网信办_运营者向境外提供个人信息应进行安全评估
据中国网通网报道，6月13日，国家互联网办公室发布了关于征集《出境安全评价办法（征求意见稿）》的通知。为保障个人信息安全，维护网络空间主权、国家安全和社会公共利益，维护公民和法人的合法权益，根据《中华人民共和国网络安全法》等法律法规，国家互联网信息办公室会同有关部门共同起草了《个人信息出境安全评估办法（征求意见稿）》，目前正在向公众征求意见。有关机构和社会各界有关人士可于2019年7月13日前通过以下方式提交意见：1.请访问中国政府立法信息网（网址：http：//www.chinalaw.gov.cn），并在其主页上的“立法意见征集”提交意见。2.电邮：security@cac.gov.cn3.意见请致函北京市西城区车公庄街11号国家互联网信息办公室网络安全协调局，邮政编码100044，并在信封上注明“征求个人信息出境安全评估办法意见”。国家互联网信息办公室2019年6月13日《个人信息出境安全评估办法（征求意见稿）》第一条为保障个人信息跨境传输的安全，根据《中华人民共和国网络安全法》等相关法律法规，制定本办法。第二条网络经营者向境外提供在中华人民共和国境内经营过程中收集的个人信息（以下简称个人信息出境）的，应当按照本办法进行安全评估。经安全评估，认为个人信息出境对国家安全造成影响，可能损害公共利益，或者个人信息安全难以得到有效保障的，不得出境。如果国家对个人信息的出境另有规定，则根据该规定。第三条网络经营者在个人信息出境前，应当向当地网络空间主管部门申报个人信息出境安全评估。如果您向不同收件人提供个人信息，则需要分别申报安全评估，无需多次或连续向同一收件人提供个人信息。我们将每两年重新评估一次，或在海外的个人信息的目的、类型或保留期限发生变化时。第四条网络经营者对申报的个人信息进行出境安全评估，应当提供下列资料，并对资料的真实性、准确性负责：1.声明;（四）国家网络管理局要求提供的其他材料。第五条省级网络空间主管部门收到个人信息安全评估申报表并对其完整性进行核实后，应当组织专业人员或者技术人员进行安全评估。安全评估将在15个工作日内完成，复杂的情况下可以延长。第六条个人信息出境安全评价应当重点评价以下内容：1.是否符合国家有关法律、法规和政策规定;（二）合同条款是否充分保障了个人信息主体的合法权益;（四）网络运营者或者接收人是否有侵犯个人信息主体合法权益的历史记录，是否发生重大网络安全事件;（五）网络经营者获取个人信息是否合法、正当;第六条地方网络空间主管部门应当将个人信息出境安全评估结论通知网络运营者，同时将个人信息出境安全评估报告国家网络空间主管部门。网络经营者对省级网络管理局个人信息安全评估结论有异议的，可以向国家网络管理局投诉。第八条网络经营者应当建立个人信息出境记录，并保存至少5年。该记录应包括（1）向海外提供个人信息的日期和时间。23.4第九条网络经营者应当在每年12月31日前，向当地网络空间主管部门报告当年个人信息出境情况、合同履行情况。如发生重大数据安全事故，应向当地网络管理部门报告。第十条省级网络空间主管部门应当定期检查经营者的个人信息出境记录等个人信息出境情况，重点检查其履行合同义务的情况，以及是否有违反国家规定或者侵犯个人信息主体合法权益的行为。侵犯个人信息主体合法权益，发现数据泄露安全事件时，应当及时要求网络运营商予以纠正，并通过网络运营商督促接收方予以纠正。第十一条有下列情形之一的，网络管理部门可以要求网络经营者停止或者停止向境外提供个人信息：（1）发生大规模数据泄露、数据滥用等事件，由网络运营者或接收者造成。2（3）网络运营者或者接收者不能保证个人信息安全的;第十二条任何个人、组织违反本办法规定向境外提供个人信息的，有权向省级以上网络空间主管部门或者有关部门举报。第十三条网络经营者与个人信息接收人签订的合同或者其他具有法律效力的文件（统称合同）应当载明：（一）个人信息出境的目的、类型和保存期限。23四（五）合同终止并不免除合同条款中规定的网络运营者和接收者对个人信息主体合法权益的责任和义务，除非接收人对收到的个人信息进行销毁或匿名化处理。6.第十四条合同应当明确规定，网络经营者应当承担下列责任和义务：1.通过电子邮件、即时通信、信件、传真等方式向个人信息主体通报网络运营者和接收者的基本情况，向境外提供个人信息的目的、类型和保存期限;第十五条合同应当明确规定，接受人应当承担下列责任和义务：（一）向个人信息主体提供访问该个人信息的渠道，个人信息主体要求更正或者删除该个人信息的，应当在合理的代价和期限内作出答复、更正或者删除;第十六条合同应当明确规定，接收人不得将收到的个人信息转发给第三方。（1）网络运营商通过电子邮件、即时通信、信件、传真等方式向个人信息主体通报个人信息的目的、第三方的身份和所在国、传输的个人信息类型、第三方的保留期限等。（2）接收方承诺，当个人信息主体要求停止向第三方传输时，接收方将停止传输，并要求第三方销毁所收到的个人信息。（3）在涉及敏感个人信息的情况下，已获得个人信息主体的同意;（4）网络运营者同意首先承担赔偿责任，因为向第三方传输个人信息，对个人信息主体合法权益造成损害。第十七条网络经营者个人信息出境安全风险分析报告和安全保障措施应当至少包括以下内容：1.网络运营商和接收方的背景、规模、业务、财务、信用、网络安全能力等;2.第十八条网络经营者违反本办法规定向境外提供个人信息的，将按照有关法律、法规的规定处理。第十九条中国参加或者与其他国家、地区、国际组织签订的条约、协定等对个人信息出境有明确规定的，适用其规定。但是，中国声明保留的条款除外。第二十条境外组织在经营活动中，通过互联网收集境内用户个人信息的，应当通过法定代表人或者代理机构履行境内网络运营者的责任和义务。第二十一条 本办法下列用语的含义：（一）网络经营者是指网络的所有人、管理人和网络服务提供者。（二）个人信息是指以电子方式或者其他方式记录的，可以单独或者与其他信息一起识别自然人的个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证号码、个人生物特征、地址、电话号码等。3.第二十二条本办法自当年当月起施行。【图片来源：新报纸】