01 · 标准合同制度定位与法规沿革
个人信息出境标准合同（SCC）路径依据《个人信息保护法》第三十八条第一款第三项设立，由《个人信息出境标准合同办法》（国家网信办令第13号，2023年2月22日公布、2023年6月1日施行）具体化：个人信息处理者与境外接收方按照国家网信部门制定的标准合同订立合同，并自合同生效之日起10个工作日内向省级网信部门备案，即完成该项出境合规程序。配套《个人信息出境标准合同备案指南》先后于2023年2月（第一版）、2024年3月（第二版）、2025年6月（第三版）更新，持续细化备案材料与操作口径。
制度定位：标准合同路径采取“合同约定+事后备案”的轻量审查模式——国家网信部门通过固定条款将出境双方义务标准化，以备案实现事中和事后监督。相比安全评估的事前深度审查，SCC路径门槛更低、周期更短，适合中等规模、接收方相对稳定的出境场景。
02 · 适用条件：谁能用标准合同
- 主体限制：仅限非关键信息基础设施运营者。CIIO出境不适用SCC路径（一律安全评估）。
- 规模限制（2024年第16号令第八条口径）：自当年1月1日起累计向境外提供10万人以上、不满100万人个人信息（不含敏感个人信息），或者累计向境外提供不满1万人敏感个人信息。
- 低于下限可豁免：非CIIO累计向境外提供不满10万人个人信息（不含敏感个人信息）的，属于豁免情形，无需订立标准合同（第5页详解）。
- 达到上限须评估：累计100万人以上非敏感个人信息或1万人以上敏感个人信息，须申报数据出境安全评估（第3页）。
| 主体身份 | 数据类型 | 当年累计规模 | 合规路径 |
|---|---|---|---|
| 非CIIO | 非敏感个人信息 | 不满10万人 | 豁免（履行个保法实体义务即可） |
| 非CIIO | 非敏感个人信息 | 10万人—100万人 | 标准合同并备案 或 个人信息保护认证 |
| 非CIIO | 非敏感个人信息 | 100万人以上 | 数据出境安全评估 |
| 非CIIO | 敏感个人信息 | 不满1万人 | 标准合同并备案 或 个人信息保护认证 |
| 非CIIO | 敏感个人信息 | 1万人以上 | 数据出境安全评估 |
| 非CIIO | 重要数据 | 无论规模 | 数据出境安全评估 |
| CIIO | 个人信息或重要数据 | 无论规模 | 数据出境安全评估 |
03 · 标准合同的结构与核心条款要义
标准合同文本由国家网信部门制定并以办法附件形式发布，订立时不得随意增删核心义务条款（双方可在不改变核心义务的前提下约定其他条款）。其结构与核心要义如下：
| 模块 | 条款要义（公开归纳） |
|---|---|
| 定义与解释 | 界定个人信息、敏感个人信息、境外接收方、再转移等核心概念，统一双方理解基准 |
| 个人信息出境详情 | 以附录清单方式列明出境目的、方式、个人信息种类、数量、保存期限、境外接收方处理用途与方式——清单化是“最小必要”的证明载体 |
| 个人信息处理者义务 | 履行告知与单独同意、开展个人信息保护影响评估、按合同约定提供信息、对境外接收方进行监督、建立个人信息主体行权响应机制 |
| 境外接收方义务 | 按约定目的范围方式处理、采取必要保护措施、接受处理者监督、发生安全事件时及时通知、配合个人信息主体行权、未经同意不得再转移（法定情形除外） |
| 境外法律环境说明 | 境外接收方所在国家或地区个人信息保护政策法规情况的说明与承诺，作为接收方保护能力的判断依据 |
| 救济与责任 | 个人信息主体的第三方受益与直接行权安排、违约救济机制、违约责任承担 |
| 合同解除与终止 | 接收方违反合同、破产、被收购等情形下的解除权，以及终止后个人信息返还或删除安排 |
