海南旅文广体数据出境安全指引(试行)

为贯彻落实《中华人民共和国数据安全法》《中华人民共和国网络安全法》《中华人民共和国个人信息保护法》《网络数据安全管理条例》等法律法规，根据《海南自由贸易港数据出境管理清单(负面清单)(2024 版)》旅游领域中“出入境旅游服务场景”“旅游服务平台会员管理场景”和“旅游服务管理场景”的具体规定，规范海南旅文广体数据处理者高效便利安全开展数据出境活动，提升海南旅文广体数据出境便利化水平，制定本指引。

一、总则

（一）适用范围

旅文广体数据处理者按照本指引开展数据出境活动。本指引所称的旅文广体数据处理者(以下简称：数据处理者)是指在海南省行政区域内从事旅游、文化、广电、体育领域数据处理活动的组织或个人，包括但不限于旅游和文化广电体育行政管理部门、事业单位、企业、行业协会以及数据服务商等。本指引所称的海南旅文广体数据是指海南自由贸易港旅游和文化、广电、体育服务过程中所产生、收集的数据，包括个人数据和重要数据。

境外产生、收集的旅文广体数据在海南省行政区域内加工、处理后再出境，处理过程中引入境内个人信息或重要数据的，适用本指引。境外人员在海南开展旅文广体等相关活动产生的个人信息适用本指引。涉及国有文物资源数据的，根据国家文物局印发《国有文物资源数据管理办法》文件要求执行。

（二）出境数据管理

1. 鼓励游戏出海、短视频、短剧类具有正能量、海南特色的文创产品数据出境，支持企业拓展国际市场。

2. 对于未列入重要数据目录中的数据，经业务主管部门审核评估，判断可能涉及敏感数据的，应当依法申报数据出境安全评估。

3. 相关目录尚未发布或者未予涵盖的，数据处理者应当依照 GB/T43697‑2024《数据安全技术数据分类分级规则》及其重要数据识别规则开展识别，并按照国家有关规定向行业主管部门、省网信部门申报重要数据。

4. 严禁涉密数据出境。

（三）重要数据判断依据

海南旅文广体数据涉及的重要数据判断依据为文化和旅游部、国家广播电视总局、国家体育总局等部门印发的相关规定或者海南省相关管理部门印发的重要数据目录判断。

二、术语与名词解析

（一）数据出境行为

数据处理者在向境外提供海南旅文广体数据，符合以下情形之一的属于数据出境行为：

1. 数据处理者将在海南自由贸易港旅游和文化、广电、体育服务过程中产生、收集的数据传输、存储至境外的，包括通过网络传输以及携带存储介质出境等方式；

2. 数据处理者产生或收集的海南旅文广体数据存储在境内，境外机构、组织或个人查询、调取、下载、导出的；

3. 在境外的组织或个人处理境内存储的海南旅文广体数据的活动。

（二）名词解析

1. 海南旅文广体数据涉及的个人信息是指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息；

2. 海南旅文广体数据涉及的敏感个人信息，是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息；

3. 匿名化，是指个人信息经过处理无法识别特定自然人且不能复原的过程。

三、数据出境指引

（一）数据出境分类

1. 数据处理者开展海南旅文广体数据出境活动符合下列条件之一的，可免予申报数据出境安全评估、个人信息出境标准合同备案、个人信息保护认证：

(1) 海南自由贸易港数据出境管理清单(负面清单)中“四、旅游”规定范围以外个人信息数据的；

(2) 在境外产生、收集、存储的旅文广体数据，在海南省行政区域内进行处理和加工后传输至境外，处理或加工过程中没有引入境内个人信息或者重要数据的；

(3) 因出境旅文广体项目开发、市场营销、学术研究合作等活动需要，数据处理者需要向境外提供海南旅文广体数据，不包含个人信息或者重要数据的；

(4) 紧急情况下为保护旅客、群众个人的生命健康和财产安全，在海南省行政区域内确实需要向境外提供个人信息的；

(5) 个人作为一方当事人，在海南省行政区域内为出境旅游或者参加国际体育赛事、文艺表演等活动，确实需要向境外提供个人信息的，如：机票酒店预订、签证办理、跨境购物等；

