(gòu)與形式完備性

1.屬于業(yè)務(wù)主合同下個人信息處理的特別約定

《標(biāo)準(zhǔn)合同》在開篇的背景描述（也稱“鑒于條款”）中即明確，為境內(nèi)外雙方商務(wù)、業(yè)務(wù)等（法律商事活動）主合同的某種附件、補(bǔ)充或特別約定，并非單獨設(shè)計，而是貼合企業(yè)、組織等實體的真實業(yè)務(wù)需求，和對《個人信息保護(hù)法》規(guī)定的“因業(yè)務(wù)等需要”，確需向境外提供個人信息的準(zhǔn)確回應(yīng)。

2.《標(biāo)準(zhǔn)合同》的合同條款結(jié)構(gòu)

《標(biāo)準(zhǔn)合同》按照中國法下民事合同從設(shè)立到履行、再到可能解除或終止的“合同生命周期”管理的過程進(jìn)行設(shè)計，屬于國際上普遍認(rèn)可的合同條款的結(jié)構(gòu)形式?！稑?biāo)準(zhǔn)合同》主要條款有九條，囊括了定義、個人信息處理者的義務(wù)、境外接收方的義務(wù)、境外接收方所在國家或者地區(qū)個人信息保護(hù)政策和法規(guī)對合同履行的影響、個人信息主體的權(quán)利、救濟(jì)、合同解除、違約責(zé)任以及其他通用條款，符合《民法典》的合同體系化要求，緊密圍繞個人信息保護(hù)打造，特別突出了對第三方受益者“個人信息主體權(quán)利”的事前保護(hù)和事后“救濟(jì)”機(jī)制，構(gòu)成了合同中第三方權(quán)益的強(qiáng)化約定，是《民法典》第522條等在數(shù)據(jù)處理類合同中的細(xì)化，并具有《個人信息保護(hù)法》的鮮明特色。

三、《標(biāo)準(zhǔn)合同》主要條款解讀與適用

1.個人信息處理者的義務(wù)

《標(biāo)準(zhǔn)合同》第二條以（境內(nèi)）個人信息處理者單方陳述、保證和承諾的方式直接規(guī)定了其法律義務(wù)，其中個人信息保護(hù)影響評估是簽訂《標(biāo)準(zhǔn)合同》之前，或者說至少不晚于簽訂時應(yīng)完成的事項。個人信息保護(hù)影響評估報告屬于備案材料。

2.境外接收方的義務(wù)

境外接收方的義務(wù)主要面向（境內(nèi)）個人信息處理者和個人信息所涉及的主體本身兩方面進(jìn)行規(guī)定。由于《標(biāo)準(zhǔn)合同》制定目的之一是“確保境外接收方處理個人信息的活動達(dá)到中國相關(guān)法律法規(guī)規(guī)定的個人信息保護(hù)標(biāo)準(zhǔn)”，即對出境后的個人信息仍能實施有效保護(hù)，因此第三條境外接收方的義務(wù)成為《標(biāo)準(zhǔn)合同》最復(fù)雜的條款。

3.境外接收方所在國家或者地區(qū)個人信息保護(hù)政策和法規(guī)對合同履行的影響

《標(biāo)準(zhǔn)合同》第四條要求合同雙方從勤勉盡責(zé)出發(fā)進(jìn)行保證和聲明，主要考慮內(nèi)容包括：（1）境外接收方過往的個人信息活動實踐，包括執(zhí)法和司法要求提供個人信息及其應(yīng)對等情況的披露；（2）對境外接收方所在國家或者地區(qū)的個人信息保護(hù)政策法規(guī)、執(zhí)法司法機(jī)構(gòu)、標(biāo)準(zhǔn)等進(jìn)行整體披露；（3）政策法規(guī)發(fā)生變化時的通知義務(wù)，直至解除合同。

4.個人信息主體的權(quán)利和救濟(jì)

