一、问题的提出
个人信息保护法第三十八条为个人信息出境设置了三条通道：依照本法第三十九条的规定通过国家网信部门组织的安全评估；经专业机构进行个人信息保护认证；按照国家网信部门制定的标准合同与境外接收方订立合同。三条通道并列，适用条件不同，企业可以择一适用。
对多数中小企业而言，安全评估门槛高、周期长，保护认证成本大，标准合同成为最现实的选择。国家网信部门制定的标准合同，条款固定，当事人只需填写双方信息、出境目的、信息种类、数量、保存期限等内容，即可完成订立。便捷的背后，是对合同性质的忽视：很多企业把签订标准合同视为一项形式手续，签完即了，既不做影响评估，也不办理备案，更不关注条款的实质义务。
标准合同的法律性质，是理解全部问题的起点。若把它视为纯粹的民事合同，当事人的意思自治优先，条款可以协商变更；若把它视为监管工具，条款具有强制性，当事人不得减损；若二者兼具，则须区分哪些条款可以协商，哪些条款不可变更。性质不同，解释规则、效力判断与违约救济均不相同。
适用范围的界定，同样模糊。标准合同办法规定，适用标准合同的情形包括：非关键信息基础设施运营者；处理个人信息不满一百万人的；自上年一月一日起累计向境外提供不满十万人个人信息的；累计向境外提供不满一万人敏感个人信息的。这些数字看似明确，实际适用中却遇到诸多问题：人数如何统计，是按自然人计数还是按人次计数；累计的起算点如何确定；集团内部的分支机构是否合并计算。
备案的效力，是实务中最易出错的问题。标准合同办法要求，个人信息处理者应当在标准合同生效之日起十个工作日内，向所在地省级网信部门备案。备案是否为合同的生效要件？未备案的合同是否有效？未备案的出境行为是否违法？这些问题，办法没有明确，各地监管口径不一，企业无所适从。
影响评估与标准合同的关系，也未厘清。个人信息保护法第五十五条规定，向境外提供个人信息的，应当事前进行个人信息保护影响评估，并对处理情况进行记录。评估是合同订立的前置程序，还是独立的合规义务？评估存在瑕疵，是否影响合同效力？评估的保存期限是多久？这些问题，实务中鲜有讨论。
违约救济，是最薄弱的环节。标准合同的一方是境内个人信息处理者，另一方是境外接收方。境外接收方违约，例如超出约定目的处理信息、未按约定删除、发生泄露未通知，境内处理者如何追责？跨境诉讼的成本高、周期长、执行难，多数企业选择忍气吞声。个人能否直接向境外接收方主张权利？标准合同虽赋予个人第三方受益人地位，但实际的救济路径并不畅通。
本文的任务，是为上述问题提供解决的思路。第二节分析三条通道的分工与标准合同的定位；第三节讨论标准合同的法律性质；第四节界定适用范围；第五节分析备案的效力；第六节讨论影响评估；第七节设计违约救济的路径；第八节讨论监管与救济的衔接；第九节为结语。
讨论之前，须明确一个前提：标准合同不是简单的形式文件，而是承载着个人信息保护实质义务的法律工具。把它当作手续，就会忽视其义务；把它当作工具，才能发挥其功能。这一认识，是理解全部问题的关键。
从比较法的角度看，标准合同并非我国独创。欧盟《通用数据保护条例》第46条规定了标准合同条款，作为向第三国传输数据的适当保障措施；东盟、日本也有类似的机制。我国的制度设计，借鉴了这些经验，又结合了本国的监管体制，形成了自己的特色。
还须注意的是，标准合同的适用，与数据的分类分级密切相关。个人信息、敏感个人信息、重要数据，适用不同的出境规则；一般数据、重要数据、核心数据，监管的强度也不同。标准合同适用于一般个人信息与部分敏感个人信息，不适用于重要数据。界分清楚，才能正确适用。
二、三条通道的分工与标准合同的定位
安全评估、保护认证、标准合同，三条通道并列，各有其适用对象与功能。理解三者的分工，才能理解标准合同的定位。
安全评估，适用于关键信息基础设施运营者向境外提供个人信息，以及处理个人信息达到规定数量的处理者向境外提供个人信息，还包括向境外提供重要数据的情形。评估由国家网信部门组织，周期较长，审查严格，是最高的合规门槛。
