上個月，我國發(fā)布了《個人信息出境標準合同規(guī)定（征求意見稿）》（以下簡稱“征求意見稿”）。我們在《哪些企業(yè)簽個標準合同，就可以合法傳輸個人信息出境？》[i]一文中介紹了相關(guān)的制度，實際上，歐盟《通用數(shù)據(jù)保護準則》（GDPR）下的個人數(shù)據(jù)的跨境傳輸制度中也有一個標準合同（StandardContractual Clause），今天我們就跟大家聊聊中國和歐盟的標準合同有哪些異同。

一、中國和歐盟之間跨境傳輸個人數(shù)據(jù)有哪些途徑？

我國向境外（包括歐盟和美國）跨境傳輸個人數(shù)據(jù)有三條途徑：1、通過政府的安全評估；2、專業(yè)機構(gòu)的個人信息保護認證；3、簽訂標準合同。

歐盟的《通用數(shù)據(jù)保護準則》提供了多種途徑實現(xiàn)個人數(shù)據(jù)的跨境傳輸，主要分為三種機制，第一種是基于充分性認定機制（又稱白名單）；第二種是采取適當保障措施的機制，包括簽訂標準合同（Standard Contractual Clause 或者SCC）、通過約束性企業(yè)規(guī)則（Binding Corporate Rules或者BCR）、認證機制、行為準則（CoC）等；第三種為獲得數(shù)據(jù)主體同意、履行合同所必要等。

由于歐盟認定的個人數(shù)據(jù)保護充分性認定的白名單不包括中國，因此企業(yè)將歐盟的個人數(shù)據(jù)傳輸至中國則需要采取《通用數(shù)據(jù)保護準則》規(guī)定的其他豁免途徑，如簽訂標準合同、約束性企業(yè)規(guī)則、獲得數(shù)據(jù)主體同意。對于集團內(nèi)數(shù)據(jù)傳輸，大中型跨國企業(yè)集團可能更愿選擇通過約束性企業(yè)規(guī)則的路徑，即提交一份保證在集團企業(yè)內(nèi)部遵守歐盟數(shù)據(jù)保護法的文件或制度陳述。對于大部分企業(yè)，可能更依賴于簽訂標準合同的路徑將歐盟的個人數(shù)據(jù)傳輸?shù)街袊?/p>

二、中歐跨境傳輸個人信息標準合同有哪些異同？

歐盟標準合同和我國的標準合同雖然均是簽訂標準合同的文本，但在側(cè)重點和適用上還是有所不同，具體而言：

1、適用主體及范圍

根據(jù)歐盟標準合同的規(guī)定，只要是負有數(shù)據(jù)保護責任的企業(yè)，將在歐盟收集的個人數(shù)據(jù)從歐盟傳輸?shù)降谌龂鴷r，均可以選擇適用歐盟《通用數(shù)據(jù)保護準則》實現(xiàn)數(shù)據(jù)跨境傳輸。根據(jù)主體在個人數(shù)據(jù)處理中角色的不同，標準合同將主體劃分為個人數(shù)據(jù)的數(shù)據(jù)控制者（Controller）和數(shù)據(jù)處理者(Processor)。數(shù)據(jù)控制者是收集數(shù)據(jù)的公司，而處理者則是分析或使用數(shù)據(jù)的公司，兩者的法律責任和關(guān)注重點各有不同。

稍微解釋一下數(shù)據(jù)控制者和數(shù)據(jù)處理者，以讓facebook被罰50億美元的劍橋數(shù)據(jù)泄露案為例[ii]，該案中，facebook公司收集控制了用戶的數(shù)據(jù)，但因其對用戶數(shù)據(jù)保護不力，導致一款僅2.7萬用戶使用的劍橋公司開發(fā)的App獲得了超過5000萬用戶的facebook數(shù)據(jù)，相應(yīng)的數(shù)據(jù)分析結(jié)果甚至影響了美國大選的結(jié)果，最終致其被罰50億美元。該案中，facebook公司就是數(shù)據(jù)控制者，而對數(shù)據(jù)進行分析的劍橋公司則是數(shù)據(jù)處理者。

相比于歐盟區(qū)分主體處理數(shù)據(jù)的角色，我國則統(tǒng)稱為個人信息處理者。我國標準合同區(qū)分行業(yè)和處理個人數(shù)據(jù)的總量的目的，除了基于保障個人數(shù)據(jù)主體權(quán)益外，還有基于國家安全和公共利益的考慮。所以并不是所有的主體都可以適用標準合同來實現(xiàn)數(shù)據(jù)的跨境傳輸。只有同時符合四個條件，才可以通過簽訂標準合同的方式向境外提供個人信息：

（一）非關(guān)鍵信息基礎(chǔ)設(shè)施運營者；（二）處理個人信息不滿100萬人的；（三）自上年1月1日起累計向境外提供未達到10萬人個人信息的；（四）自上年1月1日起累計向境外提供未達到1萬人敏感個人信息的。而個人信息處理者，是指在個人信息處理活動中自主決定處理目的、處理方式的組織、個人。

