境外个人信息安全评估优化方案

对于确需向境外提供个人信息的，应当通过国家网信部门组织的安全评估。关键信息基础设施运营者和其他应当在境内存储个人信息的个人信息处理者涉及多个行业和领域的，本条明确规定由网信部门组织个人信息出境的安全评估，既有利于发挥国家网信部门的统筹协调作用，又有利于保障安全评估的统一性和权威性。国家网信部门应当及时组织制定个人信息出境的安全评估办法，保证安全评估工作的依法顺利进行。同时，考虑到关键信息基础设施运营者等向境外提供个人信息的需求和场景多样，为了满足一些特殊情形下个人信息出境的客观需要，本条规定，法律、行政法规和国家网信部门可以对无须进行安全评估的例外情形作出规定。

第四十一条　中华人民共和国主管机关根据有关法律和中华人民共和国缔结或者参加的国际条约、协定，或者按照平等互惠原则，处理外国司法或者执法机构关于提供存储于境内个人信息的请求。非经中华人民共和国主管机关批准，个人信息处理者不得向外国司法或者执法机构提供存储于中华人民共和国境内的个人信息。

［释义］本条是有关如何处理外国司法或者执法机构关于提供存储于境内个人信息请求的规定。

经济全球化的快速发展以及互联网信息技术的不断创新改变了过去数据主要集中在本地存储和处理的模式，数据存储于境外给各国司法和执法机构的调查取证带来很多困难。由于司法权、行政执法权是国家权力的重要组成部分，不论是本国司法或者执法机关调取存储在国外的数据，还是外国司法或者执法机构调取存储在他国的数据，均需要遵循国家主权原则，在国际法框架下通过国际司法协助、国际行政执法协助开展。近年来，一些国家通过立法赋予本国司法、行政执法机构远程获取境外数据的权力，不符合在国际法框架下通过国际司法协助、国际行政执法协助获取证据的要求。一些国家出于维护自身主权和利益的考虑，通过立法对他国跨境调取数据信息予以应对，如欧盟《通用数据保护条例》第四十八条针对跨境提供个人数据等证据作出了专门规定，第三国的法院、裁判组织的判决或者行政机构的决定要求数据控制者或处理者提供或披露个人数据的，则仅当提出要求的第三国与欧盟或者其成员国之间存在有效的国际条约，如双边司法协助协定，且不违反向境外转移个人数据有关规定的条件下，相关判决、决定才能够被承认或执行。

对于外国司法和执法机构要求提供存储于我国境内的数据，我国历来强调应当尊重国家主权，坚持应通过主权国家之间的平等互惠合作来处理。我国国际刑事司法协助法第四条规定，中华人民共和国和外国按照平等互惠原则开展国际刑事司法协助；非经中华人民共和国主管机关同意，中华人民共和国境内的机构、组织和个人不得向外国提供证据材料和本法规定的协助。我国民事诉讼法第二百八十三条规定，根据中华人民共和国缔结或者参加的国际条约，或者按照互惠原则，人民法院和外国法院可以相互请求，代为送达文书、调查取证以及进行其他诉讼行为。数据安全法第三十六条规定，中华人民共和国主管机关根据有关法律和中华人民共和国缔结或者参加的国际条约、协定，或者按照平等互惠原则，处理外国司法或者执法机构关于提供数据的请求。非经中华人民共和国主管机关批准，境内的组织、个人不得向外国司法或者执法机构提供存储于中华人民共和国境内的数据。

个人信息保护法基于我国的一贯主张，并在上述法律规定的基础上，对于如何处理外国司法或者执法机构要求提供存储于我国境内的个人信息的请求作出规定：由有关主管机关根据有关法律和我国缔结或者参加的国际条约、协定来处理。对于外国提出的刑事司法协助的请求，应当依照刑事司法协助条约的规定提出请求书，没有条约或者条约没有规定的应当在请求书中载明有关事项并附相关材料，请求应当向我国对外联系机关提出，对外联系机关在收到外国的请求后应当依法进行审查；符合要求的转送有关机关处理。对于民事诉讼方面的请求，应当依照我国缔结或者参加的国际条约、协定所规定的途径进行处理，没有条约关系的通过外交途径进行处理。对于有关行政执法方面的请求，目前在反洗钱、税收方面有相关的国际条约、协定，在证券监管等领域我国与有关国家签订了行政执法合作方面的协议。无论是国际司法协助，还是国际行政执法协助，依照我国法律和有关国际条约、协定，均应通过有关主管机关进行，据此本条还特别强调，非经中华人民共和国主管机关批准，个人信息处理者不得向外国司法或者执法机构提供存储于中华人民共和国境内的个人信息。

第四十二条　境外的组织、个人从事侵害中华人民共和国公民的个人信息权益，或者危害中华人民共和国国家安全、公共利益的个人信息处理活动的，国家网信部门可以将其列入限制或者禁止个人信息提供清单，予以公告，并采取限制或者禁止向其提供个人信息等措施。(www.xing528.com)

［释义］本条是关于限制或禁止向境外提供个人信息的规定。

一、对境外的组织、个人从事侵害我国公民个人信息权益或者危害我国国家安全、公共利益的个人信息处理活动，应当依法追究法律责任

本法第三条第二款规定了在境外处理我国境内自然人个人信息的活动适用本法的三种情形，符合这些情形的境外组织、个人应当严格遵守本法规定处理我国境内自然人的个人信息；违反本法规定处理个人信息的，应当依照本法有关规定追究其行政法律责任和民事法律责任。

境外的组织、个人在境外处理我国境内自然人个人信息的活动，如不具有本法第三条第二款规定的情形，但是依照涉外民事法律关系适用法，消费者合同，适用消费者经常居所地法律；侵权责任，适用侵权行为地法律；通过网络或者其他方式侵害姓名权、肖像权、名誉权、隐私权等人格权的，适用被侵权人经常居所地法律。据此，境外的组织、个人从事侵害我国公民个人信息权益的行为，可以依照上述法律规定追究其民事责任。

根据刑法第六条的规定，凡在我国领域内犯罪的，除法律有特别规定的以外，都适用本法；犯罪的行为或者结果有一项发生在我国领域内的，就认为是在我国领域内犯罪。第八条规定，外国人在我国领域外对我国国家或者公民犯罪，而按本法规定的最低刑为三年以上有期徒刑的，可以适用本法，但是按照犯罪地的法律不受处罚的除外。据此，境外的组织、个人在我国境外从事侵害我国公民个人信息权益或者危害我国国家安全、公共利益的个人信息处理活动，构成犯罪的，应当依法追究其刑事法律责任。