保护认证，适用于具有一定规模、希望获得长期合规证明的处理者。认证由专业机构实施，审查处理者的个人信息保护体系，包括管理制度、技术措施、人员培训等。认证的有效期较长，可以提升企业的信誉。
标准合同，适用于数量较少、风险较低的个人信息出境。它以合同的方式，约定双方的权利义务，把个人信息保护法规定的义务转化为合同条款，通过合同约束境外接收方。标准合同的门槛最低，适用范围最广。
三条通道的分工，体现了比例原则。风险高的，适用严格的评估；风险中等的，适用认证；风险低的，适用标准合同。这一分层设计，既保障了个人信息的安全，又降低了企业的合规成本，符合监管的效率要求。
标准合同的定位，须放在这一分工中理解。它不是安全评估的简化版，也不是认证的替代品，而是一种独立的合规工具。它的功能，是通过合同约束境外接收方，使境外的处理行为达到境内法律要求的保护水平。
正是这一功能，决定了标准合同的性质。它不是纯粹的商业合同，因为其条款由监管机关制定，体现的是监管要求；它也不是纯粹的行政措施，因为其效力来源于当事人的合意，履行依靠违约责任。它是二者的结合：以合同的形式，实现监管的目的。
这一双重属性，在条款的设计中体现得淋漓尽致。标准合同既有商业条款，例如出境目的、信息种类、传输方式、保存期限；也有监管条款，例如境外接收方的保护义务、个人的权利保障、监管机构的查询权、违约责任与终止条款。前者可以协商，后者不可减损。
实务中，有的企业把标准合同当作普通合同，与境外接收方协商修改条款，删除监管要求的内容。这一做法，违反了标准合同办法的规定。办法明确，标准合同条款不得变更，当事人只能在空白处填写信息；确需变更的，只能在不减损个人信息权益的前提下，增加条款。
还有的企业把标准合同与其他合同混同，例如在服务合同中嵌入标准合同条款，或者以订单、附件的方式替代标准合同。这一做法，同样不符合要求。标准合同须单独订立，条款完整，双方签署；以其他形式替代，可能导致备案不被受理。
标准合同的定位，还影响其解释规则。纯粹的民事合同，解释以当事人的真实意思为准；监管工具，解释以监管目的为准。标准合同兼具二者，解释时应兼顾：既要尊重当事人的合意，又要实现保护个人信息的目的。条款的含义有争议时，应作有利于个人信息权益的解释。
从制度的角度看，标准合同是我国个人信息出境监管体系的重要组成部分。它与安全评估、保护认证共同构成三条通道，覆盖了不同风险等级的出境活动。三条通道的协调运行，才能实现个人信息保护与数据流动的平衡。
三条通道如何选择，实务中的操作要点可参见
三条通道如何选择，实务中的操作要点可参见数据出境的三条合规路径一文的比较，本文不再重复其适用条件，只就标准合同的性质与救济展开。
三、标准合同的法律性质
标准合同的法律性质，学界有三种观点：民事合同说、监管工具说、双重属性说。三说的分歧，直接影响合同效力的判断与违约责任的承担。
民事合同说认为，标准合同本质上是民事合同，当事人通过合意确定权利义务；监管机关制定条款，只是提供示范，不改变其民事性质。这一观点的优点是，尊重当事人的意思自治，便于适用合同法的规则；缺点是，忽视了条款的强制性与监管的目的。
监管工具说认为，标准合同本质上是监管机关设定的合规工具，条款具有强制性，当事人不得变更；合同的效力，取决于是否符合监管要求。这一观点的优点是，强调了监管的目的，保障了个人信息保护的水平；缺点是，忽视了合同的基本属性，难以解释违约责任的来源。
双重属性说认为，标准合同兼具民事合同与监管工具的属性：它是当事人之间的合意，具有民事合同的效力；它的条款由监管机关制定，具有强制性；它的履行，受到监管机关的监督。这一观点，较好地解释了标准合同的全貌。
本文赞成双重属性说，并进一步主张：标准合同的民事属性是其效力的基础，监管属性是其内容的来源。二者的关系，不是并列，而是层次：先有合同的成立与生效，才有监管义务的落实；没有合同，监管义务就失去载体。