在適用范圍上，原則上，歐盟標準合同和我國標準合同均只適用于簽署標準合同的雙方，但是歐盟標準合同中的對接條款（docking clause）可以使得第三方后續(xù)以數(shù)據(jù)傳輸方或接收方的身份或地位加入歐盟的標準合同，受到該合同的約束。而我國標準合同則沒有該機制，若是境外接收方再向第三方提供個人數(shù)據(jù)，則必須獲得用戶的單獨同意且要達成新的書面協(xié)議。

2、法律適用和爭議解決條款

在法律適用條款上，歐盟標準合同的選擇權(quán)可能多于我國的標準合同。之所以這么說，是因為除了歐盟成員國的法律外，在特定情況下，歐盟標準合同可以允許適用非歐盟成員國的法律。相比而言，我國的標準合同只能適用中國法律。

在爭議解決條款上，歐盟標準合同的爭議解決更偏向于法院管轄，但可以選擇歐盟或非歐盟的法院，而我國標準合同的爭議解決則采用了民事爭議專用的解決機制：法院管轄或者仲裁管轄。法院管轄要求必須選擇國內(nèi)法院，但仲裁機構(gòu)則可以選擇中國國際經(jīng)濟貿(mào)易仲裁委員會、中國海事仲裁委員會或北京仲裁委員會，或選擇《承認及執(zhí)行外國仲裁裁決公約》（即《1958年紐約公約》）成員的仲裁機構(gòu)。

3、數(shù)據(jù)傳輸?shù)脑u估

歐盟和我國均需要對數(shù)據(jù)傳輸進行相應(yīng)的評估，雖然歐盟《通用數(shù)據(jù)保護準則》更強調(diào)對于數(shù)據(jù)跨境傳輸活動進行風險評估及采取有效措施降低跨境傳輸風險的思路，但是，數(shù)據(jù)跨境傳輸并不屬于必須進行數(shù)據(jù)保護影響評估的場景，只有在歐盟監(jiān)管機構(gòu)要求時，企業(yè)才需要提供個人數(shù)據(jù)跨境傳輸評估記錄。相比而言，我國的標準合同則需要在事前進行個人信息影響評估報告，并同時向網(wǎng)信部門提供評估報告（該報告需要保存3年）。

就評估內(nèi)容而言，兩個評估的內(nèi)容和側(cè)重點大同小異，歐盟標準合同要求的評估包括數(shù)據(jù)傳輸?shù)木唧w情況、數(shù)據(jù)接收方所在國的法律和司法實踐、相關(guān)已實施的補充性合同、技術(shù)或組織保障措施等。我國的標準合同則需要重點評估包括出境的具體情況、境外接收方所在國或者地區(qū)的個人信息保護政策法規(guī)對標準合同履行的影響、境外接收方履行責任義務(wù)的管理和技術(shù)措施、能力等能否保障出境個人信息的安全等。

如前所述，在歐盟監(jiān)管機構(gòu)要求時，企業(yè)需要提供相應(yīng)的評估記錄，在這種情況下，歐盟監(jiān)管機構(gòu)還是有可能實質(zhì)性審核該評估內(nèi)容和記錄的。而由于我國的標準合同實行的是備案制度，故我國政府不會實質(zhì)性審核每一份評估報告和評估記錄。

4、技術(shù)保障措施

歐盟標準合同對數(shù)據(jù)的訪問有著嚴格的限制，即在歐盟標準合同的第三節(jié)規(guī)定，數(shù)據(jù)接收方一旦收到非歐盟國家的政府提出的數(shù)據(jù)訪問請求，且有理由質(zhì)疑該請求的合法性，那么應(yīng)當立刻告知數(shù)據(jù)發(fā)送方。

相比歐盟嚴格限制訪問要求，我國標準合同則籠統(tǒng)地規(guī)定，個人信息處理者應(yīng)盡合理的努力確保境外接收方采取有效的技術(shù)和管理措施。對于具體的技術(shù)和管理措施，我國標準合同則列舉了加密、匿名化、去標識化、訪問控制等多種措施，并要求確?！斑@些措施維持適當?shù)陌踩健?。而對于境外接收方所在國政府機構(gòu)的訪問，我國標準合同只要求在評估時予以考慮，并沒有嚴格的限制。

5、責任分配方式

如前所述，歐盟《通用數(shù)據(jù)保護準則》將主體劃分為個人數(shù)據(jù)的數(shù)據(jù)控制者和數(shù)據(jù)處理者,根據(jù)數(shù)據(jù)控制者和數(shù)據(jù)處理者關(guān)系的不同，適用不同模式的標準合同，也就意味著在數(shù)據(jù)傳輸過程中對于數(shù)據(jù)接收方的控制力不同，因此，在不同模式的歐盟標準合同下，合同雙方所需要承擔的責任與義務(wù)是存在差異的。

相比而言，我國標準合同沒有區(qū)分數(shù)據(jù)處理的角色而統(tǒng)稱為個人信息處理者，因此個人信息處理者與境外接收方承擔的義務(wù)是相同的，只是在委托處理的場景下有所不同。

本文作者：游云庭，上海大邦律師事務(wù)所高級合伙人，知識產(chǎn)權(quán)律師。汪婷，上海大邦律師事務(wù)所顧問。本文僅代表作者觀點。

[i] https://mp.weixin.qq.com/s/sAbvr5huV6axpWwmXpCm0w

[ii] https://baike.baidu.com/item/%E8%84%B8%E4%B9%A6%E6%95%B0%E6%8D%AE%E9%97%A8/22449948