数安条例百问20、21、22：关于向第三方提供个人信息或发送重要数据

小贝案语

11月14日，国家互联网信息办公布了《网络数据安全管理条例（征求意见稿）》。为此，小贝说安全设立《网络数据安全管理条例（征求意见稿）》（后文简称《条例》）解读专栏，以百问百答的形式对《条例》进行系列解读。

需要指出，这些解读只是专家个人观点，不代表官方意见；且这些解读针对的是征求意见稿，未来条文本身可能会发生变化，不排除会有新增和删除。

对应条款

第十二条数据处理者向第三方提供个人信息，或者共享、交易、委托处理重要数据的，应当遵守以下规定：

（一）向个人告知提供个人信息的目的、类型、方式、范围、存储期限、存储地点，并取得个人单独同意，符合法律、行政法规规定的不需要取得个人同意的情形或者经过匿名化处理的除外；

（二）与数据接收方约定处理数据的目的、范围、处理方式，数据安全保护措施等，通过合同等形式明确双方的数据安全责任义务，并对数据接收方的数据处理活动进行监督；

（三）留存个人同意记录及提供个人信息的日志记录，共享、交易、委托处理重要数据的审批记录、日志记录至少五年。

数据接收方应当履行约定的义务，不得超出约定的目的、范围、处理方式处理个人信息和重要数据。

解读

提供数据是常见的行为，出于对个人信息和重要数据进行重点保护的目的，应当对此类行为进行规范。

对个人信息而言，提供分为两种。一种是向第三方提供，一种是向委托处理者提供。因后者并不使用个人信息，仅按照与委托方约定的目的和方式开展数据处理活动，故此时不必征得个人同意。《个人信息保护法》第二十三条规定：个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。这与《条例》规定的“向第三方”提供场景一致。就具体要求来看，《条例》增加了存储期限、存储地点的要求，并规定了例外情况。一些人关心，这里的“存储地点”颗粒度多大？《条例》并未明确要求，但一般而言至少应说明是境内还是境外。

从该条与《个人信息保护法》对比看，“向第三方提供”与“向其他个人信息处理者提供”的内涵是一致的。如前所述，这个“第三方”显然不包括委托处理者。但《条例》“附则”将“委托处理者”定义为“委托第三方按照约定的目的和方式开展的数据处理活动”，这就出现了对“第三方”的不同理解，后续有必要进行修改。

该条第（一）项的主要要求是“单独同意”，这是处理重要数据所不涉及的，除此之外对两类数据的处理有共同要求。无论是向第三方提供个人信息，还是共享、交易、委托处理重要数据，必然有数据接收者，故需要通过合同等方式与数据接收方作出约定，且要对数据接收方的数据处理活动进行监督。这是该条第（二）项的立法目的。对个人信息的这一要求超出了《个人信息保护法》，但在实践中是必要的。

第（三）项中，提到了留存“审批记录”的要求。但《条例》此前并未对审批作出规定。此处的“审批”来自第三十三条：数据处理者共享、交易、委托处理重要数据的，应当征得设区的市级及以上主管部门同意，主管部门不明确的，应当征得设区的市级及以上网信部门同意。鉴于两者的位置和前后顺序不便理解，后续有必要进行修改。