多國重疊管轄下，數據跨境流動面臨合規兩難

由此，對于總部位于別國、或具有跨境分支的跨國企業而言，數據出境可能會帶來兩難困境。以下將主要從歐盟《一般數據保護條例》 (General Data Protection Regulation, 下稱“GDPR”)及美國《澄清境外合法使用數據法案》（下稱“CLOUD Act”）與我國數據出境的相關規則的沖突出發，結合《汽車數據安全管理若干規定（試行）》（下稱“《汽車數安規定》”）回望滴滴面臨的數據出境問題，對境內數據出境的兩難問題進行分析解讀。

從現有規定看，《網絡安全法》（下稱“《網安法》”）[1]、《數據安全法》（下稱“《數安法》”）[2]、《個人信息保護法》（下稱“《個保法》”）[3]皆以“地域+行為”的方式確立了境內管轄原則。整體而言，該等法律對于境內管轄的思路基本一致，即只要在我國境內開展了其規定的相應行為，無論是中國境內的組織、個人還是中國境外的組織、個人，均受到該等法律法規的規制。

GDPR意在保護屬于歐盟公民和居民的數據。因此，GDPR適用于處理涉及歐盟公民和居民數據的組織，無論它們是否是總部位于歐盟的組織。

結合GDPR第3條的規定，以及歐洲數據保護委員會于2019年11月發布的2.1版《GDPR適用地域范圍指南3/2018（第三條）》的示例，位于中國境內的公司的數據處理活動亦可能受GDPR管轄。[4]

從《薩班斯·奧克斯利法案》（下稱“SOX法案”）到《海外反腐敗法》（下稱“FCPA”），再到Cloud Act，美國在世界范圍內的“長臂管轄”不容忽視。

就CLOUD Act而言，該法案授予了美國執法部門以要求電子通信服務或遠程計算服務提供商提供處于其控制之下的電子數據的權利，不論其數據儲存于美國境內還是境外，其適用范圍可以延及我國境內。[5]

基于上述分析，跨國企業在我國境內根據我國法律設立且注冊于境內的企業，亦可能落入上述GDPR及CLOUD Act的管轄范疇。很可能由此面臨重疊管轄的問題，既需滿足中國數據相關法律的要求，又要滿足GDPR及CLOUD Act的相關規定。

而現實“殘酷”之處在于，GDPR在面對其他國家對該條例的承認程度、應對措施和可能發生的沖突情況都缺少明確的解決途徑。[6] CLOUD Act雖提出了復議及禮讓原則等作為解決沖突的路徑，但符合禮讓原則而免于提供數據有兩個嚴苛的要求：

一來須同時滿足數據權利人不是美國公民或不居住于美國，且數據披露行為會導致服務提供商面臨違反適格外國政府法律的實質性風險。

二來須美國法院作出撤銷和變更處罰內容的裁決，而法官需要充分衡量該個案的全部情況，包括美國和要求數據調取的政府實體的利益、外國政府利益、服務提供商如為滿足要求可能受到的處罰的可能性、性質以及嚴重程度、用戶或客戶與美國關系的性質與程度、服務提供商與美國的關系與程度等多方面因素。

總的來說，復議及禮讓原則的主動權還是掌握在美國政府手中，極有可能不會適用于中國境內企業。[7]

在重疊管轄的情形之下，企業在遵循我國數據相關法律的同時要滿足GDPR的監管需求，有時會成為“不可能的任務”。

舉例來說，如果某總部位于歐洲的零售公司，將其個人客戶信息管理（CRM）系統部署于德國，其中國子公司（下稱“A公司”）可以登錄該系統錄入、修改、下載數據，如果A公司發生了涉及CRM系統的個人數據泄露事件，將可能陷入兩難境地。

GDPR第3.1條規定，GDPR適用于與數據控制者或數據處理者在歐盟領域內所設機構活動相關的個人數據處理，無論該處理行為是否發生在歐盟領域內。鑒于A公司對于CRM系統的數據處理，很可能被認定為明顯有助于使其總部盈利，屬于與在歐盟領域內所設機構（歐盟總部）的活動相關，所以境內子公司A公司的處理行為，也是受到GDPR管轄的。

故此，A公司需符合GDPR的合規要求。根據GDPR第33條的相關規定，在發生數據泄露的情況下，A公司應當首先向GDPR有權監管機構進行報告。[8]

在公司作出相應報告后，GDPR的監管機構會進行證據收集、評估。[9]根據GDPR第58條的相關規定，監管機構不僅有權從公司處獲得訪問個人數據的權限，還可以獲得所有其所需要的信息，例如公司相關的經營信息等。[10]

即將生效的《個保法》第四十一條，與業已生效的《數安法》第三十六條的規定幾乎如出一轍，區別僅在于《數安法》所針對的是籠統的境內數據，而《個保法》針對的是儲存于境內的個人信息。

