互聯(lián)網(wǎng)誕生之初，數(shù)據(jù)跨境流動是自由的，但自2016年起，各國紛紛頒布法律限制數(shù)據(jù)跨境傳輸以保護網(wǎng)絡(luò)安全、數(shù)據(jù)安全、個人信息安全。法律是政治性的，所以就有優(yōu)待和苛刻，今天我們就來比較一下歐盟、美國、中國的跨境數(shù)據(jù)傳輸?shù)囊?guī)定，看看歐美有沒有彼此優(yōu)待？有沒有對中國不合理地提高標(biāo)準(zhǔn)？以及我國企業(yè)如果被歧視性對待，我們有沒有反制措施？

一、各國的數(shù)據(jù)跨境傳輸規(guī)則

1、歐盟。歐盟《數(shù)據(jù)保護通用條例》（以下簡稱GDPR）對歐盟境內(nèi)個人數(shù)據(jù)向歐盟境外傳輸有著嚴(yán)格的管控，但也提供多種途徑實現(xiàn)個人數(shù)據(jù)的跨境傳輸，主要分為三種機制：第一種是基于充分性認(rèn)定機制（又稱白名單）；第二種是采取適當(dāng)保障措施的機制，包括簽訂標(biāo)準(zhǔn)合同（Standard Contractual Clause 或者SCC）、通過約束性企業(yè)規(guī)則（Binding Corporate Rules或者BCR）、認(rèn)證機制、行為準(zhǔn)則（CoC）等；第三種為獲得數(shù)據(jù)主體同意、履行合同所必要等。

2、美國。相比歐盟嚴(yán)格的管控政策，美國主張個人數(shù)據(jù)跨境自由流動，采取了行業(yè)自律模式輔助于政府監(jiān)管的方式保護數(shù)據(jù)跨境。行業(yè)自律方面，企業(yè)制定隱私政策的標(biāo)準(zhǔn)，最具代表性的為ISO/IEC29100系列標(biāo)準(zhǔn)，包括《隱私保護框架》、《隱私體系框架》、《隱私能力保護評估模型》、《隱私影響評估》、《個人可識別信息保護指南》等。

美國的法律體系有聯(lián)邦法律和州法律兩個層面。政府監(jiān)管方面，在聯(lián)邦立法層面，美國數(shù)據(jù)保護立法多按照行業(yè)和領(lǐng)域進行分類，如《金融現(xiàn)代化法案》（GLBA）、《健康保險隱私及責(zé)任法案》（HIPAA）、《外國投資風(fēng)險評估現(xiàn)代化法案》（FIRRMA）、《出口管制條例》（EAR）等；在州立法層面，美國各州也在陸續(xù)出臺相應(yīng)的數(shù)據(jù)隱私法案，如《加州消費者隱私法案》(CCPA)、《加州隱私權(quán)利法》（CPRA）、《弗吉尼亞州消費者數(shù)據(jù)保護法》（VCDPA）、《科羅拉多州隱私法》（CPA）等。

同時，美國并未放開國內(nèi)重要數(shù)據(jù)的管控，如《外國投資風(fēng)險評估現(xiàn)代化法案》、《出口管制條例》等法案通過外商投資安全審查、出口管制等手段對關(guān)鍵領(lǐng)域數(shù)據(jù)采取相關(guān)的跨境限制措施。

3、中國。自2016年起，我國《網(wǎng)絡(luò)安全法》、《數(shù)據(jù)安全法》和《個人信息保護法》三大數(shù)據(jù)法規(guī)及重要配套法規(guī)陸續(xù)出臺，進一步完善個人信息出境的保護規(guī)則，明確要求個人信息處理者在向境外提供個人信息時應(yīng)采取相應(yīng)的保護措施。《個人信息保護法》則進一步明確我國個人信息出境有三種路徑，即通過網(wǎng)信部門的安全評估、專業(yè)機構(gòu)的個人信息保護認(rèn)證以及簽訂網(wǎng)信部門的標(biāo)準(zhǔn)合同。

二、 歐盟向中國和美國跨境傳輸個人數(shù)據(jù)的路徑

之前，歐盟和美國傳輸個人數(shù)據(jù)有個隱私盾制度的捷徑，但目前已經(jīng)被歐盟法院廢除，目前歐盟向美國與中國跨境傳輸?shù)穆窂綄嶋H上差不多，企業(yè)均需要采取除了白名單機制以外的其他替代性途徑實現(xiàn)數(shù)據(jù)的跨境傳輸。

