数据出境安全评估通过后的持续合规管理

有一个电信行业的客户，在数据出境安全评估上投入了大量资源，申报材料准备得细致全面，评估过程也相对顺利，很快就拿到了通过的通知。他们把通过通知复印了挂在墙上，大家都很高兴，觉得这事儿就算翻篇了。但三个月后网信部门要求提交季度合规报告，他们发现数据出境的管理记录保留得不够完整，有些数据出境的记录甚至已经找不到了。这就是一个很典型的认知误区，认为通过安全评估就是终点，但实际上那只是持续合规的起点。

数据出境安全评估的通过是有有效期的，一般为两年。取得通过通知后，企业仍然需要按照评估时的承诺和条件持续合规。如果持续合规跟不上，不仅可能在后续的监督检查中被发现，而且有效期届满后重新申报时可能会面临更大的困难。

持续合规的第一个重点是承诺的落实。企业在申报安全评估的材料中，向审查机构做出了一系列承诺，包括出境的数据范围和类型不变、安全保护措施持续有效、与境外接收方的合同持续履行等。这些承诺在评估通过后不能束之高阁，而是要真正落地执行。比如承诺了对出境数据采用某种加密方式，就需要在使用中确认加密方案没有降级。承诺了对出境数据保留操作日志，就需要在生产系统中开启并维护日志记录。

第二个重点是数据出境活动的记录和存档。每一次实际发生的数据出境操作，都需要记录时间、数据内容、数据量、接收方、传输方式、安全措施等要素。这些记录不仅是应对监督检查的依据，也是企业自身管理数据出境活动的必要工具。建议企业建立数据出境活动台账，使用自动化工具采集记录，避免依赖人工填报。记录保存期限建议不少于三年。

第三个重点是年度报告的提交。按照数据出境安全评估办法的规定，安全评估通过后企业需要每年向省级网信部门提交年度报告，报告内容包括上一年度数据出境的情况、安全评估意见的执行情况、发现的问题和整改措施等。年度报告不是走过场，网信部门将以此作为评估企业持续合规状态的重要依据。年度报告的质量直接影响安全评估结果的续期。

第四个重点是境内外重大事件的及时报告。如果企业在安全评估有效期内发生以下情况，需要及时向网信部门报告。境外接收方所在国家或者地区的法律环境发生变化，可能影响数据出境的合规性。数据出境的目的、范围、类型发生重大变化。企业或者境外接收方发生数据安全事件，可能影响出境数据的安全。企业的业务安排或者组织架构发生重大调整，影响数据出境活动的管理。

第五个重点是境外接收方的持续监督。安全评估通过之后，企业不能以为和境外接收方签了合同就万事大吉了。境外接收方的安全状况是动态变化的，需要持续进行监督和评估。建议企业定期要求境外接收方提供数据安全状况报告，至少每年进行一次数据安全审计。如果发现境外接收方存在数据安全漏洞或者违规使用数据的行为，应当立即要求其整改，必要时暂停数据出境活动。

第六个重点是内部安全措施的维护和升级。数据安全技术手段在快速发展，今天被认为是安全的技术手段，几年后可能就不再安全。企业在安全评估中采用的加密算法、访问控制机制、审计系统等，需要随着技术发展不断更新升级。同时，国家数据安全法律法规也在持续完善，企业应当定期跟踪相关法规的更新情况，评估是否需要调整自身的合规策略。

第七个重点是人员变动的管理。数据出境安全管理的相关负责人、操作人员发生变动时，需要进行工作交接和重新授权。新上岗的人员应当接受数据出境安全管理的专项培训，了解企业的数据出境合规要求和操作流程。这一点在实际管理中容易被忽略，常常出现重要人员离职后，数据出境的日常管理工作无人接手或者工作质量下降的情况。

持续合规看起来需要投入不少资源，但实际上如果一开始就把管理体系建好了，后续的维护成本并不高。相比安全评估到期后重新申报需要从头准备的巨大工作量，把日常的持续合规工作做扎实了，到了续期的时候只要把两年的合规记录整理提交，过程会顺畅很多。

常见问题

问：安全评估的有效期到期后需要重新申报，流程和首次申报一样吗？
答：续期申报的流程和首次申报基本相同，但审查机构会根据企业前两年的持续合规情况做出判断。如果持续合规记录良好，续期审查可能会相对顺利。如果存在违规记录或者合规漏洞，续期审查可能会更加严格。