全球数据监管竞争下我国个人信息出境标准合同研究

个人信息出境标准合同产生于全球数据跨境流动监管竞争加剧的时代,是一种重要的数据跨境监管工具,并为国际层面提供了具有可互操作性的数据跨境流动模式。通过梳理历史沿革、剖析制度现状可以发现,我国个人信息出境标准合同秉承着以数据安全为基础的数据自由流动的价值取向,是结合行政监管和企业自治的创新型数据监管工具,旨在保护合同外第三方受益人并监管数据出境全过程,以合同权利义务固定化数据监管标准。作为我国加入全球数据监管竞争的重要手段,个人信息出境标准合同制度在时代趋势下经历了从无到有的发展历程,各方面细节也在逐步完善,但在规范结构、条款规范和持续监管等方面尚存难题有待进一步研究和破解。我国应当从立法重心、结构重塑、监管内容等三个方面夯实制度基础以促进中国参与全球数据竞争。

个人信息出境标准合同条款规制及其优化研究

经济迅速发展的今天,数据的重要性日益凸显。个人信息作为数据的重要组成部分,如何在个人信息跨境自由流动与保护个人信息安全方面找到一个平衡点是一大难题,标准合同制度在平衡二者关系上发挥了重要作用,但在具体适用方面还需完善。相对于欧美国家的个人信息出境保护模式,我国在个人信息出境保护立法方面起步晚,实践不足。本文以标准合同的规制对象与适用范围为研究对象,发现标准合同制度面临着适用范围存在局限性、与安全评估制度存在重叠、主体定义模糊的问题。应立足我国特色,在实践中不断完善标准合同制度,通过扩大标准合同适用范围,立足于顶层,体系化构建标准合同条款;重新定义“数据处理者”,完善个人信息跨境模式等方式,优化标准合同制度。

国家网信办印发《个人信息出境标准合同规定(征求意见稿)》

为了规范个人信息出境活动,保护个人信息权益,促进个人信息跨境安全、自由流动,国家互联网信息办公室近日起草了《个人信息出境标准合同规定(征求意见稿)》(以下简称《征求意见稿》)。《征求意见稿》要求,依据标准合同开展个人信息出境活动,应坚持自主缔约与备案管理相结合,防范个人信息出境安全风险,保障个人信息依法有序自由流动。

《个人信息出境标准合同办法》的时代意义与合规启示

2023年6月1日,由国家互联网信息办公室公布的《个人信息出境标准合同办法》(以下简称《办法》)正式实施。在我国数字经济不断发展且跨境数据流转日益频繁的背景下,《办法》的出台具有重要的时代意义。

限缩与扩张:个人信息跨境流动中的标准合同

标准合同作为欧盟个人信息跨境流动规则之一,被我国个人信息立法首次引进。但我国个人信息跨境流动标准合同存在以下立法困境:标准合同规范的价值冲突;缺乏标准合同文本样式及适用有局限性;标准合同适用频次及适格主体存在问题;信息主体的权利保障实效不明。标准合同的法律构造应发挥境内行为规范与境外延伸指导的作用。破解个人信息跨境流动标准合同的立法困境应平衡国家、个人、市场立法价值理念关系;丰富标准合同文本样式及拓展替代性规则;构建内外并重的个人信息跨境流动国际、国内规则;优化信息主体的权利保障实效。

论个人信息出境认证与安全评估、标准合同的关系

个人信息跨境流动是当今数字经济全球化的常态,同时个人信息保护也是国际共识,《全面与进步跨太平洋全面伙伴关系协定》(CPTPP)、《区域全面经济伙伴关系协定》(RCEP)和《数字经济伙伴关系协定》(DEPA)等多边条约都对成员的个人信息保护作出明确要求。