1、白名單和標(biāo)準(zhǔn)合同

歐盟GDPR規(guī)定的充分性認(rèn)定機制（又稱白名單），是指經(jīng)過歐盟認(rèn)定的對個人數(shù)據(jù)保護充分的國家、地區(qū)或國際組織，可以直接向其傳輸數(shù)據(jù)，不必采取進一步的保護措施。而通過“充分性認(rèn)定”確定有限的數(shù)據(jù)跨境自由流動的白名單國家不包括中國，因此歐盟向中國跨境傳輸個人數(shù)據(jù)，則必須尋找相應(yīng)的替代性途徑，包括采取適當(dāng)保障措施的機制如簽訂歐盟頒布的標(biāo)準(zhǔn)合同條款。

2、被廢棄的歐美數(shù)據(jù)傳輸隱私盾捷徑

2016年美國與歐盟曾簽訂了美歐數(shù)據(jù)跨境轉(zhuǎn)移機制《隱私盾協(xié)議》（PrivacyShield），允許獲得“隱私盾”認(rèn)證的公司自由地在歐盟與美國之間傳輸個人數(shù)據(jù)。因此，歐盟通過“充分性認(rèn)定”確定有限的數(shù)據(jù)跨境自由流動的白名單國家包括美國，故企業(yè)從歐盟向美國跨境傳輸數(shù)據(jù)則不必采取進一步的保護措施。但是2020年7月歐盟法院曾判決認(rèn)定《隱私盾協(xié)議》無法為歐盟轉(zhuǎn)移到美國的個人數(shù)據(jù)提供充分保護，而裁定《隱私盾協(xié)議》無效。

3、歐美數(shù)據(jù)傳輸新捷徑尚未開通

但是，據(jù)歐盟官網(wǎng)消息[i]，2022年3月25日，歐盟與美國宣布雙方原則上已就新的跨大西洋數(shù)據(jù)隱私框架（Trans-Atlantic Data Privacy Framework）達成一致，該框架將促進跨大西洋數(shù)據(jù)流動。盡管如此，歐盟與美國間新的數(shù)據(jù)跨境協(xié)議沒有正式生效前，歐盟向美國跨境傳輸個人數(shù)據(jù)，也無法通過白名單機制，必須采取其他替代性的途徑進行個人數(shù)據(jù)跨境傳輸。

三、 美國向中國與歐盟跨境傳輸個人數(shù)據(jù)的路徑

如前所述，美國一方面主張個人數(shù)據(jù)跨境自由流動，另一方面也并未放開國內(nèi)重要數(shù)據(jù)的管控。

美國對數(shù)據(jù)跨境傳輸?shù)穆窂經(jīng)]有特定規(guī)制，但在對歐盟和中國的策略和態(tài)度上還是存在很大差異的。如前所述，歐盟與美國已就新的跨大西洋數(shù)據(jù)隱私框架達成共識，努力促進雙方間數(shù)據(jù)的自由流動。相比而言，美國對我國科技企業(yè)陸續(xù)開展非正當(dāng)?shù)墓苤拼胧?，如?020年以來，美國以用戶數(shù)據(jù)隱私和國家安全審查為由對TikTok（抖音海外版）[ii]和微信國際版[iii]進行打壓，也顯示出美國向我國進行數(shù)據(jù)跨境傳輸?shù)恼呷遮厙?yán)格。

特別地，2019年美國《國家安全和個人數(shù)據(jù)保護法案2019》（NSPDPA，尚未生效），對于美國用戶數(shù)據(jù)出境，尤其是傳輸至中國進行明確的限制，旨在規(guī)制所有基于數(shù)據(jù)提供在線服務(wù)公司（包括“受管轄公司”），不得將任何用戶數(shù)據(jù)或解密該數(shù)據(jù)所需的信息(如加密密鑰)直接或間接地傳輸?shù)街袊?、俄羅斯等任何“有疑慮國家”，而其定義的“受管轄公司”實際非常廣泛，大部分互聯(lián)網(wǎng)企業(yè)都可歸入其管制范圍。如果NSPDPA法案最終通過，則會極大限制美國與中國間的數(shù)據(jù)傳輸。

