数据出境安全合规之告知同意

个人信息跨境为什么要做告知同意？

根据《个人信息保护法》第十四条 基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。

同时又根据《个人信息保护法》第三十九条可以知，个人信息处理者向中华人民共和国境外提供个人信息的，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意。

如何做到单独告知同意呢？

今年5月23日，国家市场监督管理总局发布了42574-2023《信息安全技术 个人信息处理中告知和同意的实施指南》，其中就如何行使单独告知同意做了明确说明：

（1）在个人作出单独同意之前，需通过增强告知的方式，针对需要单独同意的情形专门向个人进行充分告知；

（2）个人信息处理者需选择明示同意的方式来取得个人单独同意；

（3）涉及多个需要单独同意的情形时，可向个人提供可分项选择同意（如勾选、点亮等）的机制，分项选择同意的选项各自独立互不影响；

（4）单独同意所针对的处理活动需针对具体且独立的目的或业务功能，不与具备其他处理目的、采取其他处理方式的个人信息处理活动相捆绑或混同在其他同意事项中，以避免一揽子取得个人同意；

（5）如个人拒绝给出单独同意或撤回所作出的单独同意的，许确保不会影响单独同意范围之外的其他业务功能或处理目的，单独同意所针对的业务功能为产品或服务的基本业务功能的除外。