| 法律适用与争议解决 | 约定适用的法律与争议解决方式（通常指向中国法或中立安排，兼顾可执行性） |
两个易被忽视的条款要求：①境外接收方所在国家或地区法律环境说明需要“定期更新”——境外法律环境变化既是合同履行事项，也可能触发重新备案（见本节06）；②标准合同明确了个人信息主体在境外接收方违反约定时的救济地位，企业需在隐私政策与客服渠道中预留相应的行权响应流程。
04 · 订立与备案流程
4.1 备案的性质
备案是对标准合同及其附随义务的程序性确认：材料齐备即完成备案，不存在像安全评估那样的实质审查周期；但备案后监管部门可依法对合同履行情况开展监督检查，备案材料的真实性、完整性由个人信息处理者负责——“备而不审”不等于“备而免责”。
05 · 重新订立与重新备案的触发情形
- 出境目的、方式、个人信息种类、数量、保存期限，或者境外接收方处理用途、方式发生变化；
- 境外接收方所在国家或地区的个人信息保护政策法规、网络安全环境发生变化，影响个人信息权益保障；
- 境外接收方实际控制人发生变化，或者双方合同变更影响个人信息出境安排的；
- 其他影响个人信息权益保障的重大变化情形。
触发上述情形之一的，个人信息处理者应当重新订立标准合同（或补充协议并按监管要求执行）并重新备案；需要强调的是，变更同时可能叠加规模阈值变化——例如出境人数增长突破100万，路径将从SCC升级为安全评估，不能仅以补充协议应对。
06 · 个人信息保护认证路径
6.1 制度依据与适用场景
《个人信息保护法》第三十八条第一款第二项规定个人信息出境可以“经专业机构进行个人信息保护认证”。《个人信息保护认证实施规则》（市场监管总局、国家网信办2022年11月4日发布）确立了认证模式与程序。认证的典型适用场景是跨国集团公司内部的个人信息跨境共享：同一经济实体或关联实体之间基于统一的人力资源管理、全球客户支持、统一安全运营等目的持续传输个人信息，难以逐笔订立标准合同时，以一次认证覆盖集团内持续跨境处理活动。
6.2 认证模式与要点
- 认证模式：技术验证＋现场审核＋获证后监督（含必要时的跟踪审查）；
- 认证依据：个人信息保护相关法律法规、国家标准与认证实施规则；跨境处理活动的认证规范细化了对境外接收方（集团内实体）的同等保护要求；
- 认证机构：须为具备相应资质的认证机构（如中国网络安全审查认证和市场监管大数据中心等），企业不可自行委托无资质机构“出证”；
- 证书有效期：按认证规则设有有效期并需持续监督审核（通常以3年为周期，具体以认证机构发布的认证规则为准）；
- 认证与个保法义务的关系：认证不豁免告知、单独同意与影响评估义务，但可与国际隐私管理体系（如ISO/IEC 27001、27701）审计成果互认衔接，降低重复建设成本。
07 · 标准合同 vs 认证 vs 安全评估：三路径比选
| 维度 | 标准合同（SCC） | 个人信息保护认证 | 数据出境安全评估 |
|---|---|---|---|
| 适用主体 | 非CIIO | 各类主体（以认证规则为准，常用于集团场景） | 所有数据处理者（重要数据必须） |
| 规模门槛 | 10万—100万非敏感，或不满1万敏感 | 无规模门槛（成本随规模上升） | 重要数据无论规模；个人信息达100万/1万敏感；CIIO无论规模 |
| 审查/确认方 | 省级网信部门备案（程序性） | 专业认证机构 | 国家网信部门（实质性审查） |
| 周期（经验量级） | 短（准备+备案，通常数周内） | 中（认证审核周期数月） | 长（通常数月以上，视补充材料情况） |
| 成本结构 | 低（法务与合规人力为主） | 中—高（认证费用+体系建设） | 中—高（自评估+申报+可能的整改） |
