感谢网友 autumn_dream 的线索投递！
10 月 17 日消息，近日，国家互联网信息办公室与国家市场监督管理总局联合发布了《个人信息出境认证办法》（以下简称《办法》），将于 2026 年 1 月 1 日正式施行。
国家网信办相关负责人指出，《个人信息保护法》已对个人信息出境的认证制度作出基础性规定，其中明确，依据国家网信部门相关规定，经由专业机构开展的个人信息保护认证，是合法向境外传输个人信息的途径之一。此次发布的《办法》进一步细化了个人信息出境认证的适用范围、申请流程、认证标准、证书有效期、认证机构职责以及监管机制等内容，旨在切实保障个人数据权益，规范跨境数据流动中的认证行为，推动个人信息安全高效地跨境流通。
《办法》明确了可适用出境认证的具体情形。凡通过认证方式向境外提供个人信息的个人信息处理者，须同时满足以下条件：首先，不属于关键信息基础设施运营者；其次，自当年 1 月 1 日起累计向境外提供不少于 10 万人但少于 100 万人的一般个人信息（不包含敏感个人信息），或向境外提供的敏感个人信息不足 1 万人，且所传输的信息中不含重要数据。同时，《办法》严禁通过人为拆分数量等方式规避应依法进行的安全评估，杜绝以认证替代评估的违规操作。
《办法》对认证申请程序、认证标准及证书期限作出具体规定。个人信息处理者需向具备资质的专业认证机构提出认证申请，认证机构须依据统一的认证基本规范和个人信息保护认证规则组织实施认证工作。认证通过后颁发的证书有效期为 3 年。
《办法》对专业认证机构的职责进行了明确要求。认证机构需将所发放的个人信息出境认证证书相关信息报送至全国认证认可信息公共服务平台。若发现获证单位实际出境的数据情况超出认证范围，或不再符合认证条件，认证机构应立即暂停其认证资格，并视情况撤销证书。如发现相关出境活动涉嫌违反法律法规或国家规定，须第一时间向国家网信部门及相关主管部门报告。
《办法》还提出了监督管理的相关要求。专业认证机构在取得认证资质后的 10 个工作日内，必须向国家网信部门完成备案。国家市场监督管理总局与国家网信办将共同对认证活动实施监督。省级以上网信部门及有关监管部门若发现获证单位的数据出境行为存在重大风险或已发生个人信息安全事件，有权依法对其进行约谈。
此外，《办法》也对违反相关规定的法律责任、文件适用效力等作出了相应规定。