根據兩法規定，非經批準，境內的組織、個人不得向外國司法或者執法機構提供存儲于中華人民共和國境內的數據。

如果以嚴格的視角來解讀，境內主體如要向外國司法或者執法機構提供存儲于中華人民共和國境內的數據，必須同時滿足如下條件：

• 存在包括中國有關法律，或者中國締結或者參加的國際條約、協定，或者按照平等互惠原則等受理依據；

• 外國司法或者執法機構主動提起提供數據的請求；

• 中國主管機關批準。

若A公司向境外提供數據的行為未能通過中國主管機關批準，A公司將陷入兩難境地。如果不向境外GDPR監管機構提供數據則將違反GDPR相關規定，如果向境外GDPR監管機構提供數據，則將違反《數安法》、《個保法》的相關規定，公司及直接負責人皆有承擔責任的風險。

美國執法部門可以依據CLOUD Act的相關規定，要求電子通信服務或遠程計算服務提供商提供處于其控制之下的電子數據的權利。

舉例來說，總部位于美國的蘋果公司，雖將其境內的iCloud服務交由云上艾珀（貴州）技術有限公司（下稱“云上貴州”）運營，但蘋果實體（包括APPLE DISTRIBUTION INTERNATIONAL LIMITED蘋果納斯達克上市主體及APPLE INC.）“可在云上貴州提供本服務時不時對云上貴州提供協助”。[11]美國執法機關依舊可以根據CLOUD Act的相關規定，要求蘋果公司提供儲存于我國境內服務器上的數據，可能涉及包括但不限于姓名、手機號碼、個人支付信息、個人健康數據等信息。

與GDPR的情景相類似，如果蘋果公司向美國執法機關提供了其要求的數據，但未獲得我國境內主管機關的同意，將違反《數安法》、《個保法》的相關規定，公司及直接負責人皆有承擔責任的風險。

滴滴通過VIE 結構在美國實現上市，亦即上市的開曼主體DiDi Global Inc.與境內實際運營主體北京小桔科技有限公司完全分離，通過層層協議控制境內運營主體。[12]其上市主體DiDi Global Inc.作為“發行人”自然落入了美國法的管轄范疇。而北京小桔科技有限公司作為其協議控制的關聯公司，會根據U.S. GAAP的對應規則并入DiDi Global Inc.合并財務報表中，亦可能落入美國法的管轄范疇，具有配合調查等義務。

以SOX法案項下，美國公眾公司會計監督委員（下稱“PCAOB”）對美國上市公司進行監督、檢查為例。根據SOX法案以及2020年12月18日生效的《外國公司問責法案》（下稱“HFCAA”），在美上市的外國證券發行人必須遵守PCAOB的審計標準，需要向PCAOB提供詳盡的底稿。而鑒于暫未有執法實例，我們難以確定底稿是否可能穿透到實際運營公司北京小桔科技有限公司，以及底稿涉及的具體文件、材料范圍為何。不排除美國可以通過SOX法案的相關規定，要求調取滴滴的諸多數據。

目前我國對于中概股底稿出境問題態度十分鮮明，自2001年美國通過薩班斯·奧克斯利法案以來，中國便一直積極與美國政府進行溝通、談判，且曾于2013年與就會計審計跨境執法合作達成共識，PCAOB不得對中概股做常規型檢查，而由中方進行，且底稿不得出境。2019年中國新修訂的《證券法》中亦再次體現了中國的強硬態度，再次強調了審計底稿不得出境的原則。

滴滴在其隱私政策中提及其收集的信息包括駕駛員的其姓名、身份證或其他身份證明、面部識別特征、車輛品牌、型號、顏色、車牌號、駕駛證、行駛證、車輛監督卡信息、銀行卡信息等。[13]

2021年8月16日發布的《汽車數安規定》作為首個在行業應用場景中具體細化的數據安全管理規定，明確了人臉信息、車牌信息等的車外視頻、圖像數據、涉及個人信息主體超過10萬人的個人信息等數據屬于重要數據。[14]

根據《網安法》第三十七條[15]、《汽車數安規定》第十一條[16]的相關規定，重要數據應當依法在境內存儲；結合《個保法》第四十一條的規定，境外的司法或者執法機構要求提供存儲于我國境內的個人信息的，非經我國主管機關批準，不得提供，除非我國締結或者參加的國際條約、協定另有規定。鑒于我國暫未與美國有此等條約、協定，未經批準，滴滴應當不得向美國司法部和美國證券交易委員會提供相應個人信息。

在管轄權重疊導致諸多企業面臨數據出境兩難困境的背景之下，我們需要提示的是，如果違反境內數據出境相關規則，可能會面臨如下責任：

由上表可見，《網安法》對于關鍵信息基礎設施的運營者違法向境外提供網絡數據的責任承擔情況作出了規定；《數安法》第三十六條則規定“境內的組織、個人”未經許可不得向外國司法或者執法機構提供存儲于中華人民共和國境內的數據，如有違反，根據所造成的的后果嚴重程度，承擔對應的責任。

