2025年9月，公安部網(wǎng)安局公布6起“護(hù)網(wǎng)—2025”專項工作中，涉及不履行網(wǎng)絡(luò)安全、數(shù)據(jù)安全、個人信息保護(hù)義務(wù)的行政執(zhí)法典型案例。隨著上海公安機(jī)關(guān)對某跨國公司數(shù)據(jù)出境違規(guī)行為的查處，企業(yè)數(shù)據(jù)跨境傳輸?shù)暮弦?guī)問題再次引發(fā)關(guān)注。這一案例猶如一面鏡子，照出了在國家標(biāo)準(zhǔn)缺失背景下企業(yè)面臨的合規(guī)困境。

在數(shù)據(jù)跨境流動的時代，一部具有里程碑意義的國家標(biāo)準(zhǔn)為企業(yè)的個人信息出境認(rèn)證提供了明確指南。

2025年8月29日，國家市場監(jiān)督管理總局（國家標(biāo)準(zhǔn)委）批準(zhǔn)發(fā)布《數(shù)據(jù)安全技術(shù) 個人信息跨境處理活動安全認(rèn)證要求》（GB/T 46068-2025）推薦性國家標(biāo)準(zhǔn)，將于2026年3月1日正式實施。

這項標(biāo)準(zhǔn)由隸屬于國家市場監(jiān)督管理總局的中國網(wǎng)絡(luò)安全審查認(rèn)證和市場監(jiān)管大數(shù)據(jù)中心（以下簡稱“市場監(jiān)管總局網(wǎng)數(shù)中心”）牽頭編制，是我國個人信息跨境安全管理領(lǐng)域的首項國家標(biāo)準(zhǔn)，為日益頻繁的個人信息跨境處理活動提供了規(guī)范依據(jù)。

標(biāo)準(zhǔn)出臺背景

隨著數(shù)字經(jīng)濟(jì)的蓬勃發(fā)展，數(shù)據(jù)跨境流動已成為全球范圍內(nèi)不可阻擋的趨勢。從國際商業(yè)合作到跨國企業(yè)日常運營，從云計算服務(wù)到電子商務(wù)，個人信息出境的需求呈現(xiàn)爆發(fā)式增長。

然而，數(shù)據(jù)的自由流動與個人信息保護(hù)之間如何平衡，成為各國立法和監(jiān)管機(jī)構(gòu)面臨的共同挑戰(zhàn)。

我國《個人信息保護(hù)法》已于2021年11月1日正式生效，其中第三十八條明確規(guī)定，個人信息處理者因業(yè)務(wù)需要確需向境外提供個人信息的，應(yīng)當(dāng)通過國家網(wǎng)信部門組織的安全評估、經(jīng)專業(yè)機(jī)構(gòu)進(jìn)行個人信息保護(hù)認(rèn)證或訂立標(biāo)準(zhǔn)合同等條件。

法律搭建了框架，但具體認(rèn)證要求的缺失一直困擾著眾多企業(yè)。

市場監(jiān)管總局網(wǎng)數(shù)中心的成立，為解決這一問題提供了組織保障。2023年12月25日，中國網(wǎng)絡(luò)安全審查認(rèn)證和市場監(jiān)管大數(shù)據(jù)中心正式掛牌成立，整合了網(wǎng)絡(luò)安全審查與認(rèn)證、市場監(jiān)管信息化建設(shè)及大數(shù)據(jù)分析應(yīng)用等職能。

標(biāo)準(zhǔn)核心內(nèi)容

GB/T 46068-2025國家標(biāo)準(zhǔn)規(guī)定了跨境處理個人信息時相關(guān)方應(yīng)遵守的基本原則、基本要求和個人信息主體權(quán)益保障要求。

該標(biāo)準(zhǔn)適用于跨境處理個人信息的相關(guān)方規(guī)范自身個人信息跨境處理活動，也適用于主管部門、第三方機(jī)構(gòu)等組織對個人信息處理者跨境處理個人信息的活動進(jìn)行監(jiān)督、管理、認(rèn)證和評估。

標(biāo)準(zhǔn)為個人信息保護(hù)認(rèn)證提供了統(tǒng)一規(guī)范，鼓勵個人信息處理者通過認(rèn)證方式提升個人信息保護(hù)能力。

典型案例剖析

2025年5月，上海公安機(jī)關(guān)網(wǎng)安部門查處了一起跨國公司不履行個人信息保護(hù)義務(wù)的案件，為我們理解標(biāo)準(zhǔn)出臺的緊迫性提供了生動注腳。

