个人信息出境标准合同办法 第一条 为了保护个人信息权益，规范个人信息 出境活动，根据《中华人民共和国个人信息保护法》 等法律法规，制定本办法。 第二条 个人信息处理者通过与境外接收方订 立个人信息出境标准合同（以下简称标准合同）的 方式向中华人民共和国境外提供个人信息，适用本 办法。 第三条 通过订立标准合同的方式开展个人信 息出境活动，应当坚持自主缔约与备案管理相结合、 保护权益与防范风险相结合，保障个人信息跨境安 全、自由流动。 第四条 个人信息处理者通过订立标准合同的 方式向境外提供个人信息的，应当同时符合下列情 形： （一）非关键信息基础设施运营者； （二）处理个人信息不满 100 万人的； （三）自上年 1 月 1 日起累计向境外提供个人信 息不满 10 万人的； （四）自上年 1 月 1 日起累计向境外提供敏感个 人信息不满 1 万人的。 法律、行政法规或者国家网信部门另有规定的， 从其规定。 个人信息处理者不得采取数量拆分等手段，将依 法应当通过出境安全评估的个人信息通过订立标 准合同的方式向境外提供。 第五条 个人信息处理者向境外提供个人信息 前，应当开展个人信息保护影响评估，重点评估以 下内容： （一）个人信息处理者和境外接收方处理个人信 息的目的、范围、方式等的合法性、正当性、必要 性； （二）出境个人信息的规模、范围、种类、敏感 程度，个人信息出境可能对个人信息权益带来的风 险； （三）境外接收方承诺承担的义务，以及履行义 务的管理和技术措施、能力等能否保障出境个人信 息的安全； （四）个人信息出境后遭到篡改、破坏、泄露、 丢失、非法利用等的风险，个人信息权益维护的渠 道是否通畅等； （五）境外接收方所在国家或者地区的个人信息 保护政策和法规对标准合同履行的影响； （六）其他可能影响个人信息出境安全的事项。 第六条 标准合同应当严格按照本办法附件订 立。国家网信部门可以根据实际情况对附件进行调 整。 个人信息处理者可以与境外接收方约定其他条 款，但不得与标准合同相冲突。 标准合同生效后方可开展个人信息出境活动。 第七条 个人信息处理者应当在标准合同生效 之日起 10 个工作日内向所在地省级网信部门备案。 备案应当提交以下材料： （一）标准合同； （二）个人信息保护影响评估报告。 个人信息处理者应当对所备案材料的真实性负 责。 第八条 在标准合同有效期内出现下列情形之 一的，个人信息处理者应当重新开展个人信息保护 影响评估，补充或者重新订立标准合同，并履行相 应备案手续： （一）向境外提供个人信息的目的、范围、种类、 敏感程度、方式、保存地点或者境外接收方处理个 人信息的用途、方式发生变化，或者延长个人信息 境外保存期限的； （二）境外接收方所在国家或者地区的个人信息 保护政策和法规发生变化等可能影响个人信息权 益的； （三）可能影响个人信息权益的其他情形。 第九条 网信部门及其工作人员对在履行职责 中知悉的个人隐私、个人信息、商业秘密、保密商 务信息等应当依法予以保密，不得泄露或者非法向 他人提供、非法使用。 第十条 任何组织和个人发现个人信息处理者 违反本办法向境外提供个人信息的，可以向省级以 上网信部门举报。 第十一条 省级以上网信部门发现个人信息出 境活动存在较大风险或者发生个人信息安全事件 的，可以依法对个人信息处理者进行约谈。个人信 息处理者应当按照要求整改，消除隐患。 第十二条 违反本办法规定的，依据《中华人民 共和国个人信息保护法》等法律法规处理；构成犯 罪的，依法追究刑事责任。 第十三条 本办法自 2023 年 6 月 1 日起施行。 本办法施行前已经开展的个人信息出境活动，不符 合本办法规定的，应当自本办法施行之日起 6 个月 内完成整改。