《个人数据保护法》实施条例 — 第39条

控制者应评估境外处理方的保护水平及传输风险，至少包括：数据性质、数量及敏感程度；处理目的、范围及共享对象；处理期限以及是否为受限、偶发一次、重复或定期处理；传输阶段、途经国家及最终目的地；对数据主体可能产生的影响和风险。

解释和适用时须核对官方阿拉伯文及现行版本。