《促进和规范数据跨境流动规定》已经2023年11月28日国家互联网信息办公室2023年第26次室务会议审议通过，现予公布，自公布之日起施行。

  第一条为保障数据安全，保护个人隐私信息权益，促进数据依法有序自由流动，根据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人隐私信息保护法》等法律和法规，对于数据出境安全评估、个人隐私信息出境标准合同、个人隐私信息保护认证等数据出境制度的施行，制定本规定。

  第二条数据处理者应当按照相关规定识别、申报重要数据。未被相关部门、地区告知或者公开发布为重要数据的，数据处理者不需要作为重要数据申报数据出境安全评估。

  第三条国际贸易、跨境运输、学术合作、跨国生产制造和市场营销等活动中收集和产生的数据向境外提供，不包含个人隐私信息或者重要数据的，免予申报数据出境安全评估、订立个人隐私信息出境标准合同、通过个人隐私信息保护认证。

  第四条数据处理者在境外收集和产生的个人隐私信息传输至境内处理后向境外提供，处理过程中没有引入境内个人隐私信息或者重要数据的，免予申报数据出境安全评估、订立个人隐私信息出境标准合同、通过个人隐私信息保护认证。

  第五条数据处理者向境外提供个人隐私信息，符合以下条件之一的，免予申报数据出境安全评估、订立个人隐私信息出境标准合同、通过个人隐私信息保护认证：

  （一）为订立、履行个人作为一方当事人的合同，如跨境购物、跨境寄递、跨境汇款、跨境支付、跨境开户、机票酒店预订、签证办理、考试服务等，确需向境外提供个人隐私信息的；

  （二）按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需向境外提供员工个人隐私信息的；

  （三）紧急状况下为保护自然人的生命健康和财产安全，确需向境外提供个人隐私信息的；

  （四）关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供不满10万人个人隐私信息（不含敏感个人隐私信息）的。

  第六条自由贸易试验区在国家数据分类分级保护制度框架下，能自行制定区内需要纳入数据出境安全评估、个人隐私信息出境标准合同、个人隐私信息保护认证管理范围的数据清单（以下简称负面清单），经省级网络安全和信息化委员会批准后，报国家网信部门、国家数据管理部门备案。

  自由贸易试验区内数据处理者向境外提供负面清单外的数据，可以免予申报数据出境安全评估、订立个人隐私信息出境标准合同、通过个人隐私信息保护认证。

  第七条数据处理者向境外提供数据，符合以下条件之一的，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估：

  （二）关键信息基础设施运营者以外的数据处理者向境外提供重要数据，或者自当年1月1日起累计向境外提供100万人以上个人隐私信息（不含敏感个人隐私信息）或者1万人以上敏感个人隐私信息。

  第八条关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供10万人以上、不满100万人个人隐私信息（不含敏感个人隐私信息）或者不满1万人敏感个人隐私信息的，应当依法与境外接收方订立个人隐私信息出境标准合同或者通过个人信息保护认证。

  第九条通过数据出境安全评估的结果有效期为3年，自评估结果出具之日起计算。有效期届满，需要继续开展数据出境活动且未发生要重新申报数据出境安全评估情形的，数据处理者可以在有效期届满前60个工作日内通过所在地省级网信部门向国家网信部门提出延长评估结果有效期申请。经国家网信部门批准，能延续评估结果有效期3年。

  第十条数据处理者向境外提供个人隐私信息的，应当按照法律、行政法规的规定履行告知、取得个人单独同意、进行个人隐私信息保护影响评估等义务。

  第十一条数据处理者向境外提供数据的，应当遵守法律、法规的规定，履行数据安全保护义务，采取技术措施和其他必要措施，保障数据出境安全。发生或者有几率发生数据安全事件的，应当采取补救措施，及时向省级以上网信部门和其他有关主管部门报告。

  第十二条各地网信部门应当加强对数据处理者数据出境活动的指导监督，健全完善数据出境安全评估制度，优化评估流程；强化事前事中事后全链条全领域监管，发现数据出境活动存在比较大风险或者发生数据安全事件的，要求数据处理者进行整改，消除隐患；对拒不改正或者导致非常严重后果的，依法追究法律责任。

  第十三条2022年7月7日公布的《数据出境安全评估办法》（国家互联网信息办公室令第11号）、2023年2月22日公布的《个人隐私信息出境标准合同办法》（国家互联网信息办公室令第13号）等相关规定与本规定不一致的，适用本规定。