《標(biāo)準(zhǔn)合同》規(guī)定的個人信息主體權(quán)利是對《個人信息保護(hù)法》第四章內(nèi)容的合同化，但個人信息主體非《標(biāo)準(zhǔn)合同》的合同方，因此《標(biāo)準(zhǔn)合同》對“第三方”個人信息主體設(shè)置權(quán)利時充分考慮了可接受和可行性，同時避免對個人信息主體設(shè)置任何義務(wù)或障礙。

可接受和可行性的考慮主要體現(xiàn)為：（1）個人信息主體可以分別、單獨向個人信息處理者或境外接收方主張權(quán)利；（2）境外接收方應(yīng)當(dāng)以顯著方式、清晰易懂的語言真實、準(zhǔn)確、完整地告知個人信息主體相關(guān)信息，這一要求體現(xiàn)為境外接收方應(yīng)主要通過可訪問的隱私政策、可切換語言種類的不同頁面，具有辨識度的請求和投訴聯(lián)絡(luò)方式；（3）境外接收方同意個人信息主體就合同爭議的解決依據(jù)為中國相關(guān)法律法規(guī)等等。

5.合同解除與違約責(zé)任

作為典型的合同條款，《標(biāo)準(zhǔn)合同》規(guī)定了合同解除的觸發(fā)情形和可能導(dǎo)致的違約責(zé)任，特殊考慮在于在合同解除與違約責(zé)任中需要充分考慮個人信息主體的權(quán)利，由于個人信息主體往往并不能第一時間獲知數(shù)據(jù)泄露或其他損害其權(quán)益的情況，這也對條款設(shè)計的協(xié)調(diào)與呼應(yīng)提出更高要求。例如無論何種情形導(dǎo)致合同解除，境外接收方應(yīng)及時返還、銷毀或匿名化處理其根據(jù)合同所接收到的個人信息（包括所有備份），并向個人信息處理者提供書面說明。刪除個人信息從技術(shù)上難以實現(xiàn)的，應(yīng)當(dāng)停止存儲和采取必要的安全保護(hù)措施之外的處理。

四、總結(jié)與展望構(gòu)筑了基于合同出境的個人信息保護(hù)的最低約束條件，體現(xiàn)了中國對個人信息保護(hù)的多層次、高規(guī)格要求

從國際經(jīng)驗來看，在國際間政策法律和安全環(huán)境缺乏充分性認(rèn)定，認(rèn)證機(jī)構(gòu)和結(jié)論的互通互認(rèn)、信任基礎(chǔ)存在較大差異的當(dāng)前，《標(biāo)準(zhǔn)合同》因其靈活便捷和風(fēng)險有限，可以成為個人信息跨境使用的重要法律工具，并在合同的相對性中回應(yīng)各方利益需求的不斷變化。整體來看，我國《辦法》和《標(biāo)準(zhǔn)合同》對個人信息跨境場景給出了一致性而又留有彈性空間的標(biāo)準(zhǔn)合同范本，結(jié)構(gòu)體系基本完備，內(nèi)容聚焦個人信息主體權(quán)利保護(hù)，有助于個人信息處理者簡化跨境合規(guī)流程，反映了當(dāng)下個人信息處理者在進(jìn)行出境評價、評估時的重點關(guān)注，切實考慮了個人信息跨境的不同法域沖突與協(xié)調(diào)問題，其施行有助于個人信息處理者、境外接收方等實體梳理各方權(quán)利義務(wù)，將技術(shù)措施、管理制度等要求落地到可舉證、可追責(zé)的程度。

對于越發(fā)多元化的中國數(shù)字經(jīng)濟(jì)模式而言，如何借助于包括《標(biāo)準(zhǔn)合同》、安全評估等在內(nèi)的個人信息跨境法律工具，充分發(fā)揮法律、管理和技術(shù)的不同聚合、疊加、去重、互補(bǔ)的安全保障和規(guī)范功能，同時開展實施后的效果反饋和使用評估，《辦法》的嘗試值得期待。（作者：黃道麗 公安部第三研究所研究員）