(6) 关键信息基础设施运营者以外的数据处理者自当年1 月1 日起在海南省行政区域内累计向境外提供不满10 万人个人信息(不含敏感个人信息)的。

2. 数据处理者(关键信息基础设施运营者除外)向境外提供海南旅文广体数据，符合下列条件之一的，应当进行个人信息出境标准合同备案或者个人信息保护认证：

(1) 符合海南自由贸易港数据出境管理清单(负面清单)中“四、旅游(二)需要通过个人信息出境标准合同备案、个人信息保护认证出境的数据清单”个人信息数据的；

(2) 自当年1 月1 日起，在海南省行政区域内累计向境外提供10 万人以上、不满100 万人个人信息(不含敏感个人信息)的；

(3) 自当年1 月1 日起，在海南省行政区域内累计向境外提供不满1 万人敏感个人信息的。

3. 符合下列条件之一的，数据处理者应当申报数据出境安全评估：

(1) 符合海南自由贸易港数据出境管理清单(负面清单)中“四、旅游(一)需要通过数据出境安全评估的数据清单”个人信息数据的；

(2) 在海南省行政区域内向境外提供重要数据的；

(3) 自当年1 月1 日起在海南省行政区域内累计向境外提供100 万人以上个人信息(不含敏感个人信息)的；

(4) 自当年1 月1 日起在海南省行政区域内累计向境外提供1 万人以上敏感个人信息的；

(5) 关键信息基础设施运营者在海南省行政区域内向境外提供个人信息的；

(6) 国家有关规定明确的其他需要申报数据出境安全评估情形的。

4. 数据处理者依照本指引免予申报数据出境安全评估、个人信息出境标准合同备案、个人信息保护认证的，仍应当依照《中华人民共和国个人信息保护法》第三十九条、第五十五条、第五十六条以及《网络数据安全管理条例》有关规定，履行告知、取得个人单独同意、开展个人信息保护影响评估并留存处理记录等义务。

（二）数据出境流程

数据出境流程如下：

1.主体判断、数据识别

数据处理者应首先判断自身是否属于关键信息基础设施运营者，并识别拟出境的数据是否包含重要数据、个人信息(包含敏感个人信息)，并依据本指引开展海南旅文广体数据出境活动。

2.实施数据出境安全评估

数据处理者根据《数据出境安全评估申报指南(第三版)》《海南省数据出境安全评估申报工作指引(第二版)》开展数据出境风险自评估并整改风险问题，向省网信部门提交申报材料；通过数据出境安全评估的，数据处理者开展数据出境活动。

评估结果有效期为3 年，自评估结果出具之日起计算，有效期届满需要继续开展数据出境活动且未发生需要重新申报情形的，应当在有效期届满前60 个工作日内向省网信部门申请延长评估结果有效期；出现影响出境数据安全情形的，应当重新申报评估。

3.订立个人信息出境标准合同备案

数据处理者按照《个人信息出境标准合同备案指南(第二版)》《海南省个人信息出境标准合同备案指引(第二版)》开展个人信息保护影响评估以及标准合同订立工作。标准合同生效后方可开展个人信息出境活动，并应当自标准合同生效之日起10 个工作日内向省网信部门备案。

4.开展个人信息出境认证

数据处理者选择认证路径的，应当按照《个人信息出境认证办法》向依法取得资质的专业认证机构申请认证，申请前依法履行告知、取得个人单独同意、开展个人信息保护影响评估等义务。取得认证证书后方可依认证范围开展个人信息出境活动，并关注证书有效期(3 年)及届满重新申请要求。

四、相关要求

（一）主体责任要求

1. 数据处理者应落实数据出境安全主体责任，建立健全内部数据安全管理制度，加强数据分类分级管理，防范数据泄露、篡改、滥用等风险。同时，应强化技术手段支撑，提升数据出境安全防护能力和应急响应水平，切实维护国家安全和社会公共利益。数据处理者应定期(至少每年一次)评估境外接收方所在国家或地区的数据保护法律政策变化，并相应调整数据出境安全保护措施。

2. 数据处理者开展数据出境活动前，应依法依规开展数据出境风险自评估，并采取必要措施消除风险隐患，确保数据出境活动安全可控。对于涉及个人信息的数据出境，应严格遵循个人信息保护相关法律法规，落实个人信息处理者的责任义务，保障个人隐私和数据主体权益。

3. 数据处理者应加强与境外接收方的合规性审查和协议约束，明确数据安全责任和义务，确保出境数据在境外的处理活动符合我国法律法规要求。同时，应密切关注国际数据治理动态，积极应对数据跨境流通中的技术、法律和政策挑战，不断提升数据出境安全风险防控能力。

4. 数据处理者应加强内部数据出境安全宣传教育和业务培训，提升内部工作人员的法律意识和责任意识，推动形成全社会共同维护数据安全的良好氛围。

（二）日志记录要求

数据处理者应建立并维护完整的数据出境日志记录，确保日志信息真实、准确、完整。日志内容应涵盖数据出境的时间、规模、方式、目的以及涉及的数据主体和境外接收方等关键信息，并实现日志的定期备份与安全存储。相关部门可根据监管需要依法调取、查阅或复制相关日志信息，数据处理者应积极配合，不得拒绝或隐瞒。

日志保存期限应当符合国家有关规定，数据处理者向其他数据处理者提供、委托处理个人信息、重要数据的业务数据处理活动日志等记录，应当留存至少三年。

（三）应急处置要求

数据处理者应建立数据出境安全事件应急处置机制，制定应急预案并定期组织演练，确保在发生数据泄露、损毁、丢失或其他安全事件时能够迅速响应、有效处置。

发生数据出境安全事件，可能危害国家安全的、公共利益的，数据处理者应当在24 小时内向省网信部门、公安机关和有关主管部门报告。发生个人信息泄露、篡改、丢失的，应当依法通知履行个人信息保护职责的部门，并按规定告知相关个人。

五、附则

本指引由海南省旅游和文化广电体育厅负责解释。本指引自发布之日起施行，有效期两年。

附图：数据出境指引流程图