汽车企业如何进行合规准备？

数字化转型网企业出海将关注品牌出海，全球化战略，合规与风控，供应链管理，数据保护与隐私安全，知识产权，税务，海外团队建设，海外运营，人力资源管理，组织管理等企业出海、全球化相关全产业链相关环节。点击图片或扫描图片二维码，加入数字化转型网企业出海研习社：

认证路径的具体实施细则还有待进一步观察。对于其他两种数据出境路径，无论是官方评估路径还是标准合同路径，汽车企业需要准备的申报文件可以大致归纳为以下几类：

与境外接收方签订的法律文件

在官方评估路径下与境外接收方签订的法律文件与标准合同之间存在差别，主要体现在前者除个人信息外还可能包括重要数据的出境，而后者仅包括个人信息的出境，且许多条款与个人信息主体有关，例如合同签署方应当向个人信息主体履行哪些义务。数字化转型网www.szhzxw.cn

尽管存在上述主要差别，为顺利推进官方评估工作、使企业减轻程序性负担，我们建议企业以标准合同为基础制定法律文件（如适用），具体而言：

如出境数据仅包括个人信息，不包括且不构成重要数据[17]，则尽可能参照或直接使用标准合同作为与境外接收方签订的法律文件；

如出境数据除个人信息以外还包括重要数据，则在与境外接收方签订的法律文件中将个人信息与重要数据进行拆分处理：个人信息相关条款尽可能参照标准合同，重要数据部分则通过法律文件中的单独章节予以约定；数字化转型网www.szhzxw.cn

如出境数据仅包括重要数据，不包括任何个人信息，则企业可使用自拟模板作为与境外接收方签订的法律文件。

另外，在标准合同路径下，如已经与境外接收方签署了与数据出境相关的协议，则还需考虑二者之间如何衔接的问题：

首先需要明确的是，签订标准合同并不会导致已签署协议终止或失效，只有当标准合同与已签署的协议发生冲突时，应优先适用标准合同的条款[18]。另外，由于标准合同的备案工作目前尚未开展，诸多程序细节（例如网信部门是否对提交备案的合同内容进行实质审查）尚不清晰，且网信部门对自拟模板的接受度未知，因此我们建议尽可能使用官方发布的标准合同模板提交备案，否则可能会影响备案进度（例如需要向网信部门做出额外解释）。

考虑到已签署协议中可能存在标准合同未包含的其他约定，我们建议在签署标准合同的同时对已签署协议做如下安排：

如已签署协议仅涉及数据跨境传输，则建议终止该协议，并将其中超出但不违反标准合同的条款补充约定在标准合同的附录中（双方约定的其他条款）中；数字化转型网www.szhzxw.cn

如已签署协议除数据跨境传输以外还涉及其他事项（例如技术服务、经销安排等），则建议对其进行修订，将与数据跨境传输相关的条款从其中剥离，随后作为补充条款约定于标准合同的附录中。

评估报告（个人信息保护影响评估和/或数据出境风险自评估）

向境外提供个人信息应当事先进行个人信息保护影响评估（PIA）系《个人信息保护法》的明确规定[19]，数据出境风险自评估（“风险自评估”）则源于《评估办法》的规定，是数据处理者申报官方评估的前置条件。二者的主要区别如下：

由此可见，PIA与风险自评估虽然是两项独立的工作，但存在一定程度的重合。为避免企业重复评估，我们建议触发了官方评估的汽车企业可将这两项评估工作合并进行。具体而言，汽车企业如已完成PIA，则可在此基础上直接针对超出PIA范围的风险自评估重点（如重要数据出境对国家安全、公共利益等带来的风险等）进行补充评估，反之亦然。汽车企业在进行评估的过程中也要注意留存相关评估材料和证明文件，并对评估过程做好记录，以备后用。

关于评估报告中的分析内容撰写，《标准合同规定征求意见稿》对PIA评估重点的规定较《个人信息保护法》而言更为详细，PIA报告可依照前者所列的评估重点逐项进行撰写。《信息安全技术个人信息安全影响评估指南（GB/T 39335-2020）》也可作为开展PIA的参考依据之一，但其中并未专门针对个人信息出境场景下的评估提供指引，参考时需注意。风险自评估报告则可按照《评估办法》第五条所列的评估重点逐项撰写。数字化转型网www.szhzxw.cn

其他文件

官方评估所需的其他文件主要为申报书，我们理解国家网信部门后续应会发布标准版本。此外，其他文件还应当包括风险自评估的证明材料和评估过程记录、已采取适当技术措施的证明文件等。

标准合同路径下，向网信部门备案所需的材料仅包括标准合同和PIA报告，暂无需其他文件。

声明：本文来自网络，版权归作者所有。文章内容仅代表作者独立观点，不代表数字化转型网立场，转载目的在于传递更多信息。如有侵权，请联系我们。数字化转型网www.szhzxw.cn