上個(gè)月，我國(guó)發(fā)布了《個(gè)人信息出境標(biāo)準(zhǔn)合同規(guī)定（征求意見(jiàn)稿）》（以下簡(jiǎn)稱“征求意見(jiàn)稿”）。我們?cè)凇赌男┢髽I(yè)簽個(gè)標(biāo)準(zhǔn)合同，就可以合法傳輸個(gè)人信息出境？》[i]一文中介紹了相關(guān)的制度，實(shí)際上，歐盟《通用數(shù)據(jù)保護(hù)準(zhǔn)則》（GDPR）下的個(gè)人數(shù)據(jù)的跨境傳輸制度中也有一個(gè)標(biāo)準(zhǔn)合同（StandardContractual Clause），今天我們就跟大家聊聊中國(guó)和歐盟的標(biāo)準(zhǔn)合同有哪些異同。

一、中國(guó)和歐盟之間跨境傳輸個(gè)人數(shù)據(jù)有哪些途徑？

我國(guó)向境外（包括歐盟和美國(guó)）跨境傳輸個(gè)人數(shù)據(jù)有三條途徑：1、通過(guò)政府的安全評(píng)估；2、專(zhuān)業(yè)機(jī)構(gòu)的個(gè)人信息保護(hù)認(rèn)證；3、簽訂標(biāo)準(zhǔn)合同。

歐盟的《通用數(shù)據(jù)保護(hù)準(zhǔn)則》提供了多種途徑實(shí)現(xiàn)個(gè)人數(shù)據(jù)的跨境傳輸，主要分為三種機(jī)制，第一種是基于充分性認(rèn)定機(jī)制（又稱白名單）；第二種是采取適當(dāng)保障措施的機(jī)制，包括簽訂標(biāo)準(zhǔn)合同（Standard Contractual Clause 或者SCC）、通過(guò)約束性企業(yè)規(guī)則（Binding Corporate Rules或者BCR）、認(rèn)證機(jī)制、行為準(zhǔn)則（CoC）等；第三種為獲得數(shù)據(jù)主體同意、履行合同所必要等。

由于歐盟認(rèn)定的個(gè)人數(shù)據(jù)保護(hù)充分性認(rèn)定的白名單不包括中國(guó)，因此企業(yè)將歐盟的個(gè)人數(shù)據(jù)傳輸至中國(guó)則需要采取《通用數(shù)據(jù)保護(hù)準(zhǔn)則》規(guī)定的其他豁免途徑，如簽訂標(biāo)準(zhǔn)合同、約束性企業(yè)規(guī)則、獲得數(shù)據(jù)主體同意。對(duì)于集團(tuán)內(nèi)數(shù)據(jù)傳輸，大中型跨國(guó)企業(yè)集團(tuán)可能更愿選擇通過(guò)約束性企業(yè)規(guī)則的路徑，即提交一份保證在集團(tuán)企業(yè)內(nèi)部遵守歐盟數(shù)據(jù)保護(hù)法的文件或制度陳述。對(duì)于大部分企業(yè)，可能更依賴于簽訂標(biāo)準(zhǔn)合同的路徑將歐盟的個(gè)人數(shù)據(jù)傳輸?shù)街袊?guó)。

二、中歐跨境傳輸個(gè)人信息標(biāo)準(zhǔn)合同有哪些異同？

歐盟標(biāo)準(zhǔn)合同和我國(guó)的標(biāo)準(zhǔn)合同雖然均是簽訂標(biāo)準(zhǔn)合同的文本，但在側(cè)重點(diǎn)和適用上還是有所不同，具體而言：

1、適用主體及范圍

根據(jù)歐盟標(biāo)準(zhǔn)合同的規(guī)定，只要是負(fù)有數(shù)據(jù)保護(hù)責(zé)任的企業(yè)，將在歐盟收集的個(gè)人數(shù)據(jù)從歐盟傳輸?shù)降谌龂?guó)時(shí)，均可以選擇適用歐盟《通用數(shù)據(jù)保護(hù)準(zhǔn)則》實(shí)現(xiàn)數(shù)據(jù)跨境傳輸。根據(jù)主體在個(gè)人數(shù)據(jù)處理中角色的不同，標(biāo)準(zhǔn)合同將主體劃分為個(gè)人數(shù)據(jù)的數(shù)據(jù)控制者（Controller）和數(shù)據(jù)處理者(Processor)。數(shù)據(jù)控制者是收集數(shù)據(jù)的公司，而處理者則是分析或使用數(shù)據(jù)的公司，兩者的法律責(zé)任和關(guān)注重點(diǎn)各有不同。

