跨境工作站 | 从“备案”到“备查”，粤港跨境PIA有哪些注意点和实施建议？
其中，《大湾区标准合同指引》第五条明确了跨境前开展个人信息保护影响评估（PIA）的要求，该要求也被业界广泛讨论。本文就粤港澳大湾区（内地、香港）个人信息跨境流动PIA工作所关注的要点和实施思路提出以下观点，供参考。
一、三个文件对PIA工作内容的界定异同
|
|
|
|
|
| 评估内容 |
|
|
|
| （二）对个人权益的影响及安全风险； | （二）出境个人信息的规模、范围、种类、敏感程度，个人信息出境可能对个人信息权益带来的风险； | （二）对个人信息主体权益的影响及安全风险； | |
| （三）所采取的保护措施是否合法、有效并与风险程度相适应。 |
|
（三）接收方承诺承担的义务，以及履行义务的管理和技术措施、能力等能否保障跨境提供的个人信息安全。 | |
| 评估管理 |
|
|
|
| 个人信息保护影响评估报告和处理情况记录应当至少保存三年。 | （标准合同内容）保存个人信息保护影响评估报告至少 3 年。 | （标准合同内容）保存个人信息保护影响评估报告至少 3 年。 |
总之，《大湾区标准合同指引》提出的PIA工作开展思路与《个人信息保护法》相似度高，这一点将对“粤港澳大湾区（内地、香港）个人信息跨境流动”情形下的PIA（以下简称“粤港跨境PIA”）工作的开展思路和方法产生影响。
二、从“备案”到“备查”，PIA工作有哪些注意点？
PIA从本质上来讲就是“安全关口前移”的风险预防机制，之所以强调事前开展，就是要在个人信息处理产生价值的同时，把个人信息处理对个人权益的影响和安全风险降到最低。毋庸置疑，履行PIA义务依然是《个人信息保护法》下的强制性义务，是粤港澳大湾区（内地、香港）个人信息跨境流通的必要条件，《大湾区标准合同指引》的附件2承诺书（模板）中，也将事前3个月内完成了PIA作为承诺事项，因此，PIA的作用并未因为备案工作流程的简化而予以削弱，PIA报告仍需按时完成方可达到合规要求。
“报告备案”顾名思义是将完成的报告完整保留在相关主管部门，以备随时查阅；而“报告备查”是将完成的报告妥善保管，在主管部门需要调取查阅时再提供。之所以大家会认为有所区别，核心在于备案过程可能涉及到报告的审核环节，将可能拖慢工作进程。相比于备案，备查更像是一种事中和事后监督机制，但何种时间、何种情形会触发主管部门检查，其实值得关注。比如，是否在标准合同备案过程中也会面临抽查？是否在持续监督过程中被随机抽查？是否在出现安全事件、被投诉举报后被检查？如果被检查时，个人信息处理者无法立即提供PIA报告或提供的PIA报告内容缺失、风险分析过程不够全面、评估结论说服力不够等，将可能被直接认定为未有效履行法定义务。备案过程中的报告审核虽然耗时耗力但合规方面有所保障，反而备查面临的不确定性和合规压力可能更大，因此，虽然备查的PIA报告无需提交，但PIA工作方法的规范性、PIA报告质量仍需引起高度重视。
如本文第一节分析，由于粤港跨境PIA无需对境外政策和法规进行分析、大湾区标准合同指引中明确限制了不得向粤港澳大湾区以外的组织、个人提供，粤港跨境PIA的评估重点内容有所简化，与《个人信息保护法》相似度高，可以说，粤港跨境PIA的工作思路和方法和《个人信息保护法》第五十五条中“委托处理个人信息、向其他个人信息处理者提供个人信息”场景下的PIA相近。近年来，组织在开展“委托处理个人信息、向其他个人信息处理者提供个人信息”场景的PIA过程中，国家标准GB/T 39335《信息安全技术 个人信息安全影响评估指南》（简称：GB/T 39335）成为了工作思路和方法的重要参考依据。