据报道，从2018年2月28日起，苹果公司的中国内地用户使用iCloud服务及通过 iCloud 存储的所有数据都将自动发送给云上贵州大数据产业发展有限公司并由云上贵州存储。苹果公司此举的主要意图之一在于符合《中华人民共和国网络安全法》（以下简称“《网络安全法》”）以及相关法律法规对于个人信息数据不得离境的要求。与此一致，为数不少的跨境运营企业客户，尤其是涉及大量个人信息采集与处理的房地产经纪行业与奢侈品零售行业的客户，不断向杨春宝律师团队咨询关于与位于境外的集团总部或关联公司共享数据（主要是个人信息数据）的合规问题。为此，本文将从网络安全法合规角度就跨境运营企业的服务器部署及个人信息数据出境问题进行探讨。
近年来，我国在信息安全、用户个人信息保护等方面的法律法规和政策逐步出台和完善，但是，关于个人信息数据不得离境的规定散见于各部门发布的相关规定中。我们将与此相关的规定摘要如下：
（1）个人信用信息：征信机构在中国境内采集的信息的整理、保存和加工，应当在中国境内进行（《征信业管理条例》第二十四条）；
（2）个人金融信息：在中国境内收集的个人金融信息的储存、处理和分析应当在中国境内进行。除法律法规及中国人民银行另有规定外，银行业金融机构不得向境外提供境内个人金融信息（《人民银行关于银行业金融机构做好个人金融信息保护工作的通知》（银发〔2011〕17号））；
（3）人口健康信息：不得将人口健康信息在境外的服务器中存储，不得托管、租赁在境外的服务器（《人口健康信息管理办法（试行）》第十条）；
（4）人类遗传资源信息：除法律规定外，因特殊情况确需临时向外提供人类遗传资源的，须填写人类遗传资源出口出境申报表及审批机关要求的其他材料，经地方主管部门或国务院有关部门审查同意后，报中国人类遗传资源管理办公室，经批准后核发出口、出境证明（参见《人类遗传资源采集、收集、买卖、出口、出境审批行政许可事项服务指南》）；
（5）一系列标准化文件提出云服务提供商应确保机房位于中国境内的技术规范和要求（参见《信息安全技术云计算服务安全指南》第7.1.10条、《信息安全技术云计算服务安全能力要求》第14.2.1条）；
（6）关键信息基础设施的运营者收集和产生的个人信息和重要数据：关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估（《网络安全法》第三十七条）。
为实施《网络安全法》第三十七条，国家互联网信息办公室就《个人信息和重要数据出境安全评估办法（征求意见稿）》（以下简称“《安全评估办法》”）公开征求意见，细化了关于个人信息和重要数据出境安全评估的相关规定。在此基础上，全国信息安全标准化技术委员会公布了《信息安全技术 数据出境安全评估指南（草案）》（以下简称“《评估指南》”），对个人信息和重要数据出境安全评估的评估流程、评估要点、评估方法等作出详细规定。
虽然上述已经生效的相关规定均针对特定企业或特定情形，并未要求一般民用、商用网站必须将服务器设在中华人民共和国境内，也未限制除特定个人信息外的一般个人信息数据出境，而《安全评估办法》尚未正式出台，但《安全评估办法》征求意见稿以及相关机构所持的态度体现出我国对于限制个人信息数据出境的趋势。例如，国家互联网金融安全技术专家委员会发布的《“全国互联网金融阳光计划”第六周关于部分互联网金融网站服务器部署在境外的巡查公告》[1]明确指出部分互联网金融网站相关业务面向中国境内用户，但其服务器部署在境外。并且，该委员会在其“数据披露”平台上将“服务器在境外”与“收益率畸高”“虚假项目”“诱导性宣传”等共同作为警示信息而且排在第一位，相关服务器部署在境外的互联网金融网站因此被公示[2]。
对于跨境运营企业而言，数据的跨境传输是常态，尽管不同企业由于所处行业以及具体情况不同，其服务器中储存的数据类别存在差异，但共通的是企业服务器中储存的数据都存在包含个人信息和重要数据的可能性。因此，制订一份既符合目前生效法律法规要求，又有一定前瞻性的数据存储与跨境传输政策就显得特别重要。
如上文所述，相关法律法规对于涉及个人信用信息、个人金融信息、人口健康信息等已经有明确的监管要求，而《安全评估办法》在征求意见后也将颁布实施，该办法征求意见稿细化了关于个人信息和重要数据出境安全评估的相关规定，其中与个人信息数据出境相关的规定主要包括：
