《中华人民共和国个人信息保护法》（以下简称《个保法》）第三十八条第一款列出了个人信息跨境提供的不同路径，包括申报数据出境、标准合同备案和专业机构认证。

2023年2月3日，国家互联网信息办公室2023年第2次室务会议审议通过《个人信息出境标准合同办法》（以下简称“《办法》”），2023年6月1日，《办法》正式施行，适用于个人信息处理者通过与境外接收方订立个人信息出境标准合同的方式，向中华人民共和国境外提供个人信息的情况。

《办法》明确了适用标准合同的方式的情形、个人信息保护影响重点评估内容、重新评估、补充或者重新订立标准合同的情形、备案时效和材料等。然而《办法》并未给出细化具体的操作流程。鉴于《办法》第十三条中存在整改时限要求，即办法施行前已经开展的个人信息出境活动，如不符合办法规定的，应当自办法施行之日起6个月内完成整改，在缺乏先例的情况下，如何规范、有序地在今年底完成相关个人信息出境标准合同备案，是不少个人信息处理者共同关心的问题。在此背景下，《个人信息出境标准合同备案指南（第一版）》（以下简称“《备案指南（第一版）》”）的制定出台，可谓一场“及时雨”。

一、《备案指南（第一版）》体例结构

《备案指南（第一版）》分为四个部分，分别为适用范围，备案方式，备案流程，咨询、举报联系方式，并有《个人信息出境标准合同备案材料要求》、《经办人授权委托书（模板）》、《承诺书（模板）》、《个人信息出境标准合同（范本）》和《个人信息保护影响评估报告（模板）》5个附件。总体看内容不多，但指向性强、简洁清晰，便于操作。

二、《个人信息出境标准合同备案指南（第一版）》重点内容

（一）适用范围

根据《备案指南（第一版）》，个人信息处理者通过订立标准合同的方式向境外提供个人信息的，应当同时符合下列情形：

（一）非关键信息基础设施运营者；

（二）处理个人信息不满100万人的；

（三）自上年1月1日起累计向境外提供个人信息不满10万人的；

（四）自上年1月1日起累计向境外提供敏感个人信息不满1万人的。

法律、行政法规或者国家网信部门另有规定的，从其规定。

个人信息处理者不得采取数量拆分等手段，将依法应当通过出境安全评估的个人信息通过订立标准合同的方式向境外提供。

不难发现，《备案指南（第一版）》的上述要求和《办法》第四条的规定完全一致。

《备案指南（第一版）》还明确了个人信息出境行为的情形：

（一）个人信息处理者将在境内运营中收集和产生的个人信息传输、存储至境外；

（二）个人信息处理者收集和产生的个人信息存储在境内，境外的机构、组织或者个人可以查询、调取、下载、导出；

（三）国家网信办规定的其他个人信息出境行为。

《备案指南（第一版）》明确个人信息出境行为的不同情形，方便了个人信息处理者判定其相关个人信息是否出境，进而根据个人信息跨境的具体情况选择不同路径。《办法》并未详细描述个人信息出境行为的情形，但《备案指南（第一版）》对个人信息出境行为的列举和自2022年8月起实施的《数据出境安全评估申报指南（第一版）》（以下简称“《申报指南（第一版）》”）关于“数据出境行为”的表述保持对应关系，虽然申报数据出境和标准合同备案分属不同的路径，但以一个整体性的数据信息出境的视角，考虑判定标准的一致性，对于体系内自洽和操作便利是具有实际意义的。

根据《申报指南（第一版）》，以下情形属于数据出境行为：

（一）数据处理者将在境内运营中收集和产生的数据传输、存储至境外；

（二）数据处理者收集和产生的数据存储在境内，境外的机构、组织或者个人可以查询、调取、下载、导出；

（三）国家网信办规定的其他数据出境行为。

（二）备案方式

《办法》第七条确定了备案的时限和部门，个人信息处理者应当在标准合同生效之日起10个工作日内向所在地省级网信部门备案。《备案指南（第一版）》除遵循上述规定外，还明确了具体的备案方式，即送达书面材料并附带材料电子版。

（三）备案流程

《备案指南（第一版）》将备案流程梳理为材料提交、材料查验及反馈备案结果、补充或者重新备案等环节。

关于材料提交，《办法》第七条中仅提及标准合同和个人信息保护影响评估报告，而《备案指南（第一版）》列举的材料更加丰富，除标准合同和个人信息保护影响评估报告外，还包括统一社会信用代码证件影印件、法定代表人身份证件影印件、经办人身份证件影印件、经办人授权委托书、承诺书。按照《备案指南（第一版）》附件《个人信息出境标准合同备案材料要求》，统一社会信用代码证件、法定代表人身份证件、经办人身份证件为影印件加盖公章，经办人授权委托书、承诺书、个人信息出境标准合同、个人信息保护影响评估报告应提供原件。

