大湾区标准合同个人信息出境备案流程
《粤港澳大湾区（内地、香港）个人信息跨境流动标准合同》（以下简称”大湾区标准合同”）于 2023 年 6 月由国家互联网信息办公室与香港特区政府创新科技及工业局联合公布，是当前内地与香港之间个人信息跨境传输的便利化通道之一。不同于”安全评估”路径的复杂程序，标准合同备案以”签署 + 备案”为主，门槛相对较低，是大湾区企业日常合规的常见选项。本文梳理适用范围、合同条款与备案流程，供有意办理的内地企业参考。
一、什么是大湾区标准合同
大湾区标准合同是国家网信办为促进粤港澳大湾区数据跨境流动而制定的格式合同范本。内地个人信息处理者向位于香港的个人信息接收方提供个人信息时，可选择签署该范本并完成备案，作为《个人信息保护法》第 38 条规定的合法出境方式之一。
核心定位：
- 简化通道：无需通过国家网信办组织的安全评估
- 格式统一：条款由监管机构制定，企业可在备案表中就商业条款作出选择
- 适用范围：限定在大湾区内地 9 市与香港之间，不可扩展至澳门或其他境外地区
需要强调的是，标准合同备案仅是合法出境的形式要件之一，企业仍须满足《个人信息保护法》关于告知同意、个人信息影响评估（PIPIA）等全部义务。
二、哪些企业适用
国家网信办对适用范围设定了主体与规模两方面的门槛，企业须同时满足。
主体要求
- 内地 9 市（广州、深圳、珠海、佛山、惠州、东莞、中山、江门、肇庆）的注册企业
- 接收方为香港注册的组织和个人
- 不适用于跨境至澳门、其他国家或地区的情形
规模要求（满足其一即可）
| 规模类型 | 触发条件 |
|---|---|
| 重要数据处理者 | 涉及重要数据出境 |
| 大规模处理者 | 处理超过 100 万人个人信息的处理者 |
| 上年度累计 | 自上年 1 月 1 日起向香港提供 10 万人个人信息或 1 万人敏感个人信息 |
不在上述范围的企业，仍需通过其他合法路径出境（如安全评估、个人信息保护认证等），具体以官方最新公布为准。
三、合同主要条款解读
大湾区标准合同由正文条款与附录一（个人信息出境说明）、附录二（接收方承诺书）三部分构成。附录一是企业实际填写与监管审查的重点。
正文关键条款
- 合同期限：不得超过 3 年，期满可续签
- 双方义务：明确内地处理者的告知义务与香港接收方的保护义务
- 共同义务：合同终止或撤回后的数据删除或返还
- 违约责任：双方就违反约定承担连带责任
- 争议解决：建议约定香港仲裁或诉讼
附录一需填写事项
- 出境个人信息的类别、字段与数量
- 处理目的、方式与保存期限
- 涉及敏感个人信息的，须逐项标注并说明必要性
- 接收方所在行业、数据保护能力描述
附录二承诺书
由香港接收方法人或授权代表签署，承诺按合同约定处理数据、配合监管检查。
四、备案所需材料清单
企业将合同与附录准备完毕后，向所在地省级网信办提交备案。以下材料清单以官方公布为准，办理前请通过省级网信办官网或政务服务网确认最新版本。
| 序号 | 材料名称 | 形式 | 备注 |
|---|---|---|---|
| 1 | 《大湾区标准合同备案申请表》 | 盖章原件 | 由省级网信办提供模板 |
| 2 | 拟签署的《大湾区标准合同》（正文 + 附录一 + 附录二） | 电子 + 纸质 | 双方签字盖章 |
| 3 | 个人信息保护影响评估报告（PIPIA 报告） | 盖章原件 | 须覆盖处理目的、风险评估与应对措施 |
| 4 | 内地处理者统一社会信用代码证明 | 复印件 | 加盖公章 |
| 5 | 香港接收方商业登记证或公司注册证明 | 复印件 | 须经中国委托公证人公证 |
| 6 | 双方签署的商务合作文件（如有） | 复印件 | 证明数据出境具有真实业务场景 |
| 7 | 法定代表人和经办人身份证明 | 复印件 | 经办人需提供授权委托书 |
关键提醒：
- 备案表与合同须使用简体中文撰写
- 香港接收方签署文件如使用繁体，可附加中文简译
- PIPIA 报告建议参照 GB/T 39335 国标模板
五、备案办理流程
步骤 1：完成个人信息保护影响评估
在合同签署前开展 PIPIA，识别风险点并写入合同条款。评估报告须由企业内部审批后存档备查。
步骤 2：起草并签署标准合同
依据官方范本填写附录一，由香港接收方签署附录二。双方签字盖章后，合同正式生效。
步骤 3：准备备案材料
按所在地省级网信办要求逐项整理材料，确保纸质件与电子件一致。注意部分省份要求通过线上系统上传。