这一层次关系，具有三点实益。第一，合同的成立与生效，适用民法典的规定。双方签署，合同成立；具备生效要件，合同生效。监管机关的备案，不影响合同的成立与生效。第二，合同的内容，以标准条款为准，当事人不得减损。减损的条款无效，但不影响其他条款的效力。第三，合同的履行，受监管机关的监督；违反监管要求，承担行政责任；违反合同约定，承担违约责任。
标准合同的强制性，体现在三个方面。其一，条款的强制性。标准合同办法附具的条款，是合同的必备内容，当事人不得删除、修改；只能在空白处填写具体信息。其二，义务的强制性。境外接收方须承担的保护义务，例如目的限制、最小必要、保存期限、安全措施、泄露通知、配合监管，均为法定义务，不因合同未约定而免除。其三，责任的强制性。违反义务的，须承担违约责任；造成损害的，须承担赔偿责任；构成违法的，须承担行政责任。
标准合同的任意性，体现在两个方面。其一，补充条款的任意性。当事人可以在标准条款之外，增加不违反法律、不减损个人信息权益的条款，例如争议解决方式、赔偿责任限额、技术支持措施。其二，履行的任意性。当事人可以约定履行的具体方式、时间、地点，只要不违反标准条款的要求。
标准合同与格式合同，容易混淆。二者都是预先拟定、重复使用的合同，但性质不同。格式合同是一方当事人拟定的，另一方只能接受或者拒绝；标准合同是监管机关拟定的，双方都只能接受。格式合同的规制，侧重于保护弱势一方；标准合同的规制，侧重于实现监管目的。二者不能混用。
标准合同与行政协议，也须区分。行政协议是行政机关与相对人之间订立的协议，具有行政法上的效力；标准合同是平等主体之间订立的合同，具有民法上的效力。监管机关不是合同当事人，不承担合同义务；其监督，属于行政监管，不属于合同履行。
标准合同的性质，还影响争议的解决。民事合同争议，通过诉讼或者仲裁解决；行政争议，通过行政复议或者行政诉讼解决。标准合同的争议，属于民事争议，由法院或者仲裁机构管辖；监管机关的处理，属于行政行为的范畴，可以通过行政复议或者行政诉讼救济。
实务中，有的企业主张，标准合同是监管机关制定的，其条款不属于当事人的合意，故不构成合同内容。这一主张不能成立。标准合同虽由监管机关制定，但须经双方签署才成立；签署即表示接受条款，条款成为合同内容。当事人不能以条款非自己拟定为由，否认其约束力。
还有的企业主张，标准合同的条款过于原则，缺乏可执行性，故不能作为违约责任的依据。这一主张同样不能成立。标准合同的条款虽有原则性，但可以通过解释具体化；境外接收方的义务，可以通过合同的目的、交易的习惯、诚信原则确定。条款原则，不等于条款无效。
从立法论的角度看，标准合同的性质，宜在立法或者司法解释中明确。现行规定只说明了标准合同的适用条件与备案要求，没有说明其性质与效力。性质不明，实务中的争议就难以避免。建议在个人信息保护法的实施条例中，专条规定标准合同的性质、效力与违约责任。
四、适用范围的界定
标准合同的适用范围，由标准合同办法规定。适用的积极条件包括：非关键信息基础设施运营者；处理个人信息不满一百万人的；自上年一月一日起累计向境外提供不满十万人个人信息的；累计向境外提供不满一万人敏感个人信息的。消极条件包括：不涉及重要数据；不存在法律、行政法规规定的其他限制情形。
这些条件，看似明确，适用中却遇到三个问题：人数的统计口径、累计的起算时点、主体的合并计算。三个问题不解决，适用范围就难以确定。
人数的统计口径，须明确。是以自然人为单位，还是以人次为单位？本文主张，应以自然人为单位。个人信息的保护，以自然人为中心；同一自然人多次出境的，只计一人，不重复计算。若以人次计算，企业可以通过分批出境规避监管，使标准合同的适用条件形同虚设。
但是，以自然人为单位，也有一个问题：企业如何知道出境信息涉及多少自然人？若信息已经匿名化、去标识化，企业难以统计人数。对此，本文主张，可以按信息条数估算，或者按账户数统计；确实无法统计的，可以按上限申报，由监管机关核定。
累计的起算时点，须明确。办法规定，自上年一月一日起累计。这一规定，意味着每年重新计算，企业每年都有十万人的一般个人信息、一万人的敏感个人信息的额度。这一设计，给了企业一定的灵活性，但也带来了规避的空间：企业可以通过跨年度的安排，把出境分散到不同年度。
