原標題：專家解讀｜筑基數據跨境流動 護航個人信息安全

　　近日，國家互聯(lián)網信息辦公室、國家市場監(jiān)督管理總局聯(lián)合發(fā)布《個人信息出境認證辦法》（以下簡稱《辦法》），進一步推動《個人信息保護法》第三十八條所規(guī)定的個人信息出境合規(guī)體系全面落地?！掇k法》詳細規(guī)定了個人信息出境認證的適用情形，個人信息出境認證的申請方式、認證要求及證書有效期，專業(yè)認證機構應當履行的義務，監(jiān)督管理要求等關鍵內容，填補了此前個人信息出境認證機制在操作層面的法律空白。同時，《辦法》與《數據出境安全評估辦法》《個人信息出境標準合同辦法》《促進和規(guī)范數據跨境流動規(guī)定》等規(guī)章相互銜接，共同構筑起一套多層次、全覆蓋的個人信息出境監(jiān)管框架，為實現個人信息安全有序跨境流動提供了堅實的制度保障。

　　在國際數據治理實踐中，個人信息出境認證已成為數據跨境流動的重要合法性機制之一。歐盟《通用數據保護條例》明確將數據保護認證作為判斷數據跨境流動合法性的依據，該類認證制度的適用范圍不斷擴大，有助于解決各國關于個人信息安全出境的制度分歧。與數據出境安全評估、個人信息出境標準合同等其他數據出境制度相比，個人信息出境認證制度展現出其獨特優(yōu)勢：它不是由主管部門對申報材料直接審核，而是將認證活動交由具備資質的專業(yè)認證機構組織實施，并由其頒發(fā)認證證書。獲證個人信息處理者在證書有效期內無需重復申請認證，既能在一定程序上確保個人信息出境的安全性，又減輕了企業(yè)合規(guī)負擔。此前，國家互聯(lián)網信息辦公室與國家市場監(jiān)督管理總局聯(lián)合發(fā)布了《關于實施個人信息保護認證的公告》，提出《個人信息保護認證實施規(guī)則》，明確將推薦性國家標準GB/T 35273《信息安全技術 個人信息安全規(guī)范》和網安標委實踐指南TC260-PG-20222A《個人信息跨境處理活動安全認證規(guī)范》作為認證依據，并規(guī)定上述標準、規(guī)范原則上應當執(zhí)行最新版本。日前，國家標準委公布新的推薦性國家標準GB/T 46068-2025《數據安全技術 個人信息跨境處理活動安全認證要求》，將于2026年3月1日實施，《個人信息跨境處理活動安全認證規(guī)范》將不再適用?！掇k法》與以上文件、標準共同形成了涵蓋認證標準、實施程序與機構管理的完整制度體系，使個人信息出境認證機制從原則性規(guī)定走向具體實踐?？傮w來看，《辦法》在借鑒國際通行做法的基礎上，結合我國數據出境治理實踐，對個人信息出境認證制度進行了系統(tǒng)設計，使其在保障安全的同時更好地服務于數據跨境流動的現實需求。具體而言，主要表現為以下三個方面。

　　第一，精準界定認證制度適用范圍，實現風險分級與監(jiān)管聚焦的有機結合?！掇k法》第五條明確，適用認證機制的個人信息處理者應為非關鍵信息基礎設施運營者，且在當年度累計向境外提供的個人信息數量處于特定區(qū)間，即不含敏感個人信息的數量在10萬人以上、不滿100萬人，或敏感個人信息的數量為不滿1萬人。同時，《辦法》強調所涉出境個人信息不得包含重要數據，并禁止通過數量拆分等方式規(guī)避安全評估義務。這種分類分級的設計思路，既體現了基于風險的監(jiān)管邏輯，也為不同類型、不同規(guī)模的企業(yè)提供了與其風險等級相匹配的個人信息出境路徑選擇，實現了精準監(jiān)管與促進發(fā)展的平衡。除此之外，《辦法》第七條明確，中華人民共和國境外的個人信息處理者申請個人信息出境認證的，應當由其在境內設立的專門機構或者指定代表協(xié)助進行申請，規(guī)定了我國個人信息出境認證制度的域外適用效力，有助于提升我國數據跨境流動法律制度的國際競爭力。

　　第二，明確專業(yè)認證機構應當履行的義務，構建權責清晰、運行透明的認證實施體系?！掇k法》第八條、第九條明確，專業(yè)認證機構應當按照認證基本規(guī)范、個人信息保護認證規(guī)則開展個人信息出境認證活動；應當在出具認證證書或者認證證書狀態(tài)發(fā)生變化后5個工作日內，向全國認證認可信息公共服務平臺報送相關信息?！掇k法》第十條明確，專業(yè)認證機構發(fā)現獲證個人信息處理者存在個人信息出境情況與認證范圍不一致等情形，不再符合認證要求的，應當暫停其使用直至撤銷相關認證證書?！掇k法》第十一條、第十二條明確，專業(yè)認證機構發(fā)現個人信息出境活動違反法律、行政法規(guī)和國家有關規(guī)定的，應當及時向國家網信部門和有關部門報告；在取得個人信息保護認證資質之日起10個工作日內向國家網信部門辦理備案手續(xù)。這些要求不僅強化了專業(yè)認證機構的規(guī)范水平、專業(yè)責任與社會信用，也通過信息公示與備案管理增強了認證過程的透明度與公信力，為認證結果的權威性奠定了制度基礎。

　　第三，明確網信部門與市場監(jiān)管部門等部門的職責分工，形成協(xié)同監(jiān)管與動態(tài)治理的合力?！掇k法》第四條明確，國家市場監(jiān)督管理部門會同國家網信部門制定個人信息保護認證規(guī)則、統(tǒng)一認證證書及標志?！掇k法》第九條、第十條、第十三條、第十六條明確，國家市場監(jiān)督管理部門和國家網信部門建立認證信息共享機制，對個人信息出境認證活動開展定期或者不定期的檢查，并對認證過程與結果進行抽查。在發(fā)現獲證個人信息處理者存在違規(guī)情形時，國家網信部門和有關部門可依法要求專業(yè)認證機構暫停直至撤銷相關認證證書，省級以上網信部門和有關部門可對涉事企業(yè)開展約談并實施整改監(jiān)督。這種分工明確、互為補充的監(jiān)管模式，既避免了職能重疊與資源浪費，又確保了認證活動全流程的可控性與應變能力，充分體現了我國在個人信息保護領域治理能力現代化水平的提升。

　　《辦法》的出臺，不僅是我國個人信息出境制度完善的重要里程碑，也是全球數據治理體系中的一項積極實踐。它通過認證這一市場化機制，在安全與效率、監(jiān)管與市場之間找到了富有中國智慧的數據出境治理新方案。隨著未來認證工作的逐步推廣，我國個人信息跨境流動將迎來更加規(guī)范、便捷的新局面，為數字經濟的持續(xù)健康發(fā)展注入強勁動力。（作者：趙精武，北京航空航天大學法學院副教授）