（1）第二条：“网络运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据，应当在境内存储。因业务需要，确需向境外提供的，应当按照本办法进行安全评估。”
（2）第四条：“个人信息出境，应向个人信息主体说明数据出境的目的、范围、内容、接收方及接收方所在的国家或地区，并经其同意。未成年人个人信息出境须经其监护人同意。”
（3）第九条：“出境数据存在以下情况之一的，网络运营者应报请行业主管或监管部门组织安全评估：
（一）含有或累计含有50万人以上的个人信息；
（二）数据量超过1000GB；
（三）包含核设施、化学生物、国防军工、人口健康等领域数据，大型工程活动、海洋环境以及敏感地理信息数据等；
（四）包含关键信息基础设施的系统漏洞、安全防护等网络安全信息；
（五）关键信息基础设施运营者向境外提供个人信息和重要数据；
（六）其他可能影响国家安全和社会公共利益，行业主管或监管部门认为应该评估。”
（4）第十一条：“存在以下情况之一的，数据不得出境：
（一）个人信息出境未经个人信息主体同意，或可能侵害个人利益；
（二）数据出境给国家政治、经济、科技、国防等安全带来风险，可能影响国家安全、损害社会公共利益；
（三）其他经国家网信部门、公安部门、安全部门等有关部门认定不能出境的。”
（5）第十六条：“其他个人和组织在中华人民共和国境内收集和产生的个人信息和重要数据出境的安全评估工作参照本办法执行。”
（6）第十七条：“本办法下列用语的含义：
……数据出境，是指网络运营者将在中华人民共和国境内运营中收集和产生的个人信息和重要数据，提供给位于境外的机构、组织、个人。
个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。……”
虽然《安全评估办法》目前仍尚未颁布实施，但其提出的监管要求很可能在将来被付诸实施，因此，从监管趋势而言，杨春宝律师团队建议跨境运营企业参考该办法的规定，制订数据存储与跨境传输政策。具体而言，我们建议应当注意以下几点：
首先，跨境运营企业在境内运营中收集和产生的个人信息和重要数据，应当在境内存储。
虽然《网络安全法》第三十七条仅就关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据向境外提供提出了安全评估要求，而《安全评估办法》扩大了进行安全评估的个人信息以及重要数据范围，对于跨境运营的涉及个人用户（特别是会员制）的企业而言，可能涉及的情形主要为“含有或累计含有50万人以上的个人信息”以及“数据量超过1000GB”。即使相关企业的跨境数据传输并不需要报请行业主管或监管部门组织进行安全评估，如上文所述，一系列与个人信息和重要数据保护相关的法律法规均提出了限制特定个人信息数据出境的要求，而《安全评估办法》明确要求企业在境内运营中收集和产生的个人信息和重要数据，应当在境内存储，因业务需要，确需向境外提供的，应当进行安全评估。网络运营者应在数据出境前，自行组织对数据出境进行安全评估，并对评估结果负责。
其次，跨境运营企业应当就个人信息出境向被收集者事先履行说明义务并确保获得其授权。
由于《网络安全法》要求个人信息的收集、使用应当遵循合法、正当、必要的原则，并要求企业公开个人信息的收集与使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意，因此企业需公开其收集与使用个人信息的规则并在信息收集阶段就获得被收集者对其采集、使用等各项行为的书面授权。而将来随着《安全评估办法》的发布，跨境运营企业还需在收集与使用个人信息的规则中以及对企业采集、使用等各项行为的书面授权中增加对个人信息出境的目的、范围、内容、接收方及接收方所在的国家或地区的说明，并获得被收集者对其个人信息出境的同意（未成年人个人信息出境须经其监护人同意）。如果前述书面授权采用电子合同等格式条款方式签署，杨春宝律师团队建议跨境运营企业对相关条款以显著方式提示被收集者注意，并对收集者就相关条款可能提出的疑问进行解释。