本文主张，累计的计算，应采用滚动的方式，即以申请之日往前推十二个月，而非固定的自然年。滚动计算，可以防止企业通过跨年度安排规避监管；也可以更准确地反映企业的实际出境规模。这一建议，须通过修法或者解释实现。
主体的合并计算，须明确。集团公司、关联企业、分支机构，是否合并计算？本文主张，应合并计算。理由在于，关联企业之间的个人信息往往共享，合并计算才能反映真实的出境规模；若不合并，企业可以通过设立多个主体，规避数量限制。
合并计算的范围，应以控制关系为准。母公司与其控股的子公司，应合并计算；同一控制人控制的多家企业，应合并计算；仅存在业务合作、没有控制关系的，不合并计算。判断的标准，是公司法上的实际控制关系。
敏感个人信息的界定，须明确。个人信息保护法第二十八条规定，敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。这一规定，列举了典型类型，但没有穷尽。
实务中，争议较多的是行踪轨迹与金融账户。行踪轨迹，是否包括网络浏览记录、设备位置信息？本文主张，应包括。这些信息可以反映自然人的活动轨迹，属于行踪轨迹的范畴。金融账户，是否包括支付账户、理财账户？本文主张，应包括。这些账户与自然人的财产密切相关，属于敏感个人信息。
重要数据的界定，须明确。数据安全法第二十一条规定，重要数据是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益的数据。这一界定，较为原则；具体的目录，由各地区、各部门制定。标准合同不适用于重要数据，故界分重要数据与一般数据，是适用标准合同的前提。
实务中，有的企业把重要数据当作一般个人信息出境，适用标准合同，规避安全评估。这一做法，违反了数据安全法的规定。监管机关在备案审查中，应重点核查是否涉及重要数据；发现的，应移送安全评估。
适用范围的判断，还须考虑出境的目的。同一批个人信息，用于人力资源管理、售后服务、市场分析的，风险不同；用于跨境营销、数据挖掘的，风险更高。本文主张，应结合目的判断：风险低的，可以适用标准合同；风险高的，应适用安全评估或者认证。
从制度的角度看，适用范围的界定，是标准合同制度的基础。范围过宽，标准合同被滥用，个人信息保护落空；范围过窄，企业合规成本高，数据流动受阻。立法的选择，应在两者之间寻找平衡点。
五、备案的效力
标准合同办法要求，个人信息处理者应当在标准合同生效之日起十个工作日内，向所在地省级网信部门备案。备案的材料包括：标准合同、个人信息保护影响评估报告。备案的效力，是实务中最易出错的问题。
关于备案的效力，有三种观点：生效要件说、对抗要件说、管理措施说。三说的分歧，直接影响未备案合同的效力与出境行为的合法性。
生效要件说认为，备案是合同生效的前提，未备案的合同不生效。这一观点的依据是，备案是监管机关对合同的审查，未经审查的合同不能产生效力。缺点是，混淆了行政监管与民事效力，且与合同法的基本原理不符。
对抗要件说认为，备案不影响合同的生效，但未备案的合同不能对抗第三人。这一观点的依据是，备案具有公示功能，可以保护交易安全。缺点是，标准合同的相对方是特定的，不存在对抗第三人的问题，对抗要件说缺乏适用场景。
管理措施说认为，备案是行政监管的措施，不影响合同的效力；未备案的，承担行政责任，但合同仍然有效。这一观点的依据是，备案属于事后监督，不是事前审批；合同的效力，取决于当事人的合意，与备案无关。
本文赞成管理措施说。理由有三：其一，从文义看，办法规定的是“备案”，不是“批准”或者“登记”，备案的性质是事后告知，不是事前许可；其二，从体系看，安全评估是事前许可，认证是事前证明，标准合同是事后备案，三者的监管强度依次递减；其三，从效果看，若把备案作为生效要件，未备案的合同无效，境外接收方不受约束，个人信息保护反而落空。