GB/T 39335给出的对个人信息主体权益影响进行分析的方法，是从限制个人自主决定权、引发差别性待遇、导致个人名誉受损或者遭受精神压力、造成人身财产受损四个方面进全面分析，并结合对已采取网络环境和技术措施（技术方面）、处理流程规范性和参与人员及第三方（承诺义务和管理方面）、处理规模和安全态势的分析，从而得出个人信息安全能否有效保障、风险是否可控的结论。GB/T 39335延续了国际通用的PIA方法、结合了我国法律法规的具体规定，与GB/T 35273《信息安全技术 个人信息安全规范》等国家标准相配套，已在各行业领域、个人信息保护相关国推认证广泛应用，对粤港跨境PIA实施有着重要参考意义。
对于《个人资料（私隐）条例》中个人信息跨境相关规则未实施的背景下，港至粤个人信息跨境是直接遵循条例还是鼓励通过签署标准合同，还有待继续跟踪关注香港相关方通过“先行先试”活动（该活动意向书提供了港方组织作为个人信息处理者的选项）所进一步披露的信息和指导意见。
三、对粤港跨境PIA的实施建议
对于“粤至港且港回传粤”情形，根据《大湾区标准合同指引》，粤方组织作为提供方应当完成PIA并在属地备案，港方组织作为接收方也需在属地备案。如涉及港向粤回传个人信息的情形时，且港方组织自愿选择签署标准合同进行个人信息跨境，则同样需要事先完成PIA才能在属地备案。如果上述提供和回传个人信息为同一个跨境业务所需，则PIA中对“个人信息处理者和接收方处理个人信息的目的、方式等的合法性、正当性、必要性”，以及“对个人信息主体权益的影响”等内容趋向一致，只是在双方各自扮演“接收方”角色时，其承诺义务和安全保障能力需要各自评估。此情形下，PIA工作过程可由双方相互支撑开展，PIA报告的内容也可考虑体现双向跨境情形，以进一步对齐信息和避免重复劳动。
对于“港至粤且粤回传港”情形，如果港方组织仅基于《个人资料（私隐）条例》而并未选择签署标准合同向粤方组织跨境提供个人信息（该情形有待观察，理由见本文第二章第（4）节），则该情形相当于“粤至港”情形，由粤方组织完成PIA并在属地备案即可。如港方组织选择了自愿签署标准合同，则该情形下开展双向跨境的PIA的策略与上个情形一致。
由于《大湾区标准合同指引》中对PIA的要求予以简化，且并未给出报告模板，个人信息处理者可自行选择PIA的工作方法和报告模板。根据GB/T 39335,开展PIA前需要进行数据映射分析，以识别待评估的个人信息处理活动，就粤港跨境PIA来说，即对个人信息跨境的基本情况予以梳理，对此，建议基本情况至少包含“大湾区标准合同”附件1“个人信息跨境提供说明”中的内容。在PIA过程中，还可以进一步确认基本情况是否准确，以免在标准合同中出现填写错误的情况。此外，还建议参考《数据出境安全评估申报指南（第一版）》附件5“个人信息保护影响评估报告（模板）（出境版）”中 “（二）个人信息出境涉及业务和信息系统情况”和“（三）拟出境个人信息情况”的相关内容，以进一步完善个人信息跨境的情况，为个人权益影响和安全风险分析提供支撑。根据《个人信息保护法》第56条“个人信息处理情况记录应当至少保留三年”的要求，在PIA报告中全面、细致、准确描述个人信息处理情况，是记录个人信息处理情况的一种重要形式，对于作为个人信息跨境提供方的粤方组织来说，也算是履行了《个人信息保护法》第56条的相关要求，可谓一举两得。
