Article 4 of the "Data Security Law" and Chapter 3 of the "Personal Information Protection Law" put forward clear requirements for data exportation and cross-border personal information. , characteristics, independence, mutual complementation and other connotations.
This article uses the idea of mutual connection, correlation, and characteristics of the upper law to observe the inclusion, inclusion, independence, etc. of the "Standard Contract Measures for Personal Information Export Abroad" and "Data Export Security Assessment Measures", compare and analyze, and quantify the differences and similarities. requirements and interpret accordingly.
1
Comparison and analysis of the key points of "personal information export by contract" and "safety assessment of declared data export"
By comparing the "Standard Contract Measures for Personal Information Export Abroad" and the "Data Export Security Assessment Measures" Article 4, it can be seen that the provision of personal information overseas by means of contracts is lower than that in terms of attribute level and data volume level. Report the requirements for data export security assessment to the national network information department through the local provincial network information department. details as follows:
Same attributes:
In terms of the basic requirements for data export, the two measures are quantified from the perspectives of attributes, attribute levels, the quantity of outbound data/personal information, and the scope of the amount of outbound data/personal information.
different attributes:
Attributes:
The "Standard Contract Measures for Personal Information Transfer Abroad" is aimed at personal information processors;
The "Data Export Security Assessment Measures" are aimed at data processors.
Attribute level:
The "Standard Measures for Personal Information Outbound Contracts" is aimed at operators of non-critical information infrastructure;
The "Data Export Security Assessment Measures" are aimed at key information infrastructure operators;
quantity:
The "Standard Measures for Personal Information Outbound Contracts" requires: the total amount of personal information is less than 1 million people, the personal information is less than 100,000 people (since January 1 last year), and the sensitive personal information is less than 10,000 people (since January 1 last year) date);
The "Data Outbound Security Assessment Measures" require: personal information of more than 1 million people, personal information of 100,000 people, and sensitive personal information of 10,000 people (greater than or equal to) provided overseas since January 1 last year.
Quantity level:
"Standard Measures for Personal Information Outbound Contracts" refers to less than XX quantity;
"Data Export Security Assessment Measures" refers to the number greater than or equal to XX.
2
Comparative analysis of evaluation requirements before leaving the country
Same attributes:
In the process of processing, it is necessary to satisfy the "legality, legitimacy, and necessity of the purpose, scope, and method of processing" of "domestic and foreign entities" in the process of processing personal information/data;
对境外主体承担履行保障“个人信息/数据安全”义务要求相同（即：管理、技术措施、能力等）。
不同属性：
在风险方向侧：《个人信息出境标准合同办法》更多强调的是“可能对个人信息权益带来的风险”。而《数据出境安全评估办法》更多从全局性风险的角度出发，涵盖了国家安全、公共利益，同时，也包括了个人或者组织合法权益带来的风险。
在风险细节侧：《个人信息出境标准合同办法》在围绕风险方向强调的“个人信息权益带来的风险”， 强调了面向对个人信息的非法利用和维权渠道是否通畅的角度进行了约束，同时，对出境后可能面对的风险进行了要求 （即：篡改、破坏、泄露、丢失等）；而《数据出境安全评估办法》映射出境中的风险应包括非法获取、映射出境后的风险应包括非法利用，同时，《数据出境安全评估办法》既涵盖“国家安全、公共利益”，也涵盖了“个人或者组织合法权益”（即：个人信息权益维护的渠道是否通畅）。
合同履行侧：在《数据出境安全评估办法》第五条 第五项中强调“双方订立的数据出境合同是否充分约定了数据安全保护责任义务”，其内涵包括双方要求以我国法律法规为主体，拟定数据出境相关合同，并围绕我国法律内涵及要求量化双方数据安全保护责任及义务，如果境外国家的法律法规与我国法律法规方向差异较大或进行了内容变动，对履行数据安全保护责任是存在安全隐患的。回到《个人信息出境标准合同办法》第五条 第五项中，将境外接收方所在国家或地区的个人信息保护政策和法规对标准合同履行的影响视为了个人信息保护影响评估的环节。
3
“重新开展个人信息评估”与“数据处理者重新申报评估”比对分析
相同属性：
发生变化或延长保存期限属性：在《个人信息出境标准合同办法》第八条第一项和《数据出境安全评估办法》第十四条第一项中都要求在目的、范围、方式、种类、用途、方式发生变化，或延长保存期限的需要重新评估及重新申报评估；
政策法规变化：在《个人信息出境标准合同办法》第八条第二项和《数据出境安全评估办法》第十四条第二项中，均提到政策法规发生变化需要重新评估及重新申报评估。
不同属性：
数据/个人信息级别属性：数据是具有级别属性的（如：一般数据、重要数据、核心数据），在《数据出境安全评估办法》第十四条 第一项中提到了个人信息和重要数据，强调了数据的级别属性。针对个人信息如需从级别的角度来看，可将个人信息划分为一般个人信息、敏感个人信息等。相对于《数据出境安全评估办法》第十四条 第一项中提到的重要数据，在《个人信息出境标准合同办法》第八条 第一项强调的是个人信息敏感程度；
政策法规变化：在《数据出境安全评估办法》第十四条 第二项中除围绕数据安全保护政策法规的变化外，还相对于《个人信息出境标准合同办法》第八条 第二项中增加了网络安全环境变化 、其他不可抗力情形、境内外主体实际控制权变化等要求；
其他情形：《个人信息出境标准合同办法》围绕个人信息权益（即：权益即安全）；《数据出境安全评估办法》围绕出境数据安全。
4
“个人信息出境坚持原则”与“数据出境安全评估坚持原则”比对分析
相同属性：
防范风险；
跨境安全；
自由流动。
不同属性：
《个人信息出境标准合同办法》第三条，从合同的自主订立、强化对合同的管理 、保障个人信息权益、风险角度进行的明确 ——即：坚持自主缔约与备案管理相结合、保护权益与防范风险相结合；
《数据出境安全评估办法》第三条，从对数据出境前的强化风险、防范风险、安全评估角度，及对事前、事中、事后持续监督角度进行要求——即：坚持事前评估和持续监督相结合、风险自评估与安全评估相结合等。