备案不影响合同效力，但影响出境行为的合法性。未备案而出境的，属于违反行政管理秩序的行为，监管机关可以责令改正、给予警告、处以罚款；情节严重的，可以责令暂停相关业务。这一责任，是行政责任，不是合同责任。
备案的补办，须有途径。企业因疏忽未备案的，可以在发现后补办；补办的，不影响合同的效力，但行政责任不能免除。监管机关在处理时，可以考虑企业的补办情况，从轻或者减轻处罚。
备案的审查，须有边界。监管机关收到备案材料后，应进行形式审查，核查材料是否齐全、条款是否完整、评估是否进行；发现材料不全的，应告知补正；发现涉及重要数据或者不符合适用条件的，应不予备案，并告知理由。监管机关不得以备案为名，进行实质审批。
备案的效力，还涉及举证。发生争议时，备案材料可以作为证据，证明合同的内容、评估的进行；未备案的，当事人仍可以合同文本证明合同的内容，但可能面临监管机关的处罚。
实务中，有的企业把备案当作“护身符”，认为备案之后就不再承担责任。这一认识是错误的。备案只是形式审查，不意味着监管机关认可合同的全部内容；合同违反法律强制性规定的，仍然无效；出境行为造成损害的，仍然承担赔偿责任。
还有的企业把备案当作“一次性”的手续，备案之后不再更新。这一做法，不符合要求。标准合同的内容发生变化的，例如出境目的、信息种类、接收方变更，应当重新备案；影响评估到期的，应当重新评估并备案。
从比较法的角度看，备案制度的设置，体现了我国监管的特色。欧盟的标准合同条款，须经监管机关批准，属于事前许可；我国的标准合同，采事后备案，监管强度较低。这一差异，反映了我国在数据流动与安全之间的权衡。
六、影响评估的义务
个人信息保护法第五十五条规定，向境外提供个人信息的，应当事前进行个人信息保护影响评估，并对处理情况进行记录。这一义务，与标准合同的关系，实务中常有误解。
影响评估的内容，包括：个人信息的处理目的、处理方式是否合法、正当、必要；对个人权益的影响及安全风险；保护措施是否合法、有效并与风险程度相适应。评估的目的是，识别风险，采取措施，确保出境活动的安全。
评估的时点，须在合同订立之前。办法要求，备案时提交评估报告，说明评估应在备案之前完成；而备案在合同生效之后，故评估应在合同订立之前或者订立之时完成。这一时序，体现了风险评估的前置性。
评估与合同的关系，有两种理解：其一，评估是合同生效的前提，未评估的合同无效；其二，评估是独立的合规义务，与合同效力无关。本文赞成第二种理解。理由在于，评估是处理者的法定义务，其违反产生行政责任；合同的效力，取决于当事人的合意，与评估无关。
但是，评估的瑕疵，可能影响合同的履行。若评估发现风险过高，处理者应采取补充措施；未采取措施的，可能构成违约；造成损害的，应承担赔偿责任。这一效果，不是合同无效，而是合同履行中的责任。
评估的报告，须保存。办法要求，评估报告应在备案时提交，保存期限为三年。保存的意义，在于备查：监管机关可以随时调取，核查评估的真实性；发生争议时，可以作为证据。
评估的更新，须有规则。出境目的、信息种类、接收方、保存期限发生变化的，应当重新评估；评估满三年的，应当重新评估。这一规则，确保评估与实际情况相符，避免评估流于形式。
评估的方法，须有指引。现行的规定较为原则，缺乏具体的评估方法、指标体系、风险等级。本文主张，应制定评估指引，明确评估的步骤、因素、标准，为企业提供操作依据。指引可以由网信部门制定，也可以由行业协会制定。
评估的责任，须明确。未评估而出境的，监管机关可以责令改正、给予警告、处以罚款；造成损害的，处理者应承担赔偿责任；情节严重的，可能构成犯罪。责任的设置，应与其违法程度相适应。
实务中，有的企业把评估当作“走过场”，照抄模板，不作实质性分析。这一做法，不符合要求。评估应结合具体的出境场景，分析风险，提出措施；照抄模板的评估，不能反映真实风险，监管机关可以认定为未评估。
还有的企业把评估与合同割裂，评估归评估，合同归合同，二者互不关联。这一做法，也不符合要求。评估的结论，应反映在合同条款中：评估发现风险高的，合同应约定更严格的保护措施；评估发现接收方能力不足的，合同应约定技术支持或者审计权。