对个人权益的影响分析是一直是开展PIA过程中的难点，此前个人信息出境所开展的PIA工作，由于常见的出境个人信息种类有限，涉及出境的业务类型相对固定，对个人权益影响分析容易出现“僵化”“固化”情况，进而影响到风险分析的合理性、准确性。对于粤港个人信息跨境而言，如上文所分析，在跨境便利措施的促进下，粤港个人信息跨境的场景将可能呈现多元化情形，不同的情形涉及不同种类的个人信息、不同的处理目的和方式，对个人权益影响的方面、程度将带来较大区别。建议根据GB/T 39335给出的对个人信息主体权益影响进行分析的方法，从限制个人自主决定权、引发差别性待遇、导致个人名誉受损或者遭受精神压力、造成人身财产受损四个方面进行全面分析。同时，宜明确权益影响最为突出的方面，为后续分析安全风险打下基础。此外，关于影响程度的判断，可以综合考虑个人信息处理者（提供方）和接收方双方的观点，一方面提升分析结果的说服力，另一方面便于双方调整优化跨境个人信息种类、跨境的目的和方式。
GB/T 39335指出，实施PIA过程中，识别风险源的方式是对安全事件可能性进行判断，本质还是对相关方的安全保障措施进行评估。由于不同评估场景需要评估的安全保障措施有所不同且不可穷尽，GB/T 39335未给出待评估安全保障措施的具体内容，而是从“网络环境和技术措施”“处理流程规范性”“参与人员及第三方”“处理规模和安全态势” 四个方面明确了风险源维度，待评估的安全保障措施由评估人员在具体场景下予以明确。《大湾区标准合同指引》简化了PIA方面的内容，指出评估的内容包括“承诺承担的义务，以及履行义务的管理和技术措施、能力等能否保障跨境提供的个人信息安全”，这对于PIA实施人员来说还是偏笼统，缺乏待评估安全保障措施的具体参考内容。
- TC260-PG-2023XX 《网络安全实践指南-粤港澳大湾区跨境个人信息保护要求（征求意见稿）》
-
GB/T 35273-2020 《信息安全技术 个人信息安全规范》 -
《个人信息保护合规审计参考要点（征求意见稿）》 - ……
此外，需要注意的是，虽然《大湾区标准合同指引》中并未提出对个人信息处理者安全保障能力进行评估，但从个人信息跨境的风险源视角出发，个人信息处理者对个人信息跨境的管理、操作规程、日志审计，以及跨境传输的接口安全（如接口异常访问）、循环数链路安全等同样是可能造成个人信息跨境面临安全风险的重要因素，建议在PIA中予以考虑。
基于以上安全保障措施的评估，可进一步分析个人信息跨境的安全风险，一种方法是，采用半定量的方法，参考GB/T 39335,可从“网络环境和技术措施（如接收方系统未修复安全漏洞）”“处理流程规范性（如接收方对个人信息主体行使权利的响应时间过长）”“参与人员及第三方（如接收方向同辖区内第三方提供情况不明）”等方面分析得出安全事件发生的可能性，与对个人信息主体权益影响程度相结合，分析当前采取的个人信息跨境流动安全保护措施是否与安全风险程度相适应；另一种方法是，采用定性分析的方法，结合个人信息跨境情形对个人权益的影响，围绕已采取的安全保障措施，论证是否能够保障跨境提供的个人信息安全。
四、结 语
“自主缔约、备案管理、自行评估”的模式对粤港澳大湾区个人信息安全、自由流动有极大推动作用，同时也开创了组织通过“自合规”即可履行个人信息跨境合规的先例。“自合规”模式下，组织的自律意识格外重要，如未充分履责，一是将导致组织因安全事件所承担的行政处罚后果可能更为严重，二是将对“自合规”模式的持续稳定运行环境带来负面影响。个人信息跨境管理，其本质还是要确保跨境个人信息安全和个人权益得到有效保障，这也是开展PIA的根本目的，对于个人信息处理者和接收方来说，工作流程得到了简化，则更应该从本质入手，投入精力开展高质量PIA，让安全工作“关口前移”，最大程度保护个人权益，让粤港澳大湾区个人信息跨境安全有序流动创造更多价值。
（文章来源：CCIA数据安全工作委员会）