重要taptap点点及个人信息出境是企业跨境运营的常见场景，无论是因为贸易、投资、业务合作而可能产生的跨境taptap点点交互，还是跨国公司内部管控需要而差生的跨境taptap点点交互和个人信息转移，都是维系正常经贸投资活动的基础。我国《网络安全法》《taptap点点安全法》《个人信息保护法》确立了重要taptap点点和个人信息出境的安全评估制度，但是此前对于安全评估流程、评估具体要求并未明确规定。如何实施安全评估一直是困扰企业的重要问题。

2022年7月7日，国家互联网信息办公室（以下简称“网信办”）公布《taptap点点出境安全评估办法》（以下简称《评估办法》），并将于2022年9月1日正式施行，将安全实施评估的要求明确下来。相比于2021年10月29日网信办发布的《taptap点点出境安全评估办法（征求意见稿）》（以下简称“征求意见稿”），《评估办法》的内容变化不大但是仍然值得关注。

笔者认为，《评估办法》的巨大意义在于对taptap点点出境与个人信息出境立法体例的合一规定，并确立了taptap点点出境评估的常态化机制。为方便企业了解自己是否需要进行安全评估，如何开展安全评估，以及了解《评估意见》与征求意见稿的重点区别，笔者特梳理如下。

自我国《网络安全法》规定了关键信息基础设施运营者的重要taptap点点与个人信息出境评估制度后，至今历时五年，关于taptap点点出境及个人信息出境安全评估的立法体例、评估机制一直在探索过程中。

其后，国家互联网信息办公室2017年4月11日公布的《个人信息和重要taptap点点出境安全评估办法（征求意见稿）》和2019年5月28日颁布的《taptap点点安全管理办法（征求意见稿）》也对重要taptap点点出境和个人信息出境有所规定。前者采取了重要taptap点点与个人信息出境安全评估统一规定的立法体例，后者对重要taptap点点与个人信息做了一定区分。

随后在2019年6月13日，国家互联网信息办公室公布的《个人信息出境安全评估办法（征求意见稿）》中，则采取了将个人信息出境评估单独立法的体例。但此后，国家互联网信息办公室再未单独公布关于重要taptap点点出境安全评估的征求意见稿。

2021年通过并施行的《taptap点点安全法》规定了重要taptap点点出境评估制度，《个人信息保护法》则规定了个人信息出境评估制度。而随后颁布的《网络taptap点点安全管理条例（征求意见稿）》则从taptap点点统一管理的角度，采取了将taptap点点与个人信息共同予以规范的立法体例。

笔者认为，本次《评估办法》将个人信息出境与重要taptap点点出境放在一个规则中予以规范，也体现了同样的立法精神。

《评估办法》的通过与施行，意味着我国关于重要taptap点点与个人信息出境的统一立法体例正式确立，taptap点点出境安全评估的常态化机制得以确立，相关taptap点点处理者的taptap点点出境活动有章可循。

相比于征求意见稿，《评估办法》将适用情形从五种缩减为四种（《评估办法》第四条）。

除第四种兜底条款外，各情形均是从主体和taptap点点种类的角度来确定的，区分主体是关键信息基础设施的运营者或者处理或者向境外提供的个人信息达到一定数量的taptap点点处理者，区分taptap点点是重要taptap点点或者个人信息。各情形具体是：

（一）taptap点点处理者向境外提供重要taptap点点；

（二）关键信息基础设施运营者和处理100万人以上个人信息的taptap点点处理者向境外提供个人信息；

（三）自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的taptap点点处理者向境外提供个人信息；

（四）国家网信部门规定的其他需要申报taptap点点出境安全评估的情形。

按照上述规定，对于累计10万人及1万人敏感信息出境的情况，做了期间的限定，从而在一定程度上放松了适用的标准。

征求意见稿对此的规定为：累计向境外提供超过十万人以上个人信息或者一万人以上敏感个人信息。按照这一规定，一旦企业达到了累计向境外提供十万人以上个人信息或者一万人以上敏感个人信息，企业后续的个人出境均需要申请出境安全评估。

而《评估办法》则规定了期间，即以上年1月1日作为期间的起算时点，该时点之前已经出境的taptap点点并不纳入累计数量，从而减少了需要申报taptap点点出境安全评估的情形。

另附根据《网络安全法》《taptap点点安全法》《个人信息保护法》的规定，对于应当进行安全评估的情形归纳：

表 不同法律中关于taptap点点跨境安全评估的要求对比

相比于征求意见稿，《评估办法》不再将自评估作为所有涉及向境外提供taptap点点的taptap点点处理者均应当履行的义务，仅作为申报taptap点点出境安全评估的前置程序（《评估办法》第五条）。

