企業數據跨境流動中的合規對策和選擇

王 蕾

（南京財經大學）

一、跨境數據以及數據合規概述

數字技術在近年深刻改變著全球的政治和經濟格局，全球化背景下數據的跨境活動爆炸式增長且對數據流動的需求也在不斷的擴張，數據流動是大數據產業的根本需求，隨著我國全球化程度的深入，在“一帶一路”倡議背景之下，國家之間的經貿關系愈加緊密，數據的跨境流動也成為經濟全球化以及數字經濟發展不可避免的趨勢。與此同時企業作為數字經濟的主體，隨著海外業務增長，數據跨境流動活躍，面臨著更加嚴峻的數字安全與合規風險，需要尋求更加科學合理的合規體系建設，進而更好地參與市場競爭。

（一）跨境數據流動內涵的變化

所謂的“數據”是指對客觀事物進行記錄并予以識別的符號，從數據的主體來看，可以分為個人數據、商業數據以及公共數據。不同類型數據的保護涉及不同的利益取舍，個人數據的跨境流動保護主要涉及到個人人格權和隱私權的保護；商業數據的跨境保護涉及到數據的政策以及出口；公共數據的跨境流動主要涉及到國家的數據安全、公共利益以及數據主權。數據跨境流動（Transborder Data Flow）的概念始見于1980年經濟合作發展組織（OECD）制定的《關于保護隱私和個人數據跨境流動指南》，將其概括為個人數據跨越國境的運動（Transborder of Personal Data）。歐盟在《一般數據保護條例》（GDPR）中采取的立場是不以跨越傳統的物理界限為唯一標準，如果數據可以被其他國家的主體訪問，也被認為屬于數據跨境流動的范疇。由此可見，跨境數據的內涵愈加豐富和具體，數據通過互聯網和信息系統跨越國家邊境的運動，涉及到數據權屬、隱私保護、法律適用與管轄、乃至國際貿易規則等，具有強烈的數據時代的特征。

（二）企業數據合規的理論依據

企業是各種數據收集、處理、存儲的主體之一，是數據跨境流動的主體，在數字經濟的驅動下，過度的禁止和放松都是不合理的，一方面過度禁止數據的流動不利于數據的跨境流動，不利于數字經濟的發展趨勢。另一方面過度放松的數據跨境流動，盲目追求在數據市場上的自由流通，會造成數據流動和使用的混亂，對數據安全造成極大的風險。大數據企業為品牌商海外市場的拓展提供了營銷渠道和商業洞察支持，然而如果大數據企業的企業戰略缺乏數據應用的合規框架，會將企業置于違反數據跨境政策的法務風險中。推動企業開展數據合規具有現實意義和緊迫性，企業規范收集、使用數據，安全地進行數據跨境流動，恰當遵守本國以及他國關于數據跨境流動的法律規則。企業數據合規體系建設不僅有現實的需求緊迫性，還具有理論上的依據。

企業作為社會的組成部分，本身是一種復合型社會經濟組織，兼具經濟屬性和社會屬性。企業的社會責任理論是企業約束自身行為，合規搭建的理論依據。根據傳統的經濟學理論，企業具有天然的營利性和趨利性，隨著科學技術不斷發展，企業的市場化特征會導致其忽視社會效益，進而引發嚴重的社會矛盾，當前傳統的社會責任理論內涵也與時俱進發生了改變，企業在為股東爭取利益的同時還要主動承擔社會責任。隨著數字經濟的發展，企業對社會的影響越來越深刻，企業所擁有的數據具有極高的商業價值以及人格權屬性，其社會屬性更加顯現，在數字經濟的驅動下，數據全球流動具有常態化的趨勢，體現在各種貿易活動之中。特別是大數據企業合法合規的數據跨境安全流動會給社會帶來穩定的經濟效益，因此企業針對跨境數據流動方面的合規體系搭建，正是其社會屬性增強的理性選擇，也是其積極應對數據保護和數據安全問題的展現。