从制度的角度看，影响评估是风险治理的工具。它通过识别风险、采取措施，把抽象的法律要求转化为具体的管理方案。评估的质量，直接影响出境活动的安全水平。
七、违约救济的路径
标准合同的履行，涉及三方主体：境内个人信息处理者、境外接收方、个人信息主体。三方的关系不同，救济的路径也不同。本节分别讨论。
境内处理者对境外接收方的救济，是合同救济。境外接收方违反标准合同的约定，例如超出目的处理、未按约定删除、发生泄露未通知，境内处理者可以依合同请求其承担违约责任，包括继续履行、采取补救措施、赔偿损失。
违约责任的承担，须有合同依据。标准合同约定了境外接收方的义务，也约定了违约的后果；境内处理者可以依约主张。若合同没有约定具体的违约金，可以依民法典第五百八十四条主张损失赔偿，包括实际损失与可得利益损失。
损失的举证，是难点。个人信息泄露造成的损失，往往难以量化；企业的实际损失，可能包括补救费用、诉讼费用、商誉损失。本文主张，可以参照个人信息保护法第六十九条的规定，按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；难以确定的，由法院根据实际情况确定。
跨境诉讼的困难，须正视。境外接收方在境外，诉讼须依国际私法规则确定管辖，判决须经承认与执行程序；周期长、成本高、结果不确定。多数企业无力承担，选择放弃追责。这一现实，使标准合同的约束力大打折扣。
替代的救济方式，须探索。其一，仲裁。标准合同可以约定仲裁条款，选择中立的仲裁机构；仲裁裁决可以依《纽约公约》在多数国家执行，比诉讼更便捷。其二，协商与调解。通过双方的协商，或者第三方调解，解决争议，成本较低。其三，监管协作。通过网信部门之间的合作，请求境外监管机关协助调查、处理。
个人对境内处理者的救济，是法定救济。个人信息保护法第六十九条规定，处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。个人可以依此向境内处理者主张权利，无须证明处理者的过错。
个人对境外接收方的救济，是第三人利益合同的救济。标准合同通常约定，个人可以作为第三方受益人，直接向境外接收方主张权利。这一约定，为个人提供了直接的救济路径；但实际行使，仍面临管辖、执行等困难。
第三方受益人条款的效力，须分析。民法典第五百二十二条规定，当事人约定由债务人向第三人履行债务，债务人未向第三人履行债务或者履行债务不符合约定的，应当向债权人承担违约责任；法律规定或者当事人约定第三人可以直接请求债务人向其履行债务，第三人未在合理期限内明确拒绝，债务人未向第三人履行债务或者履行债务不符合约定的，第三人可以请求债务人承担违约责任。
依此规定，标准合同约定个人可以直接请求境外接收方履行的，个人取得直接的请求权；境外接收方不履行的，个人可以请求其承担违约责任。这一请求权的性质，是合同上的请求权，不是侵权请求权；其行使，须依合同的约定与法律的规定。
但是，个人行使这一权利，面临三重障碍。其一，信息的障碍。个人往往不知道自己的信息被出境，也不知道合同的内容；其二，成本的障碍。跨境诉讼的成本高，个人难以承担；其三，执行的障碍。境外接收方的财产在境外，判决难以执行。
破解这些障碍，须有制度支持。其一，信息支持。处理者应向个人告知出境的情况，包括接收方的名称、出境的目的、个人的权利；其二，法律援助。建立个人信息保护的公益诉讼制度，由检察机关或者消费者组织提起诉讼；其三，监管协作。通过双边或者多边的监管合作，协助个人主张权利。
违约救济与侵权救济，可以并用。境外接收方违约，同时构成侵权的，个人可以选择主张违约责任或者侵权责任；两种责任的构成要件、赔偿范围不同，个人可以选择对自己有利的路径。这一选择权，是受害人的权利，法院应予尊重。
从制度的角度看，违约救济的设计，须兼顾效率与公平。过度依赖跨境诉讼，救济成本高，实效差；过度依赖行政监管，救济的主动性不足。本文主张，应建立“合同救济为主、行政监管为辅、公益诉讼补充”的多元救济体系。