而《個保法》則規定的較為籠統，沒有具體規定未經許可向外國司法或者執法機構提供個人信息的對應責任。但規定了公司承擔的責任最高可至五千萬元或者上一年度營業額百分之五的罰款、吊銷相關業務許可證、吊銷營業執照，且主管人員和其他直接責任人員需切身承擔責任罰款、且可能在一定期限內不得擔任相關企業的董監高及個保負責人。

在制度設計層面，歐盟總體而言是鼓勵數據的跨境流動的。因而，GDPR為了規范歐盟公民和居民的數據從歐盟向歐盟外國家和地區流動設立了相應的規則。具體可見如下規則總結圖：

在現階段，除了向經充分性認定后的白名單國家傳輸數據比較切實可行，還有就是約束性企業規則（下稱“BCR”）的運用，亦即在歐盟設立總部或分支機構的跨國公司內部機構之間數據傳輸和保護的約束性企業規則。但如上圖所示，BCR應用前提為經監管機關的嚴格審批程序后獲批，目前僅有一百多家跨國公司取得了該等批準。

而GDPR其他向外傳輸數據規則難以落地，將來即使可以進一步落實，在執行方面也將面臨管轄權重疊帶來的沖突問題。其癥結，如開篇所言，在于全球數據的跨境流動統一規則尚未形成。對于任何一個數據主體，輸出數據的活動，首先需要適用輸出國的法律。但只要輸入國在對該活動的管轄中具有“長臂管轄權”，則該數據主體就要面臨管轄權重疊而帶來的沖突，進而可能引發企業合規沖突。

1. 關于數據出境問題，我國的法律法規主要從以下三個維度進行管控，并非一概不得出境：

• 關鍵信息基礎設施的運營者所收集個人信息及重要數據應當存儲在境內，確需向境外提供的，應當按照國家網信部門會同國務院有關部門制定的辦法進行安全評估；

• 其他主體所收集的重要數據的出境安全管理辦法，由國家網信部門會同國務院有關部門制定，亦會受到管制；

• 達量的主體收集的個人信息，應當將在境內收集和產生的個人信息存儲在境內且應當通過國家網信部門組織的安全評估，[17]未達量的主體收集的個人信息，雖不以存儲在境內為原則，但確需向境外提供的，應當同時符合《個保法》有關“告知與單獨同意”、“ 評估記錄與監督”及滿足該法第三十八條的四項要求之一。[18]

而未落入重要數據、個人信息維度的數據，仍可正常出境，并不受到特殊限制（政務數據與公共數據暫不討論）[19]。對于重要數據及個人信息的辨析、認定和評估，從現在到將來，都將是數據出境過程中至關重要的一環。

2. 《個保法》第三十八條的四項要求與GDPR所規定的跨境傳輸框架有一定的相似性，可以為企業數據跨境合規（尤其是個人數據跨境）帶來啟發：

就跨境傳輸框架而言，《個保法》第三十八條第二項規定了經專業機構進行個人信息保護認證之后，個人信息即可出境。GDPR中亦有與之相似的“認證機制”的規定；第三項根據網信部門制定的標準合同與境外接收方訂立合同則與GDPR中“標準數據保護條款”的立法設計相似，均通過不可更改的標準合同的方式將法律規則內化到合同中。

GDPR自2018年公布以來，仍未有其批準的行為準則（Code of Conduct），歐盟委員會還在持續不斷發布新的決定、對于標準合同文本進行更新。鑒于中國的《個保法》剛出臺不久，對應的評估、認證操作細則及標準合同文本的出臺，仍需要一定時間，一系列規范及文本應該會逐步落地。

企業應謹記，以上相似性主要源于同一目的—使企業在數據傳輸活動中切實履行法定義務，以保證個人信息的跨境流動的安全性。由此，在具體規則尚未出臺前，亦可以未雨綢繆，早做準備，以應對政策實際落地的挑戰。

《個保法》第二十條調整的是數據共同決定者及數據共同處理者與個人信息的權利主體之間的規定。該條明確了：1）如果屬于個人信息處理者共同決定個人信息的處理目的和處理方式的情形，無論內部約定如何，其對外都需承擔配合權利主體要求行使《個保法》規定的權利；2）如果屬于共同處理個人信息的情形，侵害個人信息權益造成損害的，共同處理個人信息的主題需承擔連帶責任。也就是說，與第三方合作，無法當然成為“擋責金牌”。

數據出境困境的解決，離不開與境外各國監管機構的長時間溝通協調，正如美國證券交易委員會與中國證券監督管理委員會就中概股底稿出境問題的“沖突”，有待雙方長時間的博弈以期達成合作共識。

誠然，想要在國際社會針對數據流通建立統一規則并非易事。在數據流通方面，各個國家的利益及政策并不相同。一個相對穩定的秩序的建立，必得是經過各方博弈后達到的某種衡平。

更深尚有通樵處，或是秦人未可知。