跨境数据传输的新简化流程：个人数据跨境将变得更加容易 CAC标准合同

迄今为止，个人数据的跨境传输一直很困难：无论是进行CAC安全评估或是认证个人数据。这两种方式都伴随着高昂的成本、沉重的行政负担和漫长的等待时间。

然而，自2023年6月1日起推出的CAC标准合同以及相应的标准合同条款（《中国标准合同条款》）已使数据的跨境运输变得更加容易。您可以在此篇文章中找到有关CAC标准合同的所有信息，需要注意的事项以及此新简化流程的运作方式：

概述： 跨境数据传输及其困难

随着CAC标准合同的推出，中国在确保安全和尊重隐私的前提下向其他国家传输个人及机密数据的方向上又迈出了重要一步。

跨境传输大量个人数据的公司及组织必须具备在《中国个人信息保护法》（PIPL）第38条中规定的三项条件之一。这三项条件是：

A. 由中国国家网信部门（CAC）进行安全评估，该评估分为两个步骤（自我评估及国家网信部门的安全评估）。

时间：至少57个工作日

以下情况必须进行评估：

a) 如果处理超过100万人的个人信息的数据处理者将个人信息转移到境外时；

b) 当个人数据处理者跨境传输100,000多人的个人信息或10,000多人的敏感个人信息时；

c) 跨境传输其他特别重要的数据。

B. 关联公司之间，可通过专业机构及其漫长的认证过程获得《个人信息保护认证》。时间：约110个工作日

C. 新规：与境外接收方签订CAC标准合同，然后提交给相关CAC机构。

时间：至少15个工作日

与CAC标准合同相类似的《欧盟SCC合同》（《欧洲标准合同条款》）相比，CAC 标准合同并不分为四个不同的模块（即“数据控制者对数据控制者“、“数据控制者对数据处理者“、“数据处理者对数据控制者“、“数据处理者对数据处理者“），而是采用“一刀切“的方法，即只使用一个通用的模板来处理所有向境外传输的个人数据。它没有根据各方（“数据出口方“和“数据接收方“）不同的角色和职能及所承担的不同义务进行区分。

CAC标准合同的重要信息概述

• CAC标准合同适用于当跨境数据传输无需进行CAC安全评估的情况下（见上文）。
• 语言：必须使用中文。
• 时间：最少15个工作日；在数据处理者对已提交的文件进行必要补充及调整的情况下，文件可能需要进行重新审查，则最少再延长25个工作日。
• 程序流程：
  • 提交内容：已签署的CAC标准合同及数据保护影响评估报告
  • 时间：在标准合同生效后 10 个工作日内
  • 地点：省级网信部门
  • 形式：以书面和电子形式
• 适用CAC标准合同是跨境数据运输的前提，合同里的内容不可更改。
• 在不违背CAC标准合同的精神和宗旨的情况下，允许合同双方添加附加协议或条件。
• 在双方同意的情况下，允许以合同中规定的理由之一终止合同。
• 合同双方（“数据出口方“和“数据接收方“）对因一方违约而造成的所有损失承担责任。
• 数据出口方和海外数据接收方对个人数据来源的数据主体承担连带责任；连带债务人对彼此拥有追索权。

CAC 标准合同和《欧盟SCC合同》的平行适用

CAC 标准合同和《欧盟SCC合同》既有实质性差异，也有部分相互矛盾的条款。两种标准合同条款都是不可或缺和不可更改的。在数据跨境传输时，必须始终根据具体个案审查是适用CAC标准合同还是《欧盟SCC合同》。因此，CAC标准合同的缔约双方必须根据数据传输目的地的法律情况和规定，在传输之前就应确保跨境数据传输过程不受阻碍。

我们的法律和税务建议

我们强烈建议您在处理个人数据跨境传输时务必小心谨慎。特别是对于CAC标准合同和《欧盟SCC合同》之间的相互关系及影响需要事先进行彻底研究。彻底研究才是关键！我们建议您寻求专业的帮助和支持。这将确保数据传输的整个过程能顺利进行。如果不遵守跨境数据传输的法律法规要求，相关组织及公司将会被处以高额罚款。这些罚款不仅针对负责人，也针对其他直接责任人员。

在对数据进行全面分析后，应对数据传输条件进行评估（网信部门的安全评估、信息保护认证或签订CAC标准合同）。个人数据来源的数据主体应被提前告知并在必要时应征得其同意。作为数据处理者，在签订标准合同前，建议您对数据接收方进行尽职调查，并进行数据保护风险和影响评估，在审查时一并提交此评估报告。

在数据输出之前和期间，数据处理方和数据接受方应保持密切沟通。双方应就采取哪些技术和组织措施（TOMs）、数据处理和传输是否符合CAC标准合同的要求以及其他个别条件达成一致，并与中国国家网信部门积极交流信息。

我们在上海和海德堡的律师事务所Ecovis Ruide和Ecovis Heidelberg专门为德国和中国企业提供税务及法律事务上的支持。如果您有任何问题，欢迎随时与我们联系！