标准合同

个人信息出境标准合同（Standard Contract for Outbound Transfer of Personal Information，简称 China SCC）是依据中国 PIPL 制定的一种数据出境合规机制。它允许未达到国家级“安全评估”门槛的数据处理者，通过与境外接收方（如跨国药企总部）签署一份由国家网信办 (CAC) 统一制定的标准法律文本，来满足数据出境的合规要求。企业在签署该合同并生效后，必须在 10 个工作日内向所在地省级网信部门进行备案。对于大多数受试者规模在 1 万人以下的多中心临床试验 (MRCT)，签署并备案标准合同是目前最主流的数据出境路径。

标准合同 (SCC)

China Standard Contract (点击展开)

中小规模出境的“通行证”

机制概况
法律依据	PIPL 第38条
发布时间	2023年2月 (办法)
适用对象	非 CIIO & 非海量数据
监管动作	省级网信办备案
所需材料
核心文件	签署的 SCC 合同文本
评估报告	PIA (个人信息保护影响评估)

适用门槛：谁可以走 SCC？

根据 2024 年 3 月发布的《促进和规范数据跨境流动规定》，只要未达到必须申报“安全评估”的高门槛，且不属于豁免申报的极少量情形，都需要走 SCC 备案。

       符合以下所有条件的企业，应选择 SCC 备案：

1. 不是关键信息基础设施运营者 (非 CIIO)。
2. 自当年 1 月 1 日起，累计向境外提供敏感个人信息（如患者数据）少于 1 万人。
   (注：绝大多数临床试验都符合此条)
3. 自当年 1 月 1 日起，累计向境外提供非敏感个人信息少于 100 万人。

合同内容：官方模板，不得修改

与商业合同不同，China SCC 是一份格式合同。企业必须严格按照网信办发布的模板签署，不得修改核心条款，只能在附录中填写具体信息。

主要条款	核心义务
出境目的与范围	必须详细列出所有出境数据的类型（如：受试者ID、不良反应记录）、敏感程度及境外接收方的处理用途。
境外接收方义务	境外方（如美国总部）承诺受到中国法律管辖，若发生数据泄露，必须通知中方并采取补救措施。
个人信息主体权利	赋予中国受试者第三方受益人权利。受试者可以直接起诉境外的接收方，要求赔偿。

China SCC vs. EU SCC

跨国药企常需同时处理中国和欧洲的数据，了解两者的差异至关重要。

• 备案要求：
  • China SCC： 签署后必须向政府（网信办）备案，包括提交 PIA 报告。
  • EU SCC： 通常只需企业内部签署留存，以备检查（除非通过 BCR 等其他机制）。
• 适用法律：
  • China SCC： 争议解决必须适用中国法律。
  • EU SCC： 适用欧盟成员国法律。
• 再传输 (Onward Transfer)： 两者都严格限制接收方将数据转给第三方，China SCC 要求必须通知个人信息处理者并重新取得同意（如果是敏感信息）。

       合规实操建议 [Practical Guide]
       

Step 1. 自评估 (PIA)： 在签署合同前，必须完成《个人信息保护影响评估》。重点评估出境的必要性和境外接收方的安全保障能力。

Step 2. 签署合同： 使用网信办官方模板。注意，对于临床试验，申办方（Sponsor）和 CRO 往往都需要作为数据处理者分别或共同签署。

Step 3. 网上备案： 在合同生效 10 个工作日内，登录国家网信办的数据出境申报系统提交材料。

           数据出境路径 · 知识图谱

上级概念	数据出境 (Cross-border Transfer)
平行路径	安全评估 (高风险) • 保护认证 (集团内)
前置条件	单独同意 • PIA (影响评估)