一家國際知名時尚消費品牌的中國公司，在未通過數(shù)據(jù)出境安全評估、未訂立個人信息出境標(biāo)準(zhǔn)合同、未通過個人信息保護(hù)認(rèn)證的情況下，擅自將中國大陸地區(qū)用戶的個人信息傳輸至其境外總部。

該中國公司在個人信息處理的全過程中存在多項安全合規(guī)漏洞：未向用戶充分告知其個人信息境外接收方的處理方式，未取得用戶“單獨同意”，未對收集的個人信息采取加密、去標(biāo)識化等安全技術(shù)措施。

該公司這些行為不僅違反了《個人信息保護(hù)法》第三十八條規(guī)定的數(shù)據(jù)出境路徑，也侵害了用戶的知情權(quán)與同意權(quán)，同時忽略了安全技術(shù)措施這一保護(hù)個人信息的最后防線。

此案是《個人信息保護(hù)法》生效以來，為數(shù)不多的國際知名品牌因違法出境數(shù)據(jù)而受到行政處罰的案件，具有非常典型的警示意義。

標(biāo)準(zhǔn)制定意義

市場監(jiān)管總局網(wǎng)數(shù)中心制定這項國家標(biāo)準(zhǔn)，首先在于其為企業(yè)的個人信息跨境處理活動提供了明確規(guī)范。

在標(biāo)準(zhǔn)出臺前，企業(yè)即使有通過認(rèn)證實現(xiàn)個人信息合規(guī)出境的意愿，也面臨著無具體標(biāo)準(zhǔn)可循的困境。

其次，這項標(biāo)準(zhǔn)為認(rèn)證機(jī)構(gòu)開展個人信息保護(hù)認(rèn)證提供了技術(shù)依據(jù)，使《個人信息保護(hù)法》規(guī)定的認(rèn)證路徑得以真正落地實施。

標(biāo)準(zhǔn)將推動個人信息保護(hù)認(rèn)證工作，促進(jìn)個人信息跨境安全、有序、自由流動，為數(shù)字經(jīng)濟(jì)的發(fā)展提供有力支撐。

此外，標(biāo)準(zhǔn)的發(fā)布實施還將為監(jiān)管部門提供執(zhí)法參考，使他們在監(jiān)督、管理、認(rèn)證和評估個人信息跨境處理活動時有章可循。

對企業(yè)合規(guī)的指導(dǎo)價值

該國家標(biāo)準(zhǔn)的出臺，為眾多涉及數(shù)據(jù)跨境流動的企業(yè)指明了方向。

企業(yè)應(yīng)結(jié)合數(shù)據(jù)處理情況確定數(shù)據(jù)出境路徑，全面梳理所有從中國向境外傳輸個人信息的業(yè)務(wù)流。

不屬于必須通過數(shù)據(jù)出境安全評估情形的，可以選擇通過個人信息出境標(biāo)準(zhǔn)合同或是個人信息保護(hù)認(rèn)證進(jìn)行出境。

企業(yè)還應(yīng)做好數(shù)據(jù)出境活動的持續(xù)性管理，已通過認(rèn)證的企業(yè)應(yīng)當(dāng)嚴(yán)格按照認(rèn)證時提交材料中說明的情形開展數(shù)據(jù)出境活動。

同時，企業(yè)應(yīng)及時跟蹤、監(jiān)測出境數(shù)據(jù)流動情況，銜接好內(nèi)部出境合規(guī)和安全漏洞管理、安全事件響應(yīng)等風(fēng)險管理機(jī)制。

合規(guī)管理和技術(shù)安全建設(shè)并重至關(guān)重要。企業(yè)必須投入資源，采取加密、去標(biāo)識化、訪問控制等有效技術(shù)措施，落實個人信息安全保護(hù)責(zé)任。

數(shù)字經(jīng)濟(jì)時代，數(shù)據(jù)跨境流動如同現(xiàn)代商業(yè)的血液循環(huán)，而標(biāo)準(zhǔn)與法規(guī)則是防止血液外流的血管壁。GB/T 46068-2025國家標(biāo)準(zhǔn)的發(fā)布，正是要在保障安全與促進(jìn)流動之間找到平衡點。

數(shù)據(jù)出境執(zhí)法將成為常規(guī)化、常態(tài)化的監(jiān)管動作，公安、網(wǎng)信、行業(yè)主管等多部門將形成協(xié)同監(jiān)管合力。

（作者系中央財經(jīng)大學(xué)政府管理學(xué)院兼職教授、農(nóng)工黨中央經(jīng)濟(jì)委委員、農(nóng)工黨北京市委社法委副主任兼秘書長 唐成）