选择通过签订标准合同开展个人信息出境活动的个人信息处理者，可以在签订标准合同之外，签订与个人信息出境活动相关的其他合同，亦可直接在标准合同的附录二中明确其他约定。标准合同由国家网信办依法拟定，无论是在标准合同附录中约定其他权利义务，还是另行签署其他合同，均需明确约定当与国家网信办拟定的标准合同条款不一致时，应当优先适用国家网信办拟定的标准合同条款。

标准合同要求个人信息处理者在个人信息出境活动中履行如下保护义务：

标准合同要求境外接收方在个人信息出境活动中履行如下保护义务：

基于境内外的法律环境和各方的地理位置等因素限制，个人信息处理者监督境外接收方的个人信息处理行为和了解境外接收方所在国家或地区的个人信息保护政策法规存在一定难度。此时，境外接收方全面、及时、完整地提供所有必要信息就显得尤为重要。

国家网信办提供的标准合同中也明确要求境外接收方承诺向个人信息处理者提供所有必要的信息，包括：

《征求意见稿》要求当境外接收方所在国家或者地区的个人信息保护政策法规发生变化等可能影响个人信息权益时，重新签订标准合同并备案。因此，建议个人信息处理者和境外接收方在标准合同附录二中明确约定，当境外接收方存在所在国家或者地区的个人信息保护政策法规发生变化等可能影响个人信息权益的情形出现时，境外接收方应当及时通知个人信息处理者，与个人信息处理者共同评估该变化将对个人信息权益带来的风险。如确将引发新的个人信息权益风险，境外接收方应与个人信息处理者共同协商以重新签订标准合同。

《征求意见稿》要求将个人信息主体的权利纳入标准合同之中，标准合同文本第六条明确赋予个人信息主体作为第三方受益人执行该合同中个人信息处理者和数据接收者关于个人信息保护义务的权利，包括知情权、决定权、限制或拒绝他人对其个人信息进行处理的权利、查阅权、复制权、更正与补充的权利、删除权，以及要求对其个人信息处理规则进行解释说明的权利。个人信息处理者向个人信息主体告知其与境外接收方通过本合同约定个人信息主体为第三方受益人，如果个人信息主体未在三十天内明确拒绝，则可以依据该合同享有第三方受益人的权利。

（点击查看大图）

为保障个人信息主体的权利，个人信息处理者和境外接收方在个人信息出境活动开展过程中需采取适当措施实现个人信息主体的合理请求。但如个人信息主体提出过多或不合理要求，尤其是具有重复性的要求，境外接收方可在考虑到要求获准的执行和操作成本后，收取合理的费用，或拒绝按其要求行事。

另外，根据《民法典》第五百二十二条第二款，当事人约定第三人可以直接请求债务人向其履行债务，第三人未在合理期限内明确拒绝，债务人未向第三人履行债务或者履行债务不符合约定的，第三人可以请求债务人承担违约责任。标准合同中亦明确，个人信息主体作为标准合同第三方受益人有权向个人信息处理者和境外接收方任何一方主张并要求履行标准合同项下与个人信息主体权利相关的部分条款。当个人信息处理者或境外接收方未履行标准合同义务而侵害个人信息权益时，个人信息主体可主张违约方承担违约责任，亦可根据《个人信息保护法》等法律主张侵害个人信息权益方承担侵权责任。

业界对个人信息出境数量应当如何在标准合同中约定尚有不同观点。如果向境外提供个人信息是一次性的活动，个人信息处理者可以在标准合同中约定一个固定数量。然而，在实践中，向境外提供个人信息往往是一个长期的、持续性的活动，难以在合同中明确约定个人信息出境的精确数量，此时又应当如何判断向境外提供个人信息的数量是否发生变化而需重新签订标准合同及备案呢？本团队认为，是否触发重新签订及备案情形的关键在于个人信息出境场景所发生的变化是否影响到个人信息权益。个人信息处理者可事先在标准合同中根据最小必要原则明确约定个人信息出境的数量区间和传输频率，不建议为了规避标准合同重新签订和备案要求盲目扩大区间。当向境外提供个人信息的数量超出最小必要区间时，个人信息处理者需重新签订标准合同并备案。

仅仅签订标准合同并非满足了合规要求，标准合同的签订与生效仅是启动个人信息出境流程的一个开关，个人信息处理者和境外接收方在个人信息出境全生命周期中，还应按照标准合同的约定和相关法律法规规定制定和采取与个人信息出境风险相匹配的安全管理制度和技术保障措施，全面履行个人信息保护义务，以满足个人信息出境安全管理要求。如未履行标准合同约定的责任义务，侵害个人信息权益造成损害的，省级以上网信部门将根据《个人信息保护法》的规定，责令限期改正；拒不改正或者损害个人信息权益的，责令停止个人信息出境活动，依法予以处罚；构成犯罪的，依法追究刑事责任。

为了监督境外接收方履行个人信息保护义务，标准合同赋予个人信息主体对境外接收方开展审计的权利，以及境外接收方应当依约提供审计报告的义务：

最高人民法院关于适用《中华人民共和国涉外民事关系法律适用法》若干问题的解释（一）（2020年修订）第四条规定，中华人民共和国法律没有明确规定当事人可以选择涉外民事关系适用的法律，当事人选择适用法律的，人民法院应认定该选择无效。《个人信息保护法》等个人信息保护相关法律法规没有明确规定当事人可以选择涉外民事关系适用的法律。标准合同中明确该合同适用于中华人民共和国相关法律法规，因此在标准合同中提到的“按照相关法律法规”等表述需要理解为按照我国境内个人信息保护相关法律法规，换言之，境外接收方的个人信息保护水平应达到中华人民共和国法律、行政法规的规定和强制性国家标准等法律规范的要求。

同时，标准合同明确个人信息处理者和境外接收方可在标准合同选择仲裁或向中国有管辖权的人民法院提起诉讼的争议解决方式。另外，个人信息主体作为第三方受益人向个人信息处理者或境外接收方提起诉讼的，应当根据《中华人民共和国民事诉讼法》的规定确定管辖。以上要求将与标准合同有关的司法管辖限定在中国境内，被视为应对境外长臂管辖的重要举措。