稍微解釋一下數(shù)據(jù)控制者和數(shù)據(jù)處理者，以讓facebook被罰50億美元的劍橋數(shù)據(jù)泄露案為例[ii]，該案中，facebook公司收集控制了用戶的數(shù)據(jù)，但因其對(duì)用戶數(shù)據(jù)保護(hù)不力，導(dǎo)致一款僅2.7萬(wàn)用戶使用的劍橋公司開(kāi)發(fā)的App獲得了超過(guò)5000萬(wàn)用戶的facebook數(shù)據(jù)，相應(yīng)的數(shù)據(jù)分析結(jié)果甚至影響了美國(guó)大選的結(jié)果，最終致其被罰50億美元。該案中，facebook公司就是數(shù)據(jù)控制者，而對(duì)數(shù)據(jù)進(jìn)行分析的劍橋公司則是數(shù)據(jù)處理者。

相比于歐盟區(qū)分主體處理數(shù)據(jù)的角色，我國(guó)則統(tǒng)稱為個(gè)人信息處理者。我國(guó)標(biāo)準(zhǔn)合同區(qū)分行業(yè)和處理個(gè)人數(shù)據(jù)的總量的目的，除了基于保障個(gè)人數(shù)據(jù)主體權(quán)益外，還有基于國(guó)家安全和公共利益的考慮。所以并不是所有的主體都可以適用標(biāo)準(zhǔn)合同來(lái)實(shí)現(xiàn)數(shù)據(jù)的跨境傳輸。只有同時(shí)符合四個(gè)條件，才可以通過(guò)簽訂標(biāo)準(zhǔn)合同的方式向境外提供個(gè)人信息：

（一）非關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者；（二）處理個(gè)人信息不滿100萬(wàn)人的；（三）自上年1月1日起累計(jì)向境外提供未達(dá)到10萬(wàn)人個(gè)人信息的；（四）自上年1月1日起累計(jì)向境外提供未達(dá)到1萬(wàn)人敏感個(gè)人信息的。而個(gè)人信息處理者，是指在個(gè)人信息處理活動(dòng)中自主決定處理目的、處理方式的組織、個(gè)人。

在適用范圍上，原則上，歐盟標(biāo)準(zhǔn)合同和我國(guó)標(biāo)準(zhǔn)合同均只適用于簽署標(biāo)準(zhǔn)合同的雙方，但是歐盟標(biāo)準(zhǔn)合同中的對(duì)接條款（docking clause）可以使得第三方后續(xù)以數(shù)據(jù)傳輸方或接收方的身份或地位加入歐盟的標(biāo)準(zhǔn)合同，受到該合同的約束。而我國(guó)標(biāo)準(zhǔn)合同則沒(méi)有該機(jī)制，若是境外接收方再向第三方提供個(gè)人數(shù)據(jù)，則必須獲得用戶的單獨(dú)同意且要達(dá)成新的書(shū)面協(xié)議。

2、法律適用和爭(zhēng)議解決條款

在法律適用條款上，歐盟標(biāo)準(zhǔn)合同的選擇權(quán)可能多于我國(guó)的標(biāo)準(zhǔn)合同。之所以這么說(shuō)，是因?yàn)槌藲W盟成員國(guó)的法律外，在特定情況下，歐盟標(biāo)準(zhǔn)合同可以允許適用非歐盟成員國(guó)的法律。相比而言，我國(guó)的標(biāo)準(zhǔn)合同只能適用中國(guó)法律。

在爭(zhēng)議解決條款上，歐盟標(biāo)準(zhǔn)合同的爭(zhēng)議解決更偏向于法院管轄，但可以選擇歐盟或非歐盟的法院，而我國(guó)標(biāo)準(zhǔn)合同的爭(zhēng)議解決則采用了民事?tīng)?zhēng)議專(zhuān)用的解決機(jī)制：法院管轄或者仲裁管轄。法院管轄要求必須選擇國(guó)內(nèi)法院，但仲裁機(jī)構(gòu)則可以選擇中國(guó)國(guó)際經(jīng)濟(jì)貿(mào)易仲裁委員會(huì)、中國(guó)海事仲裁委員會(huì)或北京仲裁委員會(huì)，或選擇《承認(rèn)及執(zhí)行外國(guó)仲裁裁決公約》（即《1958年紐約公約》）成員的仲裁機(jī)構(gòu)。

3、數(shù)據(jù)傳輸?shù)脑u(píng)估

歐盟和我國(guó)均需要對(duì)數(shù)據(jù)傳輸進(jìn)行相應(yīng)的評(píng)估，雖然歐盟《通用數(shù)據(jù)保護(hù)準(zhǔn)則》更強(qiáng)調(diào)對(duì)于數(shù)據(jù)跨境傳輸活動(dòng)進(jìn)行風(fēng)險(xiǎn)評(píng)估及采取有效措施降低跨境傳輸風(fēng)險(xiǎn)的思路，但是，數(shù)據(jù)跨境傳輸并不屬于必須進(jìn)行數(shù)據(jù)保護(hù)影響評(píng)估的場(chǎng)景，只有在歐盟監(jiān)管機(jī)構(gòu)要求時(shí)，企業(yè)才需要提供個(gè)人數(shù)據(jù)跨境傳輸評(píng)估記錄。相比而言，我國(guó)的標(biāo)準(zhǔn)合同則需要在事前進(jìn)行個(gè)人信息影響評(píng)估報(bào)告，并同時(shí)向網(wǎng)信部門(mén)提供評(píng)估報(bào)告（該報(bào)告需要保存3年）。