| 有效期限 | 长期有效（变更时更新备案） | 证书有效期内+持续监督 | 3年，届满前60个工作日可申请延长 |
| 典型场景 | 境外接收方固定、出境清单化、中等规模 | 跨国集团内部持续共享、多实体多流向 | 重要数据、大规模个人信息、CIIO出境 |
组合策略：大型企业集团常采用“分层组合”——重要数据与大规模出境链路走安全评估；区域子公司对固定境外服务商的中等规模出境走SCC备案；集团内部全球HR与统一安全运营走认证。关键前提是建立统一的出境活动台账，使集团层面能实时掌握各链路的规模、路径与到期状态（第7页）。
08 · 本路径常见误区
- “标准合同可以改”——核心义务条款不得更改；仅可在不改变双方核心义务的前提下约定其他条款，随意删减义务条款将导致备案无效。
- “备案后就不用管了”——备案后仍需持续监督接收方履约、跟踪境外法律环境，触发变更情形须重新备案；备案不替代合同履行。
- “认证一次管全球”——认证覆盖范围以认证证书载明的处理活动与实体为限；新增境外实体或新场景需评估是否扩展认证范围或另行选路。
- “集团内部用认证就不用单独同意”——错误：认证是第三十八条的路径合规，告知与单独同意（第39条）仍是实体义务，HR场景应优先论证第16号令跨境人力资源管理豁免的适用条件。
09 · 标准合同与认证的落地自查清单
SCC与认证路径的合规价值取决于"持续履约"而非"一次性取得"。建议组织按下列清单开展年度自查，并纳入出境合规审计范围（第8页）：
| 检查项 | 频次/时点 | 检查要点 |
|---|---|---|
| 合同文本合规性 | 订立时 | 使用国家网信部门发布的标准合同文本；核心义务条款未被更改或删减；补充约定不改变双方核心义务 |
| 备案及时性 | 生效后10个工作日内 | 向所在地省级网信部门完成备案并留存回执；备案信息与实际出境安排一致 |
| 附录清单一致性 | 变更时 | 附录数据清单与出境网关白名单、实际出境字段三者一致；清单变更同步更新备案 |
| 影响评估更新 | 每年/触发时 | 出境场景、规模或接收方变化时重新开展个人信息保护影响评估；报告与记录至少保存三年 |
| 接收方履约核查 | 每年 | 书面确认安全措施持续有效、事件通报渠道畅通、再转移事前审批执行、无超范围处理 |
| 境外法律环境更新 | 每年 | 更新接收方所在国家或地区法律环境说明；评估是否触发重新订立/备案情形 |
| 认证证书维护 | 有效期内 | 配合获证后监督审核；认证范围变化（新增境外实体、新业务场景）及时通报认证机构；到期前启动再认证 |
| 个人信息主体行权响应 | 持续 | 查询、复制、更正、删除请求按期响应；涉及境外接收方的请求可转达并跟踪处理结果 |
检查机制建议：将上表固化为《出境链路年度自查表》，由链路责任人发起、法务合规复核、数据安全团队抽检；自查结果归档并作为次年申报/备案/认证材料的一致性基线。
本节参考来源（第4页）
标准合同文本与备案材料模板以国家网信部门发布的最新版备案指南为准。
《个人信息出境标准合同办法》（国家网信办令第13号，2023年2月22日公布，2023年6月1日施行）及标准合同文本附件：中国网信网。
《个人信息出境标准合同备案指南（第二版/第三版）》（2024年3月 / 2025年6月发布）：中国网信网。
《促进和规范数据跨境流动规定》（国家网信办令第16号，2024年3月22日施行）第八条（SCC/认证适用区间）：中国网信网。
《中华人民共和国个人信息保护法》第三十八条、第三十九条、第五十五条：中国政府网。
GB/T 35273-2020《信息安全技术 个人信息安全规范》（个人信息出境场景实践指引）：国家标准全文公开系统。