[1] 《深圳经济特区数据条例》第16条：数据处理者应当在处理个人数据前，征得自然人的同意，并在其同意范围内处理个人数据，但是法律、行政法规以及本条例另有规定的除外。前款规定应当征得同意的事项发生变更的，应当重新征得同意。第18条：处理敏感个人数据的，应当在处理前征得该自然人的明示同意。
[2] 《粤港澳大湾区（内地、香港）个人信息跨境流动标准合同实施指引》第4条：按照本实施指引，通过订立标准合同跨境提供个人信息的，应当履行标准合同列明的义务和责任，包括满足以下条件：
（一）个人信息处理者跨境提供个人信息前，应当按照个人信息处理者属地法律法规要求告知个人信息主体或者取得个人信息主体的同意；
（二）不得向粤港澳大湾区以外的组织、个人提供。
[3] 《粤港澳大湾区（内地、香港）个人信息跨境流动标准合同实施指引》第3条：通过订立标准合同的方式开展个人信息跨境提供的，应当坚持自主缔约与备案管理相结合、保护个人信息权益与防范风险相结合，保障个人信息跨境安全、自由流动。
[4] 《个人信息出境标准合同》第二条：个人信息处理者的义务（八）按照相关法律法规对拟向境外接收方提供个人信息的活动开展个人信息保护影响评估。重点评估以下内容：
1. 个人信息处理者和境外接收方处理个人信息的目的、范围、方式等的合法性、正当性、必要性。
2. 出境个人信息的规模、范围、种类、敏感程度，个人信息出境可能对个人信息权益带来的风险。
3. 境外接收方承诺承担的义务，以及履行义务的管理和技术措施、能力等能否保障出境个人信息的安全。
4. 个人信息出境后遭到篡改、破坏、泄露、丢失、非法利用等的风险，个人信息权益维护的渠道是否通畅等。
[5]《个人信息出境标准合同》 第三条：境外接收方的义务（八）同时符合下列条件的，方可向中华人民共和国境外的第三方提供个人信息：
1. 确有业务需要。
2. 已告知个人信息主体该第三方的名称或者姓名、联系方式、处理目的、处理方式、个人信息种类、保存期限以及行使个人信息主体权利的方式和程序等事项。向第三方提供敏感个人信息的，还应当向个人信息主体告知提供敏感个人信息的必要性以及对个人权益的影响。但是法律、行政法规规定不需要告知的除外。
3. 基于个人同意处理个人信息的，应当取得个人信息主体的单独同意。涉及不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的单独同意。法律、行政法规规定应当取得书面同意的，应当取得书面同意。
4. 与第三方达成书面协议，确保第三方的个人信息处理活动达到中华人民共和国相关法律法规规定的个人信息保护标准，并承担因向中华人民共和国境外的第三方提供个人信息而侵害个人信息主体享有权利的法律责任。
5. 根据个人信息主体的要求向个人信息主体提供该书面协议的副本。如涉及商业秘密或者保密商务信息，在不影响个人信息主体理解的前提下，可对该书面协议相关内容进行适当处理。
[6] 《粤港澳大湾区（内地、香港）个人信息跨境流动标准合同实施指引》第8条：个人信息处理者及接收方应在标准合同生效之日起10个工作日内按照属地向广东省互联网信息办公室或者香港特别行政区政府政府资讯科技总监办公室进行标准合同备案，提交如下材料：
（一）法定代表人身份证件影印件；
（二）承诺书（模板见附件2）；
（三）标准合同。
个人信息处理者及接收方应当对所备案材料的真实性负责。
[7] 《粤港澳大湾区（内地、香港）个人信息跨境流动标准合同实施指引》第5条：个人信息处理者按照本实施指引，通过订立标准合同跨境提供个人信息前，应当开展个人信息保护影响评估，重点评估以下内容：
（一）个人信息处理者和接收方处理个人信息的目的、方式等的合法性、正当性、必要性；
（二）对个人信息主体权益的影响及安全风险；
（三）接收方承诺承担的义务，以及履行义务的管理和技术措施、能力等能否保障跨境提供的个人信息安全。
[8] 《粤港澳大湾区（内地、香港）个人信息跨境流动标准合同实施指引》第4条：按照本实施指引，通过订立标准合同跨境提供个人信息的，应当履行标准合同列明的义务和责任，包括满足以下条件：
（一）个人信息处理者跨境提供个人信息前，应当按照个人信息处理者属地法律法规要求告知个人信息主体或者取得个人信息主体的同意；
（二）不得向粤港澳大湾区以外的组织、个人提供。
[9] 《粤港澳大湾区（内地、香港）个人信息跨境流动标准合同实施指引》第7条：跨境提供个人信息的目的、范围、种类、方式，或者接收方处理个人信息的用途、方式发生变化，延长保存期限，以及发生影响或者可能影响个人信息权益其他情况的，个人信息处理者应当重新开展个人信息保护影响评估，补充或者重新订立标准合同，并履行相应备案手续