二、數據跨境規制的現狀

頻繁的數據跨境流動是數字經濟時代的顯著特征，推動了國際數字貿易的迅速發展，但是如果缺少相關法律規制和企業合規建設，數據跨境流動可能會侵犯個人隱私、泄露商業秘密，甚至會泄露國際秘密和威脅國家安全。各國在數字經濟中如何最大程度保障數據的安全流動，成為各國博弈的焦點，并在這個問題上有著不同的立場。

（一）歐美跨境數據流動規制的現狀

在數據跨境流動的規制上，全球范圍內未形成統一的規制規則。歐盟目前實行嚴苛的限制政策，其基于對人權保護的歷史傳統以及成員國區域內統一市場形成的動因，對于數據跨境流動采取較為嚴格的限制，以地理區域為基準、充分保護為前提的事前防御規制模式。歐盟通過《一般數據保護條例》（GDPR），對于企業數據的跨境流動采取了一系列的措施，GDPR的實施范圍不斷地擴大，歐盟之外的其他國家以及企業也不得不主動選擇適用歐盟的法律規則。歐盟規定給予一些國家“充分保護水平”的認定是跨國企業進行數據跨境最便捷的路徑，但是由于歐盟對于充分保護水平認定的國家并不多，也因其本身具有政治性，跨國企業不具有明確的穩定性，因此不在合規建設中予以考慮。此外歐盟要求在遵守適當保障措施的前提下，采取了約束性公司規則以及采用歐盟提供的標準數據保護條款，允許非歐盟企業進行數據跨境的轉移流動，成員國監管當局通過歐盟委員會批準的標準數據保護條款，協會、不同類型的控制者、處理者組織編寫并經過批準的行為準則，批準的認證機制以及第三國控制者或處理者的承諾等，這些機制為在歐企業處理所收集的數據提供了可選擇的路徑。

與歐盟規制不同，美國對數據的流動采取自由流通的態度，因其在數據技術以及數據市場上占據優勢，所以美國主要以維護數據的流通以及產業的競爭優勢為目的，構建數據跨境流動的政策。一方面，美國通過在其他國家的貿易談判中對數據跨境自由流動的主張，破除一些國家因數據主權而主張的數據貿易市場準入的壁壘。另一方面，美國限制重要技術的出口以及特定數據領域內的外國投資。這種對外的主動破除壁壘的侵入以及內部重要數據的限制保護，可達到遏制競爭對手，維持美國在數據經濟市場上的巨大利益以及在科技領域的領導地位。除了在實體政策中美國采取一系列措施進行自身利益最大化之外，在司法管轄權領域，美國通過在數據領域的“長臂管轄”，擴大國內法的域外適用，以防止跨國公司將數據存儲在別國本地服務器而阻止美國政府的跨境執法需要，由此，數據的保護將依賴于企業自身的“商業決策”而非國家傳統的司法保障。為此《澄清境外數據的合法使用法案》（以下簡稱CLOUD法案），賦予美國的執法機構對于美國企業數據的控制權。不論企業是否在美國境內，美國均享有控制權，此舉擴大了美國執法機關的域外數據證據調取的范圍，使得美國的數據主權甚至擴展到美國企業所在的全球范圍，是一種司法管轄上的長臂管轄。同時基于美國自身的經濟政治實力以及與他國達成的合作，其他國家要調取存儲在美國的數據則需要通過美國“適格外國政府”的審查。據此，美國通過一系列的措施，以數據的自由流通為立場，保護本國的數據安全，同時維護自身在數字經濟時代的巨大利益。