第三，个人信息出境未经被收集者同意或可能侵害个人利益的以及存在《安全评估办法》规定的数据不得出境的其他情形的，请勿向境外提供。
对于何为“个人信息出境可能侵害个人利益”，实践中很难有统一的判断标准，鉴于我国对于个人信息数据不得离境的立法趋势，杨春宝律师团队建议跨境运营企业对向境外提供被收集者个人信息采取谨慎的态度。对于何为“数据出境”，《安全评估办法》给出的定义为“数据出境，是指网络运营者将在中华人民共和国境内运营中收集和产生的个人信息和重要数据，提供给位于境外的机构、组织、个人”，但并未进一步解释怎样的情形构成前述定义中的“提供”。杨春宝律师团队认为：除了传统的携带、寄运外，将数据通过网络传输给位于境外的主体，允许位于境外的主体通过网络访问境内数据，境内外数据库之间存在数据交互，或通过网络以外的物理手段将数据提供给位于境外的主体均构成数据出境。因此，涉及数据跨境传输的跨境运营企业不仅仅是指跨国企业，还包括使用境外第三方数据处理、数据分析服务的境内企业、聘用境外第三方利用境内数据提供客户服务的境内企业、托管或者租用境外服务器的境内企业等等。
当然，跨境运营企业在制订数据存储与跨境传输政策时，除了应重点考虑个人信息数据出境问题外，还应根据企业业务经营的实际情况，遵守其他有关数据出境的规定。比如：企业会计信息系统数据服务器的部署应当符合国家有关规定，数据服务器部署在境外的，应当在境内保存会计资料备份，备份频率不得低于每月一次。对于涉及国家秘密、关系国家经济信息安全的会计资料，未经有关主管部门批准，不得将其携带、寄运或者传输至境外（《企业会计信息化工作规范》（财会〔2013〕20号）第三十六条、第三十九条）。如果相关企业为政府机关提供服务，其数据中心、云计算服务平台等均须设在境内（《国务院关于大力推进信息化发展和切实保障信息安全的若干意见》（国发〔2012〕23号））。如果相关企业涉及地图数据的采集，则其存放地图数据的服务器也必须设在境内（《互联网地图服务专业标准》（国测管发〔2010〕14号））。
[1] 详见国家互联网金融安全技术专家委员会开放平台https://www.ifcert.org.cn/industry/153/IndustryDetail
[2] 详见国家互联网金融安全技术专家委员会开放平台https://www.ifcert.org.cn/disclosure/dataList
相关法律服务
杨春宝一级律师简介
杨春宝一级律师，大成上海高级合伙人、资本市场部主任、国资基金研究中心主任，大成中国区私募基金专业带头人、科技与文化法律研究中心联合牵头人。执业30余年，长期从事私募基金、投融资、并购重组法律服务，尤其对对赌研究颇深且具有非常丰富的实战经验，并专注于金融机构股权投资业务。2004年起多次入选The Legal 500"私募基金"和"公司与商业"等境内外各类律师榜单，代理的中国法院首例适用外国法律审理外国公司的董事损害小股东权益纠纷案入选上海高院发布的《上海法院域外法查明典型案例》和威科先行"要案头条"。入选上海涉外法律人才库、上海市司法局鼎新法治人才库、上海国有企业改制法律顾问团，具有上市公司独立董事任职资格，系多家知名高校的兼职教授或兼职研究生导师及上海市商务委跨国经营人才培训班讲师。出版《私募股权投资基金风险防控操作实务》等16本投融资法律专著。了解更多常见法律问题
跨境企业个人信息数据出境有哪些合规要求？
第一，从法律规则层面看，我国对个人信息数据出境采取以境内存储为原则、以安全评估为例外的监管模式。现行规定对个人信用信息、个人金融信息、人口健康信息、人类遗传资源信息等特定类型数据明确要求或限制在境内存储和处理。虽然一般民用网站的服务器并非必须设在境内，但《网络安全法》要求关键信息基础设施运营者在境内运营中收集的个人信息和重要数据应在境内存储，确需向境外提供的须进行安全评估。此外，个人信息收集使用应遵循合法、正当、必要原则，并公开规则、明示目的方式范围且取得同意。n第二，从实务场景看，苹果公司2018年起将中国内地用户iCloud数据转存至云上贵州，即为满足个人信息数据不得离境的要求。跨境运营企业尤其是房地产经纪、奢侈品零售等行业，常需与境外集团总部或关联公司共享个人信息，面临数据出境合规压力。