步骤 4：递交省级网信办
通过广东省网信办政务大厅或指定网上平台递交材料。受理后进入审查阶段。
步骤 5：获取备案回执
省级网信办审查通过后，向企业出具《备案回执》，企业据此可在备案有效期内向香港接收方持续传输个人信息。
步骤 6：续签或变更
合同期满或双方信息发生重大变化（如接收方主体变更、出境数据规模扩大等），须重新备案或签署补充协议。
六、办理时限与费用
时限
- 受理通知：省级网信办收到材料后 10 个工作日内
- 审查期限：原则上 15 个工作日内完成审查，复杂情形可延长 10 个工作日
- 整体周期：从递交材料到取得备案回执，通常需要 4–6 周
费用
- 网信办备案本身不收取行政费用
- 委托律师出具 PIPIA 报告、参与合同谈判的市场费用因机构与服务范围而异
- 香港接收方文件经中国委托公证人公证会产生公证费用
具体费用与时长以官方最新公布为准。
七、备案前后的合规要点
- 告知同意：企业须在隐私政策中清晰告知用户其数据将出境至香港，并获取有效同意
- 数据最小化：仅传输与处理目的相关、必要的字段
- 敏感信息特别保护：敏感个人信息（如身份证号、生物识别、医疗健康、金融账户、行踪轨迹等未成年人数据）须逐项说明必要性，并取得单独同意
- 事件应对：发现违反约定的，须在 72 小时内向省级网信办报告
- 文档留存：合同、PIPIA 报告与备案回执至少留存 3 年
八、与其他出境路径的对比
| 路径 | 适用情形 | 监管机构 | 大致周期 |
|---|---|---|---|
| 大湾区标准合同备案 | 大湾区内地 9 市 ↔ 香港 | 省级网信办 | 4–6 周 |
| 数据出境安全评估 | 重要数据、累计出境超 100 万人个人信息 | 国家网信办 | 数月 |
| 个人信息保护认证 | 大规模或涉及敏感个人信息 | 经认证机构 | 视认证机构排期 |
对于不涉及重要数据、出境规模在阈值以下的企业，大湾区标准合同备案是门槛最低、周期最短的选择之一。
九、常见误区提醒
- 误区一：备案 = 万事大吉。备案仅是形式合规，企业仍须按合同和 PIPIA 报告持续执行。
- 误区二：可以扩展到澳门。标准合同仅适用内地 9 市与香港之间，传输至澳门须另寻合法路径。
- 误区三：合同签完即可传输。须取得备案回执后才可实际传输个人信息。
- 误区四：评估报告可以套用模板。PIPIA 报告须基于具体业务场景，监管会针对具体字段质疑其必要性。
大湾区标准合同备案为内地企业与香港业务伙伴之间的常规数据传输提供了较为清晰的合规通道。建议企业在启动前由熟悉数据合规的律师介入准备 PIPIA 报告，并尽早与省级网信办沟通材料细节，以缩短办理周期。
香港大全 收录了更多与香港工作、生活、跨境事务相关的实用指南，欢迎有需要的读者前往查阅。
常见问答
大湾区标准合同备案适用于向澳门传输个人信息吗？
不可以。原文明确指出，标准合同的适用范围限定在大湾区内地 9 市与香港之间，不可扩展至澳门。若涉及向澳门或其他境外地区传输，需另行选择安全评估、个人信息保护认证等合法路径，具体以官方最新公布为准。
备案成功前，可以先把数据传到香港吗？
不可以。备案属于”先备案、后传输”的合规安排，企业须取得省级网信办出具的备案回执后，方可在备案有效期内向香港接收方持续传输个人信息。在备案完成前传输，存在合规风险。
PIPIA 报告可以直接套用通用模板吗？
不建议。原文提醒，PIPIA 报告须基于具体业务场景撰写，覆盖处理目的、风险评估与应对措施。监管审查时可能针对具体字段质疑其必要性，因此参照 GB/T 39335 国标框架的同时，需要结合企业自身的数据类别、处理目的和接收方情况作针对性说明。
备案办理大概需要多长时间？需要交费吗？
从递交材料到取得备案回执，整体周期通常为 4–6 周；网信办备案本身不收取行政费用，但委托第三方准备 PIPIA 报告、参与合同谈判以及香港接收方文件经中国委托公证人公证，会产生相应的市场费用。具体时长与费用以官方最新公布为准。
标准合同备案后还需要做哪些持续合规工作？
备案并非”一备了之”。原文列举的持续义务包括：在隐私政策中清晰告知数据出境并取得有效同意；遵循数据最小化原则；敏感个人信息须逐项说明必要性并取得单独同意；发生违约事件时 72 小时内向省级网信办报告；合同、PIPIA 报告与备案回执至少留存 3 年。合同期满或双方信息发生重大变化时，还须重新备案或签署补充协议。