（二）我國跨境數據流動治理現狀

我國在數據跨境流動趨勢下也在不斷地建立和完善數據跨境流動規制，維護國內數據的規范跨境，維護國家的安全。我國在數據保護方面從《網絡安全保護法》《數據安全保護法》到《個人信息數據保護法》以及相關數據標準的頒布，其中都不乏包括對跨境數據流通的規制內容，確定了企業對于個人信息，重要數據的本地化存儲以及跨境流動安全評估的義務，但是這些法律規則對于企業數據跨境流動的規制操作性不強，規則中要求對跨境數據的安全評估方法不明確，安全評估標準和辦法尚處于缺位狀態。各規則之間缺乏系統的設計，制度較為零散，沒有形成系統化的數據治理規范體系。除此之外沒有獨立的監管機構進行數據監管，監管職責劃分不清。在數據執法上未形成健全的數據跨境執法程序。雖然目前我國的數據跨境流動規制尚存問題，但我國仍在進行構建數據保護、數據跨境流通治理體系的嘗試和選擇，增強與國際社會的對話和談判，在數據保護國際規則方面爭取話語權，在“一帶一路”政策背景加持下，我國與沿線國家的聯系愈加緊密，也需要在數據保護規制與合作治理方面有所體現。

三、企業數據跨境合規的風險與困境

數據跨境流動是企業在國際貿易中的業務需求,隨著數字經濟以及全球化的深入發展，數據領域與產業競爭、經貿關系等各種議題相結合，越來越成為國家間博弈的復雜領域之一。國家間的博弈勢必會影響國家的經貿政策，我國企業在全球化趨勢下不斷地開展海外業務，在這種復雜的各國博弈形勢下，企業在數據跨境流動方面面臨風險以及合規困境。

（一）數據跨境流動規制未形成統一規則，企業數據合規面臨不確定性

由上述的國際主要經濟體的數據跨境流動治理實踐來看，各國數據流動法律、法規有著各不相同的歷史根源、立法模式以及利益立場，數據保護沒有形成統一的國際標準，對于企業而言，企業面臨著巨大的法律風險，如果企業沒有進行有效的合規體系搭建，應對此類法律風險的能力不足，將導致在海外拓展業務的企業因觸犯當地有關數據跨境流動的法律限制性規定而遭受巨額行政罰款，給企業帶來巨大損失。同樣因為各國數據保護的力度以及標準不一，存在諸多不確定性為企業的合規工作帶來難點，也增加了企業合規的成本。

（二）各國數據領域的博弈加劇，企業數據合規面臨困擾

當前跨國企業主要借助網絡實現跨境交易，業務的需求使得數據在各國之間的流動加劇，數據主權問題也越來越成為各國博弈的焦點，為了在數據治理國際博弈中取得制度先機，遏制中國互聯網等高新技術產業的發展，以歐美為首的西方國家，設立了極其嚴格的合規標準以提高數據市場準入門檻，增強本國互聯網企業同外國巨頭的博弈籌碼。我國企業在他國遭受到歧視性待遇，遭遇壁壘準入限制，諸如美國政府對TikTok的封禁，將其列為不受信任的APP，從美國的移動應用商店進行下架，對TikTok進行審查稱其有可能向中國政府泄露美國的個人隱私數據，在這背后是數據主權的政治斗爭與利益博弈，因此對于企業而言這些不確定的風險對企業合規工作造成困擾。

（三）國內數據跨境流動規制存在問題，企業數據合規存在難題

企業開展海外業務，涉及到數據跨境流動，不僅要遵守當地的數據跨境流動規則，也要遵守本國關于企業“走出去”的數據傳輸規制，我國關于數據跨境流動的規則與其他國家的規則存在沖突，如前所述的歐盟以及美國的相關法律規則都包含域外適用的內容和趨勢，我國的數據安全保護方面也針對他國的不當域外適用進行阻斷，在數據主權問題上的爭議，以及由此引發的在出口管制方面的調查等復雜局面使得企業合規壓力增大，合規的成本進一步增加。

四、企業數據跨境合規的對策

我國《數據安全法》《個人信息保護法》的頒布，對數據跨境流動限制嚴格程度對標歐盟的GDPR，在立法水平上確保中國企業符合個人信息保護和數據安全的要求，為中國企業跨境業務提供法理支持。處于當前國際形勢復雜的企業，需要關注經營業務所涉及的國家及地區的數據隱私安全方面的立法動態，評析相關規則對企業業務的影響，主動適用，積極應對，制定合規對策，確保其數據處理和傳輸符合相關法律的要求。