就評(píng)估內(nèi)容而言，兩個(gè)評(píng)估的內(nèi)容和側(cè)重點(diǎn)大同小異，歐盟標(biāo)準(zhǔn)合同要求的評(píng)估包括數(shù)據(jù)傳輸?shù)木唧w情況、數(shù)據(jù)接收方所在國(guó)的法律和司法實(shí)踐、相關(guān)已實(shí)施的補(bǔ)充性合同、技術(shù)或組織保障措施等。我國(guó)的標(biāo)準(zhǔn)合同則需要重點(diǎn)評(píng)估包括出境的具體情況、境外接收方所在國(guó)或者地區(qū)的個(gè)人信息保護(hù)政策法規(guī)對(duì)標(biāo)準(zhǔn)合同履行的影響、境外接收方履行責(zé)任義務(wù)的管理和技術(shù)措施、能力等能否保障出境個(gè)人信息的安全等。

如前所述，在歐盟監(jiān)管機(jī)構(gòu)要求時(shí)，企業(yè)需要提供相應(yīng)的評(píng)估記錄，在這種情況下，歐盟監(jiān)管機(jī)構(gòu)還是有可能實(shí)質(zhì)性審核該評(píng)估內(nèi)容和記錄的。而由于我國(guó)的標(biāo)準(zhǔn)合同實(shí)行的是備案制度，故我國(guó)政府不會(huì)實(shí)質(zhì)性審核每一份評(píng)估報(bào)告和評(píng)估記錄。

4、技術(shù)保障措施

歐盟標(biāo)準(zhǔn)合同對(duì)數(shù)據(jù)的訪問(wèn)有著嚴(yán)格的限制，即在歐盟標(biāo)準(zhǔn)合同的第三節(jié)規(guī)定，數(shù)據(jù)接收方一旦收到非歐盟國(guó)家的政府提出的數(shù)據(jù)訪問(wèn)請(qǐng)求，且有理由質(zhì)疑該請(qǐng)求的合法性，那么應(yīng)當(dāng)立刻告知數(shù)據(jù)發(fā)送方。

相比歐盟嚴(yán)格限制訪問(wèn)要求，我國(guó)標(biāo)準(zhǔn)合同則籠統(tǒng)地規(guī)定，個(gè)人信息處理者應(yīng)盡合理的努力確保境外接收方采取有效的技術(shù)和管理措施。對(duì)于具體的技術(shù)和管理措施，我國(guó)標(biāo)準(zhǔn)合同則列舉了加密、匿名化、去標(biāo)識(shí)化、訪問(wèn)控制等多種措施，并要求確?！斑@些措施維持適當(dāng)?shù)陌踩健薄６鴮?duì)于境外接收方所在國(guó)政府機(jī)構(gòu)的訪問(wèn)，我國(guó)標(biāo)準(zhǔn)合同只要求在評(píng)估時(shí)予以考慮，并沒(méi)有嚴(yán)格的限制。

5、責(zé)任分配方式

如前所述，歐盟《通用數(shù)據(jù)保護(hù)準(zhǔn)則》將主體劃分為個(gè)人數(shù)據(jù)的數(shù)據(jù)控制者和數(shù)據(jù)處理者,根據(jù)數(shù)據(jù)控制者和數(shù)據(jù)處理者關(guān)系的不同，適用不同模式的標(biāo)準(zhǔn)合同，也就意味著在數(shù)據(jù)傳輸過(guò)程中對(duì)于數(shù)據(jù)接收方的控制力不同，因此，在不同模式的歐盟標(biāo)準(zhǔn)合同下，合同雙方所需要承擔(dān)的責(zé)任與義務(wù)是存在差異的。

相比而言，我國(guó)標(biāo)準(zhǔn)合同沒(méi)有區(qū)分?jǐn)?shù)據(jù)處理的角色而統(tǒng)稱為個(gè)人信息處理者，因此個(gè)人信息處理者與境外接收方承擔(dān)的義務(wù)是相同的，只是在委托處理的場(chǎng)景下有所不同。

本文作者：游云庭，上海大邦律師事務(wù)所高級(jí)合伙人，知識(shí)產(chǎn)權(quán)律師。汪婷，上海大邦律師事務(wù)所顧問(wèn)。本文僅代表作者觀點(diǎn)。

[i] https://mp.weixin.qq.com/s/sAbvr5huV6axpWwmXpCm0w

[ii] https://baike.baidu.com/item/%E8%84%B8%E4%B9%A6%E6%95%B0%E6%8D%AE%E9%97%A8/22449948