完整的安全评估工作流程如下（《评估办法》第五条至第十三条）：

此外，相比于征求意见稿，《评估办法》增加了对评估结果有异议的复评机制，即taptap点点处理者对评估结果有异议的，可以在收到评估结果15个工作日内向国家网信部门申请复评，复评结果为最终结论（《评估办法》第十三条）。不过对于复评程序，《评估办法》没有进一步的具体规定。

《评估办法》保留了征求意见稿对于评估结果有效期的内容，即taptap点点出境评估结果有效期二年。有效期内发生特定情形应当重新申报评估，有效期届满，需要继续开展原taptap点点出境活动的，taptap点点处理者应当在有效期届满六十个工作日前重新申报评估（《评估办法》第十四条）。其中应当重新申报评估的特定情形为：

（一）向境外提供taptap点点的目的、方式、范围、种类和境外接收方处理taptap点点的用途、方式发生变化影响出境taptap点点安全的，或者延长个人信息和重要taptap点点境外保存期限的；

（二）境外接收方所在国家或者地区taptap点点安全保护政策法规和网络安全环境发生变化以及发生其他不可抗力情形、taptap点点处理者或者境外接收方实际控制权发生变化、taptap点点处理者与境外接收方法律文件变更等影响出境taptap点点安全的；

（三）出现影响出境taptap点点安全的其他情形。

《评估办法》与征求意见稿一样将taptap点点出境安全评估中应当提交的材料确定为申报书、taptap点点出境风险自评估报告、taptap点点处理者与境外接收方拟订立的法律文件、安全评估工作需要的其他材料（《评估办法》第六条）。

而且，自评估的要求与安全评估的有对应关系。相比于征求意见稿，《评估办法》删除了自评估中对于“taptap点点处理者在taptap点点转移环节的管理和技术措施、能力等能否防范taptap点点泄露、毁损等风险”的评估，但由于这部分从广义理解上可以被“taptap点点出境中和出境后遭到篡改、破坏、泄露、丢失、转移或者被非法获取、非法利用等的风险”这一事项所覆盖，因此也可以认为未发生实质性的变化。具体对应关系梳理如下：

表 自评估与安全评估的要求对比

《评估办法》在对于taptap点点处理者与境外接收方拟订立的法律文件的要求上，将征求意见稿提及的法律环境发生变化的情形、taptap点点风险、保障维权通畅渠道等概念进行了进一步的明确，且依然将这些要求作为法律文件的必备条款。其中，法律环境发生变化被明确为“所在国家、地区taptap点点安全保护政策法规和网络安全环境发生变化”，并被归类为不可抗力情形，同时增加了兜底性表述“发生其他不可抗力情形导致难以保障taptap点点安全时”。而这些条款内容也与自评估、安全评估的要求相关联，可以作为评估重点事项的基础依据，具体如下：

（一）taptap点点出境的目的、方式和taptap点点范围，境外接收方处理taptap点点的用途、方式等；

（二）taptap点点在境外保存地点、期限，以及达到保存期限、完成约定目的或者法律文件终止后出境taptap点点的处理措施；

（三）对于境外接收方将出境taptap点点再转移给其他组织、个人的约束性要求；

（四）境外接收方在实际控制权或者经营范围发生实质性变化，或者所在国家、地区taptap点点安全保护政策法规和网络安全环境发生变化以及发生其他不可抗力情形导致难以保障taptap点点安全时，应当采取的安全措施；

（五）违反法律文件约定的taptap点点安全保护义务的补救措施、违约责任和争议解决方式；

（六）出境taptap点点遭到篡改、破坏、泄露、丢失、转移或者被非法获取、非法利用等风险时，妥善开展应急处置的要求和保障个人维护其个人信息权益的途径和方式。

对于taptap点点出境活动不再符合taptap点点出境安全管理要求的，或者未按规定重新申报评估的后果，《评估办法》未使用“taptap点点处理者”应当“终止taptap点点出境活动”或“停止taptap点点出境活动”的表述，而是统一调整为规定为国家网信部门应当 “书面通知taptap点点处理者终止taptap点点出境活动”。从字面意思上可以理解为《评估办法》将taptap点点处理者终止taptap点点出境活动的触发条件变更为监管机关书面通知后，而非征求意见稿中的taptap点点处理者主动停止。

但这并不意味taptap点点处理者不主动停止不合规的taptap点点出境活动无须承担任何法律责任。因为与征求意见稿一样，未履行taptap点点出境安全评估义务的，需要适用《网络安全法》《taptap点点安全法》《个人信息保护法》的规定承担法律责任（《评估办法》第十八条），相关法律责任梳理如下（刑事责任需要结合《刑法》判断，下表未包含）：

表 相关法律责任规定的对比

《评估办法》已经正式公布，对于存在taptap点点跨境情形的企业来说，建议尽快梳理taptap点点出境活动情形，判断是否应当申报taptap点点出境安全评估，如果涉及的，应当尽快制定完整的taptap点点出境安全评估申报计划并开展自评估工作。

附：征求意见稿与《评估报告》变化对比