承诺书的承诺事项有以下五点：一是出境个人信息的收集、使用符合中华人民共和国有关法律法规规定；二是备案材料所有内容真实、完整、准确和有效；三是未采取数量拆分等手段，将依法应当通过出境安全评估的个人信息通过订立标准合同的方式向境外提供；四是为国家网信办组织实施的个人信息出境标准合同备案工作提供必要的配合和支持；五是个人信息保护影响评估工作为备案之日前3个月内完成，且至备案之日未发生重大变化。

关于材料查验，省级网信办完成材料查验的时限为收到材料后15个工作日内，届时将通知个人信息处理者备案结果（通过、不通过）。如通过备案，省级网信办将向个人信息处理者发放备案编号；如不通过备案，个人信息处理者将收到备案未成功通知及原因，要求补充完善材料的，个人信息处理者应当补充完善材料并于10个工作日内再次提交。

关于补充或者重新备案，《备案指南（第一版）》的表述和《办法》第四条的相关规定完全一致，即在标准合同有效期内出现下列情形之一的，个人信息处理者应当重新开展个人信息保护影响评估，补充或者重新订立标准合同，并履行相应备案手续：

（一）向境外提供个人信息的目的、范围、种类、敏感程度、方式、保存地点或者境外接收方处理个人信息的用途、方式发生变化，或者延长个人信息境外保存期限的；

（二）境外接收方所在国家或者地区的个人信息保护政策和法规发生变化等可能影响个人信息权益的；

（三）可能影响个人信息权益的其他情形。

《备案指南（第一版）》进一步区分了在标准合同有效期内补充订立标准合同和重新订立标准合同的情形。如个人信息处理者在标准合同有效期内补充订立标准合同，应当向所在地省级网信办提交补充材料；如个人信息处理者重新订立标准合同的，应当重新备案。补充或者重新备案的材料查验时间均为15个工作日。

（四）咨询、举报联系方式

《备案指南（第一版）》给出的咨询、举报联系渠道，具体为电子邮箱（bzht@cac.gov.cn）和联系电话（010-55627565）。

三、个人信息出境标准合同备案的地方性文件

我们注意到，在《备案指南（第一版）》出台以后，北京市互联网信息办公室发布的《北京市个人信息出境标准合同备案指引》（以下简称“《备案指引》”），和上海市互联网信息办公室发布《关于个人信息出境标准合同备案的通知》（以下简称“《备案通知》”），结构和内容与《备案指南（第一版）》存在较强的一致性，但较《备案指南（第一版）》提出了更具体的要求。

在体例结构上，北京市《备案指引》分为适用范围、备案方式、备案流程、备案材料清单、备案咨询，上海市《备案通知》分为咨询方式、适用主体、材料准备、备案方式，与《备案指南（第一版）》中涉及的适用范围，备案方式，备案流程，咨询、举报联系方式基本对应。

在内容上，《备案指引》和《备案通知》都限定了个人信息处理者的地域范围，《备案指引》的适用主体为所在地为北京的个人信息处理者，《备案通知》的适用主体为所在地为上海的个人信息处理者。而对于适用情形的规定，《备案指引》和《备案通知》均遵守了《办法》第四条的要求。

值得注意，《备案指引》在适用范围部分进行了说明，主要涉及对备案主体的要求、个人信息及敏感信息的判定，以及个人信息出境行为的不同情形。根据《备案指引》，备案主体须为法人实体，且备案主体应与境内合同签署方一致。如多家独立法人企业同属一家集团公司，可由集团公司作为个人信息出境标准合同备案主体。分公司不具备独立法人，不可代替总部或子公司备案。《备案指引》提出可参考《信息安全技术 个人信息安全规范》（GB/T35273-2020）判定个人信息及敏感个人信息，而对于个人信息出境行为的不同情形的描述，与《备案指南（第一版）》相关内容保持一致。

《备案指引》和《备案通知》进一步细化了《备案指南（第一版）》中“通过送达书面材料并附带材料电子版的方式”的要求，个人信息处理者先将电子版材料发送至指定邮箱，电子版通过查验后，个人信息处理者再提交纸质材料。《备案指引》要求，电子版材料需按照《备案指南（第一版）》附件中列出的材料要求顺序整理。《备案通知》要求，电子版材料查验通过后线下提交书面材料并附带材料电子版，电子版应当提供与纸质材料一致的PDF扫描件，可使用光盘或者其他存储介质。

《备案指引》和《备案通知》在咨询方式部分，写明了工作时间，并提出来电时明确告知主体信息。

值得说明，在实操层面，北京市互联网信息办公室已通过首家企业个人信息出境标准合同备案，为相关个人信息处理者提供了值得参考的先例，也意味着个人信息出境标准合同备案制度进入落地推进的新阶段。

四、结论

《备案指南（第一版）》明确了适用范围，备案方式，备案流程，咨询、举报联系方式，一方面便利了个人信息处理者准备和提交材料，另一方面也细化了关于通过订立标准合同的方式开展个人信息出境活动的备案管理要求。在《备案指南（第一版）》出台后，北京和上海已经进行了一些本地化探索，在遵照《备案指南（第一版）》的基础上，进一步明确了实操细节。