国家互联网金融安全技术专家委员会曾将服务器部署在境外作为警示信息公示，显示监管对数据出境的严格态度。数据出境不仅指网络传输，还包括允许境外主体访问境内数据、境内外数据库交互、物理携带或寄运等情形。n第三，从实务指引看，企业应参照《个人信息和重要数据出境安全评估办法》征求意见稿的要求，提前制定数据存储与跨境传输政策。具体而言，应在境内存储运营中收集的个人信息和重要数据；向用户说明出境目的、范围、内容、接收方及所在国家或地区并取得同意，未成年人信息须经监护人同意；涉及50万人以上个人信息或数据量超过1000GB时需报请安全评估。同时避免在未经同意或可能侵害个人利益的情况下向境外提供数据，审慎对待各类可能构成数据出境的行为。
服务器部署在境外对跨境运营企业有何风险？
第一，从法律规则层面看，服务器部署在境外本身并不必然违法，但可能触发数据出境相关监管要求。我国对特定行业有明确的境内存储义务，例如征信机构采集信息的整理存储加工应在境内进行，银行业金融机构不得向境外提供境内个人金融信息，人口健康信息不得存储在境外服务器。关键信息基础设施运营者境内收集的个人信息和重要数据必须境内存储，确需出境须经安全评估。此外，云计算服务相关标准也提出机房应位于境内的技术规范。若企业服务器在境外，又涉及境内用户个人信息，则很可能被认定为数据出境，需符合数据出境安全评估规则。n第二，从实务场景看，国家互联网金融安全技术专家委员会曾发布巡查公告，对部分面向中国境内用户但服务器部署在境外的互联网金融网站进行公示，并将服务器在境外作为排在首位的警示信息，与收益率畸高、虚假项目等并列。这一案例说明监管机构已在实际执法中关注服务器部署问题，并可能对相关企业声誉和业务造成负面影响。苹果公司为避免合规风险，主动将中国用户iCloud数据转存至云上贵州，也表明服务器部署是跨境运营企业必须重视的合规事项。n第三，从实务指引看，跨境运营企业应根据行业属性判断是否存在强制性境内存储要求。若属于征信、金融、健康医疗等行业，应直接将服务器部署在境内，避免违规。若属于一般行业，也应评估服务器在境外是否导致个人信息出境，进而需要履行告知同意或安全评估程序。建议企业参考《安全评估办法》征求意见稿，提前制定数据存储与跨境传输预案，包括在境内建立数据备份、对境外访问权限进行控制、与境外关联公司签署数据处理协议等，以降低合规风险。
跨境运营企业如何制定数据存储与跨境传输政策？
第一，从法律规则层面看，制定数据存储与跨境传输政策需建立在全面梳理适用法律规则的基础上。现行规则已对个人信用信息、个人金融信息、人口健康信息等提出明确的境内存储要求，同时《网络安全法》对关键信息基础设施运营者提出境内存储和安全评估要求。虽然《个人信息和重要数据出境安全评估办法》尚未正式出台，但其征求意见稿提出的境内存储、出境安全评估、个人信息出境告知同意等规则代表了监管趋势。企业政策应兼顾现行生效法规与未来可能实施的监管要求，确保合规的稳定性和前瞻性。n第二，从实务场景看，跨境运营企业的数据存储与跨境传输政策应覆盖多种数据出境场景。数据出境不仅包括通过网络将数据传输给境外主体，还包括允许境外主体通过网络访问境内数据、境内外数据库之间的数据交互，以及通过网络以外的物理手段提供数据。因此，使用境外第三方数据处理服务的境内企业、聘用境外第三方提供客户服务的企业、托管或租用境外服务器的企业，均可能被纳入数据出境的监管范围。政策中应明确各类场景下的操作流程和审批程序。n第三，从实务指引看，企业应参考《安全评估办法》征求意见稿的具体要求制定政策。首先，明确境内存储原则，对境内运营中收集的个人信息和重要数据在境内服务器保存。其次，建立个人信息出境的告知同意机制，在隐私政策或用户协议中说明出境目的、范围、内容、接收方及所在国家或地区，并取得用户明确同意，未成年人信息须经监护人同意。再次，设定安全评估触发标准，如涉及50万人以上个人信息或数据量超过1000GB时，应在出境前自行组织评估并报请行业主管部门。最后，对于会计数据、地图数据、政府服务数据等特殊类型，需遵守相关行业的专门规定，如会计资料备份频率不得低于每月一次，地图数据服务器必须设在境内。
以上内容仅供参考，不构成法律意见。如需专业法律服务，请联系杨春宝一级律师：chambers.yang@dentons.cn
