国家互联网信息办公室

　　国家市场监督管理总局

　　令

　　第20号

　　《个人信息出境认证办法》已经2025年7月21日国家互联网信息办公室2025年第17次室务会会议审议通过，并经国家市场监督管理总局同意，现予公布，自2026年1月1日起施行。

　　国家互联网信息办公室主任 庄荣文

　　国家市场监督管理总局局长 罗　文

　　2025年10月14日

　　个人信息出境认证办法

　　第一条为了保护个人信息权益，规范个人信息出境认证活动，促进个人信息高效安全跨境流动，根据《中华人民共和国个人信息保护法》、《网络数据安全管理条例》、《中华人民共和国认证认可条例》等法律法规，制定本办法。

　　第二条个人信息处理者通过个人信息保护认证的方式向中华人民共和国境外提供个人信息，适用本办法。

　　第三条本办法所称个人信息出境认证，是指按照《中华人民共和国个人信息保护法》第三十八条第一款第二项规定，由依法取得个人信息保护认证资质的专业认证机构，证明个人信息处理者向中华人民共和国境外提供个人信息等个人信息处理活动符合相关法律、行政法规、部门规章、标准、技术规范的合格评定活动。

　　第四条国家网信部门会同国家数据管理部门和其他有关部门制定个人信息出境认证相关标准、技术规范。国家市场监督管理部门会同国家网信部门制定个人信息保护认证规则、统一认证证书及标志。

　　第五条个人信息处理者通过个人信息出境认证的方式向境外提供个人信息的，应当同时符合下列情形：

　　(一)非关键信息基础设施运营者;

　　(二)自当年1月1日起累计向境外提供10万人以上、不满100万人个人信息(不含敏感个人信息)或者不满1万人敏感个人信息。

　　前款所称向境外提供的个人信息，不包括重要数据。

　　法律、行政法规或者国家网信部门另有规定的，从其规定。

　　个人信息处理者不得采取数量拆分等手段，将依法应当通过出境安全评估的个人信息通过个人信息出境认证的方式向境外提供。

　　第六条个人信息处理者在申请认证向境外提供个人信息前，应当按照法律、行政法规的规定履行告知、取得个人单独同意、进行个人信息保护影响评估等义务。个人信息保护影响评估重点评估以下内容：

　　(一)个人信息处理者和境外接收方处理个人信息的目的、范围、方式等的合法性、正当性、必要性;

　　(二)出境个人信息的规模、范围、种类、敏感程度，个人信息出境可能对国家安全、公共利益、个人信息权益带来的风险;

　　(三)境外接收方承诺承担的义务，以及履行义务的管理和技术措施、能力等能否保障出境个人信息的安全;

　　(四)个人信息出境后遭到篡改、破坏、泄露、丢失、非法利用等的风险，个人信息权益维护的渠道是否通畅等;

　　(五)境外接收方所在国家或者地区的个人信息保护政策和法规对出境个人信息安全和个人信息权益的影响;

　　(六)其他可能影响个人信息出境安全的事项。

　　第七条个人信息处理者通过认证方式向境外提供个人信息的，应当向专业认证机构申请个人信息出境认证。

　　中华人民共和国境外的个人信息处理者申请个人信息出境认证的，应当由其在境内设立的专门机构或者指定代表协助进行申请。

　　第八条专业认证机构应当按照认证基本规范、个人信息保护认证规则开展个人信息出境认证活动。符合认证要求的，专业认证机构应当及时出具认证证书。

　　认证证书的有效期为3年。证书到期需继续使用的，个人信息处理者应当在有效期届满前6个月提出认证申请。

　　第九条专业认证机构应当在出具认证证书或者认证证书状态发生变化后5个工作日内，向全国认证认可信息公共服务平台报送个人信息出境认证证书相关信息，包括认证证书编号、获证个人信息处理者名称、认证范围以及证书状态变化信息等。

　　国家市场监督管理部门与国家网信部门建立认证信息共享机制。

　　第十条专业认证机构发现获证个人信息处理者存在个人信息出境情况与认证范围不一致等情形，不再符合认证要求的，应当暂停其使用直至撤销相关认证证书。

　　国家网信部门和有关部门在个人信息保护监督管理工作中发现获证个人信息处理者存在前款情形的，专业认证机构应当配合暂停其使用直至撤销相关认证证书。

　　前两款规定的情形，应当通过全国认证认可信息公共服务平台予以公布。

　　第十一条专业认证机构在开展认证活动中，发现个人信息出境活动违反法律、行政法规和国家有关规定的，应当及时向国家网信部门和有关部门报告。

　　第十二条开展个人信息出境认证的专业认证机构应当自国家市场监督管理部门批准取得个人信息保护认证资质之日起10个工作日内向国家网信部门办理备案手续。办理备案时，应当提交下列材料：

　　(一)取得的个人信息保护领域的认证资质情况;

总共2页  1 [2] 
下一页