八、监管与救济的衔接
标准合同的实施，须有监管的保障。监管与救济，不是两条平行的线，而是相互衔接的体系。本节讨论三者的衔接：备案与监管、监管与诉讼、境内与境外。
备案与监管的衔接，须顺畅。备案是监管的起点，不是终点。监管机关通过备案，掌握企业出境的情况；通过抽查、评估、投诉处理，监督合同的履行；发现违法的，依法处理。备案的信息，应纳入监管系统，实现动态管理。
监管与诉讼的衔接，须明确。监管机关的处理决定，可以作为民事诉讼的证据；民事诉讼的判决，可以作为监管机关处理的参考。二者相互支持，但不相互替代：行政责任与民事责任，可以并行。
境内与境外的衔接，须加强。个人信息的出境，涉及境外的接收方；境内的监管，难以直接约束境外的行为。须通过双边协定、多边机制、监管合作，实现对境外接收方的监督。我国已加入的相关国际公约、双边协定，应充分利用。
监管的手段，须丰富。除了备案、检查、处罚，还可以采用约谈、警示、信用记录、行业自律等方式。多种手段结合，才能形成有效的监管。
监管的边界，须把握。监管机关不得干预企业的正常经营，不得以监管为名，要求企业提供商业秘密；监管的措施，应与风险的程度相适应，避免过度监管。
救济的渠道，须畅通。个人发现信息被违法出境的，可以向网信部门投诉，也可以向法院起诉；企业发现境外接收方违约的，可以依合同主张权利，也可以请求监管机关协助。多渠道的救济，才能保障各方的权益。
从比较法的角度看，各国对跨境数据流动的监管，呈现出两种趋势：一是加强监管，保护本国公民的个人信息；二是促进流动，便利国际贸易。我国的规定，试图在两者之间寻找平衡：以标准合同等工具，保障保护水平；以备案等程序，实现监管。
实务中，还有一类问题须处理：多个处理者共同出境。例如，集团公司与其子公司共同向境外提供信息，或者多个企业通过平台共同出境。此时，标准合同如何订立，责任如何分配？本文主张，应由主导的处理者订立合同，其他处理者作为共同处理者，承担连带责任；合同应明确各方的作用与责任。
还有一类问题：出境后再次转移。境外接收方把信息转移给第三方，是否须经境内处理者同意？标准合同通常约定，未经同意不得再转移；违反的，构成违约。监管机关在处理时，应审查再转移的合法性，追究相关方的责任。
从制度的角度看，监管与救济的衔接，是标准合同制度有效运行的保障。没有监管，合同流于形式；没有救济，权利无法实现。二者结合，才能实现个人信息保护的目标。
九、结语
个人信息出境标准合同，是我国数据治理体系中的一项重要制度。它以合同的方式，把个人信息保护的法定义务延伸到境外，实现了保护水平与数据流动的平衡。制度的初衷是好的，实施的效果却取决于细节。
本文的基本结论是：标准合同兼具民事合同与监管工具的双重属性，其条款具有强制性，当事人不得减损；适用范围应以数量、敏感程度与出境目的综合判断，人数应以自然人为单位，累计应采滚动计算，关联主体应合并计算；备案为管理性规定，不影响合同效力，但未备案的出境行为应承担行政责任；影响评估是合同订立的前置义务，评估瑕疵不影响合同效力；违约救济应建立双层路径，辅以监管协作与公益诉讼。
这些结论，须以立法的完善为基础。现行规定较为原则，缺乏对性质、效力、责任的明确界定；司法解释与实施条例应进一步细化，为实务提供指引。
这些结论，也须以监管的能力为支撑。标准合同的备案、评估的审查、违约的处理，都需要专业的监管队伍与技术手段。监管能力的提升，是制度落地的关键。
从长远看，个人信息出境的规制，须在国际合作中寻找出路。数据的流动是跨境的，监管却是属地的；唯有通过双边、多边的合作，才能实现对境外接收方的有效约束。我国应积极参与国际规则的制定，推动形成互认的机制。
数据是新时代的生产要素，个人信息是数据的重要组成部分。让数据在安全的前提下流动，让个人在流动中得到保护，这既是法律的任务，也是治理的智慧。标准合同作为其中的一项工具，其完善与否，关系到数字经济的发展，也关系到公民权益的保障。