四、 中國向歐盟和美國跨境傳輸個人數(shù)據(jù)的路徑

我國的法律對國外企業(yè)比較公平，并無歧視某些國家的規(guī)定，但如果誰要歧視中國企業(yè)的，我國立法對此也有規(guī)制。《個人信息保護法》第四十二條和第四十三條則規(guī)定：對列入負面清單的境外組織、個人，或者我國對其采取對等限制措施的國家和地區(qū)，我國采取限制或禁止傳輸個人信息的數(shù)據(jù)。若美國NSPDPA最終通過并生效，美國限制或者禁止向中國傳輸相關(guān)個人數(shù)據(jù)，而我國則可能根據(jù)對等原則，也會采取限制或禁止措施向美國傳輸相應(yīng)的數(shù)據(jù)，這將會對中美兩國的數(shù)據(jù)跨境傳輸產(chǎn)生重大影響，對企業(yè)跨境傳輸個人數(shù)據(jù)提出更高更嚴(yán)格的合規(guī)挑戰(zhàn)。

下面介紹一下我國的具體制度，國內(nèi)向境外傳輸個人數(shù)據(jù)只有三條路徑：通過網(wǎng)信部門的安全評估、專業(yè)機構(gòu)的個人信息保護認(rèn)證以及簽訂網(wǎng)信部門的標(biāo)準(zhǔn)合同。

1、數(shù)據(jù)類型決定路徑

跨境傳輸個人數(shù)據(jù)路徑的觸發(fā)條件基于三點考慮：一看數(shù)據(jù)類型，是重要數(shù)據(jù)還是非重要數(shù)據(jù)；二看行業(yè)類型，是不是關(guān)鍵基礎(chǔ)設(shè)施運營者，或者掌握超過100萬以上個人信息的；三看數(shù)據(jù)量，企業(yè)累計跨境傳輸?shù)膫€人數(shù)據(jù)或者敏感個人數(shù)據(jù)的數(shù)量。

從上述路徑的觸發(fā)條件來看，出境路徑均沒有因為出境的國家或地區(qū)不同，而有所不同。因此，無論是向歐盟，還是向美國，我國跨境傳輸個人數(shù)據(jù)的路徑是相同的。

具體而言，以安全評估的路徑為例，只要符合下述任一情形的，個人信息處理者應(yīng)當(dāng)通過所在地省級網(wǎng)信部門向國家網(wǎng)信部門申報出境的安全評估：（一）向境外提供重要數(shù)據(jù)的；（二）關(guān)鍵信息基礎(chǔ)設(shè)施運營者和處理100萬人以上個人信息的數(shù)據(jù)處理者；（三）自上年1月1日起累計向境外提供10萬人個人信息或者1萬人敏感個人信息的。若企業(yè)不符合上述任一情形的，則不需要進行安全評估，即屬于標(biāo)準(zhǔn)合同的適用范圍，需要通過標(biāo)準(zhǔn)合同的路徑進行數(shù)據(jù)出境。

2、不同安全評估的側(cè)重點有何區(qū)別？

若適用安全評估的路徑，則可能需要分為兩步走：第一步是企業(yè)開展的風(fēng)險自評估，第二步是網(wǎng)信部門開展的安全評估。風(fēng)險自評估和安全評估在許多內(nèi)容上具有高度的一致性，比方說評估數(shù)據(jù)出境的合法性、正當(dāng)性和必要性，以及數(shù)據(jù)出境的規(guī)模、范圍、種類、敏感程度等。當(dāng)然，兩者還是存在差異性的，網(wǎng)信部門的安全評估比自評估更多考量國家安全、公共利益，因此，網(wǎng)信部門的安全評估更關(guān)注“數(shù)據(jù)安全和個人信息權(quán)益是否能夠在境外得到充分有效保障”，而企業(yè)的風(fēng)險自評估則更關(guān)注“個人信息權(quán)益維護的渠道是否通暢”。

本文作者：游云庭，上海大邦律師事務(wù)所高級合伙人，知識產(chǎn)權(quán)律師。汪婷，上海大邦律師事務(wù)所顧問。電話：8621-52134900，Email: yytbest@gmail.com，本文僅代表作者觀點。

[i] https://ec.europa.eu/commission/presscorner/detail/en/ip_22_2087

[ii] https://new.qq.com/omn/20200928/20200928A0502E00.html

[iii] https://www.huxiu.com/article/374257.html