數據出境風(fēng)險自評估報告（模板）

數據處理者名稱(chēng)： （蓋章） 年 月 日

說(shuō)明：

（一）數據處理者申報數據出境安全評估時(shí)需提供自 評估報告；

（二）數據處理者須對所提交的自評估報告及附件材 料真實(shí)性負責；

（三）本報告所述自評估活動(dòng)為本次申報前 3 個(gè)月內完成；

（四）如有第三方機構參與自評估，須在自評估報告中 說(shuō)明第三方的基本情況及參與評估的情況，并在相關(guān)內容頁(yè) 上加蓋第三方機構公章。

一、自評估工作簡(jiǎn)述

自評估工作開(kāi)展情況，包括起止時(shí)間、組織情況、實(shí)施 過(guò)程、實(shí)施方式等內容。

二、出境活動(dòng)整體情況

詳細說(shuō)明數據處理者基本情況、數據出境涉及的業(yè)務(wù)和信息系統、出境數據情況、數據處理者安全保障能力情況、 境外接收方情況、法律文件約定情況等。包括不限于：

（一）數據處理者基本情況

1. 組織或者個(gè)人基本信息；
2. 股權結構和實(shí)際控制人信息；
3. 組織架構信息；
4. 數據安全管理機構信息；
5. 整體業(yè)務(wù)與數據情況；
6. 境內外投資情況。

（二）數據出境涉及業(yè)務(wù)和信息系統情況

1. 數據出境涉及業(yè)務(wù)的基本情況；
2. 數據出境涉及業(yè)務(wù)的數據資產(chǎn)情況；
3. 數據出境涉及業(yè)務(wù)的信息系統情況；
4. 數據出境涉及的數據中心（包含云服務(wù)）情況；
5. 數據出境鏈路相關(guān)情況。

（三）擬出境數據情況

1. 說(shuō)明數據出境及境外接收方處理數據的目的、范圍、方式，及其合法性、正當性、必要性；
2. 說(shuō)明出境數據的規模、范圍、種類(lèi)、敏感程度；

3. 擬出境數據在境內存儲的系統平臺、數據中心等情況，計劃出境后存儲的系統平臺、數據中心等；
4. 數據出境后向境外其他接收方提供的情況。

（四）數據處理者數據安全保障能力情況

1. 數據安全管理能力，包括管理組織體系和制度建設情況，全流程管理、分類(lèi)分級、應急處置、風(fēng)險評估、個(gè)人信 息權益保護等制度及落實(shí)情況；
2. 數據安全技術(shù)能力，包括數據收集、存儲、使用、加工、傳輸、提供、公開(kāi)、刪除等全流程所采取的安全技術(shù)措施等；
3. 數據安全保障措施有效性證明，例如開(kāi)展的數據安全風(fēng)險評估、數據安全能力認證、數據安全檢查測評、數據安全合規審計、網(wǎng)絡(luò )安全等級保護測評等情況；
4. 遵守數據和網(wǎng)絡(luò )安全相關(guān)法律法規的情況。

（五）境外接收方情況

1. 境外接收方基本情況；
2. 境外接收方處理數據的用途、方式等；
3. 境外接收方的數據安全保障能力；
4. 境外接收方所在國家或地區數據安全保護政策法規和網(wǎng)絡(luò )安全環(huán)境情況；
5. 境外接收方處理數據的全流程過(guò)程描述。

（六）法律文件約定數據安全保護責任義務(wù)的情況

1. 數據出境的目的、方式和數據范圍，境外接收方處理數據的用途、方式等；

2. 數據在境外保存地點(diǎn)、期限、以及達到保存期限、完成約定目的或者法律文件終止后出境數據的處理措施；
3. 對于境外接收方將出境數據再轉移給其他組織、個(gè)人的約束性要求；
4. 境外接收方在實(shí)際控制權或者經(jīng)營(yíng)范圍發(fā)生實(shí)質(zhì)性變化，或者所在國家、地區數據安全保護政策法規和網(wǎng)絡(luò )安全環(huán)境發(fā)生變化以及發(fā)生其他不可抗力情形導致難以保障數據安全時(shí)，應當采取的安全措施；
5. 違反法律文件約定的數據安全保護義務(wù)的補救措施、違約責任和爭議解決方式；
6. 出境數據遭到篡改、破壞、泄露、丟失、轉移或者被非法獲取、非法利用等風(fēng)險時(shí)，妥善開(kāi)展應急處置的要求和保障個(gè)人維護其個(gè)人信息權益的途徑和方式。

（七）數據處理者認為需要說(shuō)明的其他情況

三、擬出境活動(dòng)的風(fēng)險評估情況

就下列事項逐項說(shuō)明風(fēng)險評估情況，重點(diǎn)說(shuō)明評估發(fā)現的問(wèn)題和風(fēng)險隱患，以及相應采取的整改措施及整改效果。

（一）數據出境和境外接收方處理數據的目的、范圍、 方式等的合法性、正當性、必要性；

（二）出境數據的規模、范圍、種類(lèi)、敏感程度，數據 出境可能對國家安全、公共利益、個(gè)人或者組織合法權益帶 來(lái)的風(fēng)險；

（三）境外接收方承諾承擔的責任義務(wù)，以及履行責任義務(wù)的管理和技術(shù)措施、能力等能否保障出境數據的安全；

（四）數據出境中和出境后遭到篡改、破壞、泄露、丟 失、轉移或者被非法獲取、非法利用等的風(fēng)險、個(gè)人信息權 益維護的渠道是否通暢等；

（五）與境外接收方擬訂立的數據出境相關(guān)合同或者其 他具有法律效力的文件等，是否充分約定了數據安全保護責 任義務(wù)；

（六）其他可能影響數據出境安全的事項。

四、出境活動(dòng)風(fēng)險自評估結論

綜合上述風(fēng)險評估情況和相應整改情況，對擬申報的數 據出境活動(dòng)作出客觀(guān)的風(fēng)險自評估結論，充分說(shuō)明得出自評 估結論的理由和論據。

• 上一篇：江蘇省數據出境安全評估申報材料要求
• 下一篇：數字鄉村標準體系建設指南——建設目標與基本框架