随着移动应用业务的全球化发展，个人信息跨境传输已十分普遍。为了规范个人信息处理者的数据处理行为，切实保障用户在数据出境过程中的知情权与决定权，我国《个人信息保护法》明确规定，个人信息处理者在向境外提供个人信息前，必须向个人履行告知义务，并取得个人的单独同意。
本文将从《个人信息保护法》第三十八、三十九条出发，围绕向境外提供个人信息的告知事项进行探讨，辅以实例进行说明，旨在帮助移动应用业务场景下个人信息处理者规范业务合规操作。
一、条款解析
原 文 | 细 分 | 条款解析 |
个人信息处理者向中华人民共和国境外提供个人信息的，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意 | 告知接收方基本信息 | 1. 境外接收方的名称或者姓名：境外接收方为组织的，应列明组织名称；境外接收方为个人的，应列明个人姓名。 2. 联系方式：联系方式须真实有效，可以是电子邮箱、电话号码、客服中的一种或多种。 |
告知数据处理的核心要素 | 1. 处理目的：明确说明境外接收方处理目的，目的应清晰具体，与业务场景直接相关。 2. 处理方式：说明境外接收方如何接收、存储、使用、加工、传输、提供、公开、删除个人信息。 3. 个人信息的种类：指向境外提供的具体个人信息类型。 | |
告知权利行使的途径 | 应告知个人如何向境外接收方行使相关权利。 | |
取得个人的单独同意 | 向境外提供个人信息，应在充分告知的基础上取得个人的单独同意。 |
二、合规思路
个人信息处理者向用户告知境外接收方信息，必须建立在存在向境外提供个人信息行为的基础上。因此，我们的合规思路是先界定是否存在向境外提供个人信息情况，进而针对不同情形，分别提供“不涉及”与“涉及”的合规示例。
图：合规思路
（一）确认是否存在境外传输
《数据出境安全评估申报指南（第三版）》中明确说明以下行为可以视为出境行为：
数据处理者将在境内运营中收集和产生的数据传输至境外；
数据处理者收集和产生的数据存储在境内，境外的机构、组织或者个人可以查询、调取、下载、导出；
符合《个人信息保护法》第三条第二款情形，在境外处理境内自然人个人信息等其他数据处理活动。
图：《个人信息保护法》第三条第二款
根据《出境入境管理法》第八十九条，数据从中国内地传输至港澳台也为出境。
图：《出境入境管理法》第八十九条
综上，企业应自查是否存在上述向境外提供个人信息的情形，进而根据自查结果，做进一步合规措施。
（二）无境外提供个人信息的合规实施
经排查，确实不存在向境外提供个人信息的，推荐在隐私政策内明确告知用户不会向境外提供个人信息。
图：无境外提供个人信息隐私政策声明示例
（三）存在向境外提供个人信息的合规实施
企业自查，存在向境外提供个人信息情况的，应进行如下措施：
1、向境外提供个人信息前置要求
企业在确认存在向境外提供个人信息后，应先按个保法第三十八条进行前置审核操作。
（1）通过国家网信部门组织的安全评估后向境外提供个人信息
符合《促进和规范数据跨境流动规定》第七条和《数据出境安全评估办法》第四条的应当申报数据出境安全评估，该类移动应用可参考《数据出境安全评估申报指南》进行准备。
图：《促进和规范数据跨境流动规定》第七条
图：《数据出境安全评估办法》第四条
图：《数据出境安全评估申报指南》-项目新建与申报部分
（2）经专业机构进行个人信息保护认证后向境外提供个人信息
通过个人信息出境认证的方式向境外提供个人信息的，应当符合《促进和规范数据跨境流动规定》第八条的情形。此外《个人信息出境认证办法》明确提出个人信息处理者不得采取数量拆分等手段，将依法应当通过出境安全评估的个人信息通过个人信息出境认证的方式向境外提供。该类移动应用可参考《个人信息保护认证实施规则》进行准备。
图：《促进和规范数据跨境流动规定》第八条
图：《个人信息出境认证办法》第五条
图：《个人信息保护认证实施规则》认证实施程序
（3）与境外接收方订立个人信息出境标准合同
符合《促进和规范数据跨境流动规定》第八条的，应当依法与境外接收方订立个人信息出境标准合同或者通过个人信息保护认证，该类移动应用应当严格按照《个人信息出境标准合同办法》中附件准备合同，个人信息处理者可以与境外接收方约定其他条款，但不得与标准合同相冲突。