（一）關注國內外立法動態及監管趨勢

一方面，國際規則尚未形成統一標準，要求企業關注各國的立法動態，留意各國關于數據跨境流動治理規則的差異性，根據國內外生效的數據規范做好自身的合規工作，留意國內外數據規范的立法趨勢以及立法動態，評估對其業務的影響以及將要面臨的法律風險，以便及時建立事前的預防法律風險的措施，做好應對準備，更加從容面對發生的法律風險，減少因未建立事前的合規機制而造成的企業經營損失。另一方面，雖然關于數據治理的國際規則尚未形成統一的治理標準和共識，各國的數據立法存在差異，但是各國的數據保護法規仍然存在共同之處，各國之間也在積極尋求統一銜接的可能，在各自的治理立場前提下進行一定的妥協和理性衡量，試圖在數據規制方面建立共識性標準，尋求制定國際規則的最大可能，并最大程度發揮數據的經濟價值，不減損數據經濟帶來的巨大經濟效益。因此對于企業來講，針對國際趨勢的預判非常重要，需要企業在數據跨境合規工作中，增強合規工作的效能，靈活應對合規風險，在此基礎上制定合規框架，定時自檢。

（二）主動適用跨境數據規制規則

在世界各國加速數據立法以取得制度先機的時代背景下，企業應該直面國際數據治理的難題，通過內外轉變化被動為主動，并以此為契機優化自身產業結構。因此企業應在數據跨境過程中主動適用跨境數據規則，諸如在當前形勢下很多國家提出了數字本地化的要求，要求企業將物理數據中心或者物理服務器設在業務開展所在國內，并通過對數字本地化的要求對企業的數據流動提出審查甚至是壁壘。因此企業主動考慮采取數據本地化的部署，一定程度上避免數據跨境的問題。除此之外在歐企業也可以采取歐盟的標準合同條款作為公司合同的擬定樣板，這樣對于采取標準合同項下的跨境數據不需要監管機構的個案審批，在一定程度上避免了法律風險的產生，遵守了法律要求，避免被處以巨額的行政罰款。

（三）建立數據分級管理與保護制度

不同類型的數據風險等級有差異性，企業通過收集到的各種類型數據，在制定企業合規策略時，根據產品或服務采集的數據來源、方式、類型的不同對數據進行劃分，分類別、分級別對數據進行管理，根據不同的數據隱私級別制定相應級別的加密規則以及訪問權限范圍，建立多元化有效的合規流程。企業將收集的數據進行梳理分類，制定DI（Data Inventory）清單作為評估參考。對于數據分類分級的標準問題，可以按照其歸屬業務范疇劃分類別，且分類的顆粒度應當保持適度，按照層次遞進的分類順序進行分類，在分級標準上以數據的敏感度、關鍵度以及司法管轄要求進行定級。對于具有敏感性、重要性的數據跨境采取謹慎態度，企業非必要不予將此部分數據進行跨境流動，在處理數據時要遵守必要性和有限性原則，避免對跨境數據的濫用。

當企業向第三方提供數據時，企業應與第三方供應商簽訂數據相關的安全與保密協議以及滿足當地數據跨境法律規定的跨境轉移協議，協議明確共享數據的范圍、內容、使用方法以及保護手段等雙方的權利義務，對其供應提出數據合規的基線，要求供應商定期自檢，并按照約定的目的和范圍使用數據。企業對下游供應商的數據處理關系以及處理流程提出要求并定期監督和審計，要求和督促第三方下游供應商組建數據合規團隊，形成全方位的合規布局。

（四）建立專業化的合規團隊

企業在內部可以考慮成立由法務部門、信息安全部門、隱私合規部門和業務部門成員組成專業的部門，定期研究各地區的法律動態，實時更新面向用戶的協議文本，由專業的技術組成人員提供技術支持，并利用數據合規工具整體規劃，構建企業有效的合規工作流程。盡可能在每個國家或地區聘任專業的人員，負責數據的保護事宜，參與到具體的數據跨境過程的設計和評估中，以達到降低法律風險的目的，從企業的長遠發展出發，降低企業的成本。