图：《促进和规范数据跨境流动规定》第八条
图：《个人信息出境标准合同办法》
（4）符合法律、行政法规或者国家网信部门规定的其他条件
符合《促进和规范数据跨境流动规定》第三、四、五条的，可免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。
图：《促进和规范数据跨境流动规定》第三、四、五条
根据《促进和规范数据跨境流动规定》第六条，自由贸易试验区可以自行制定区内需要纳入数据出境安全评估、个人信息出境标准合同、个人信息保护认证管理范围的数据清单（以下简称负面清单）。自由贸易试验区内数据处理者向境外提供负面清单外的数据可免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。
图：《促进和规范数据跨境流动规定》第六条
上述豁免是对安全评估、标准合同、认证等出境路径的豁免，不等于对所有个人信息保护义务的豁免。《促进和规范数据跨境流动规定》第十条仍要求，数据处理者向境外提供个人信息的，应按照法律、行政法规履行告知、取得个人单独同意、进行个人信息保护影响评估等义务。
图：《促进和规范数据跨境流动规定》第十条
移动应用不能以已经取得用户单独同意为由，替代安全评估、认证、标准合同等出境路径；也不能以已经签署标准合同或者通过安全评估为由，不再履行个保法第三十九条的告知和单独同意义务。
2、告知接收方的基本信息
（1）名称或者姓名
接收方的名称或姓名不应仅使用无法定位具体接收方的表述，应根据实际出境情况逐项列明境外接收方，且写明具体公司名称/个人姓名。
如存在多个境外接收方，应分别列明，不宜合并表述。
图：告知接收方名称合规示例
（2）联系方式
联系方式不能仅提供境外接收方官网，也不能提供无法处理个人信息权利请求的普通商务邮箱，应提供真实、有效、明确、可触达的联系方式。
如果企业不希望用户直接联系境外接收方，也可设置由境内个人信息处理者统一受理并转交境外接收方的机制，该机制也应在告知文本中写明。
图：告知接收方联系方式合规示例
3、告知数据处理的核心要素
（1）处理目的
处理目的不应使用宽泛的描述，应清晰明确、易于用户理解。
如同一境外接收方基于多个目的处理个人信息，应分别列明目的，不应以一个概括目的覆盖多个处理活动。
图：告知接收方处理目的合规示例
（2）处理方式
处理方式不应仅说明“依法处理”或“按照隐私政策处理”，应列明具体、明确的处理方式。
图：告知接收方处理方式合规示例
（3）向境外提供个人信息的种类
个人信息种类不应概括为“相关个人信息”等，需列明具体信息字段。
图：告知用户信息种类合规示例
4、告知权利行使的途径
向境外提供个人信息后，用户仍享有《个人信息保护法》规定的权利。个人信息处理者应确保境外接收方能够配合用户行使权利，并告知用户如何向境外接收方行使知情权、自主决定权、撤回同意、查询、复制、更正、转移、删除、要求解释权、逝者近亲属替代行使权等权利。
告知内容不应笼统为“您可以联系我们行使权利”，应说明具体的权利实施方式。用户可直接联系境外接收方的，提供境外接收方的请求入口或邮箱等途径；由境内个人信息处理者统一受理并转交的，也应在告知文本内明确提出。
图：境外传输告知用户行使权利合规示例
5、取得个人的单独同意
取得个人的单独同意应在数据实际向境外提供个人信息前完成。推荐采用独立弹窗或页面，设置明确的“同意/不同意”选项，严禁默认勾选，确保由用户主动选择以落实单独同意要求。
图：境外传输取得个人单独同意合规示例
三、总 结
个人信息出境合规绝非单一文本的填空，而是涵盖数据管理、产品交互、合作方约束及用户权利响应的综合性工程。正因如此，我们更需警惕“千里之堤，溃于蚁穴”，数据合规的漏洞往往就隐藏在看似不起眼的告知环节中。个人信息处理者需时刻绷紧合规这根弦，切勿“因小失大”。只有把规矩立在前面，把细节做到实处，才能让业务在安全合规的轨道上“顺水推舟”，最终实现用户信任与商业价值的双赢。
（本文作者：北京梆梆安全科技有限公司 陈琳达 马婷婷）
声明：本文来自CCIA数据安全工作委员会，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