敏感个人信息跨境流动的国际规制

目前区分敏感个人信息和一般个人信息并对前者施以更为严格的保护措施已成为全球普遍做法。但在敏感个人信息具体类型的认定上,国际社会尚未达成共识,特别是关于金融账户信息、个人位置信息、与刑事判决有关的个人信息是否属于敏感个人信息仍存在争议。美国、欧盟、日本等代表性法域基于不同的监管思路对敏感个人信息跨境流动施以差异化措施:欧盟并不区分敏感个人信息和一般个人信息,而统一设定较严格的跨境流动限制性要求;美国倡导个人信息跨境自由流动,形成市场主导型的监管模式;日本则采取更加务实、灵活的敏感个人信息跨境传输政策,以尽可能吸引更多数据进入本国境内。我国基于国家安全考量的敏感个人信息出境规则更倚重数据出境安全评估,一定程度上挤压了出境标准合同、认证等路径的适用空间。敏感个人信息跨境主要关涉信息主体个人利益,在确保信息主体基本权益和国家数据安全的前提下,其规则设计应以依法合理流动为基础原则,以特定情形禁止或限制出境为例外,建立多元化敏感个人信息跨境流动规则体系,即除了“特定人数+敏感个人信息”的分类标准外,“特定人员+敏感个人信息”也可作为补充标准予以施用。面对当前个人信息跨境流动监管规则碎片化的难题,可先促进特定行业的充分保护水平认定,由点及面,推动国内规则与国际标准的协调,为敏感个人信息流动创建更具持续力的治理结构。

重要数据出境安全评估制度的偏离与修正

数据分类分级保护制度下,重要数据是内蕴国家安全与公共利益的数据类型。数据出境监管规则体系中,安全评估的功能定位系防范整体安全风险。而我国重要数据出境安全评估制度却偏离了聚焦整体安全的理念,侧重于关注个体安全。这易使数据出境监管滑向过度规制,不利于数据的流通与利用,因而亟须修正。首先,《数据出境安全评估办法》多处采取关注个体安全的法条表述应被修改。其次,个人信息集群型重要数据的安全评估门槛过低,应适当提升,并从国家安全层面界定个人信息敏感性。再次,殷鉴欧盟充分性认定的“中国版充分性认定”仍难适用于重要数据的出境监管,理应摒弃“实质等同”逻辑并进一步细化考量因素。最后,标准合同条款在重要数据出境场景下存在适用障碍,应专门制定针对性的重要数据出境示范合同条款,与适用于小规模个人信息出境的标准合同条款并列,使数据出境监管规则体系更适恰于数据出境监管实践需要。

个人信息跨境提供的规范分析与理论反思——以《个人信息保护法》第三十八、三十九条为视角

《个人信息保护法》创设了个人信息跨境提供的制度规则,这对于规范个人信息有效保护和跨境合理流动具有重要意义。从适用对象来看,《个人信息保护法》第三十八、三十九条仅能适用于作为自然人、企业或其他组织的个人信息处理者,而不能适用于国家对个人信息的境外提供行为,也不适用于自然人对自我个人信息的境外提供行为。从适用条件来看,个人信息境外提供应当符合安全评估、第三方认证、标准合同或者其他法定条件的要求,这些法定条件初步体现了对个人信息跨境提供的分类处理理念,但其分类标准相对单一,且主要依据个人信息处理者的具体类型,而非着眼于个人信息自身分级分类基础之上。从“知情—同意”规则来看,个人信息跨境提供中告知义务的内容范围更大,其同意方式也仅限于个人单独同意;个人信息跨境提供行为的合法性基础相对单一,这虽然有利于充分保障个人信息自决权,但也存在各种弊端,未来可以探索建立个人信息跨境提供的多元化合法性基础。

论标准合同法律关系的构建

标准合同是个人信息出境规则极重要的组成,上位法、相关法的根系深埋其中。本文运用体系解释进行规范分析,研究标准合同法律关系的构建。在法律主体方面,将个人信息处理者、境外接收方限缩解释为企业、出境非自身或家庭事务相关信息的自然人、非法律法规授权的其他组织;在法律客体方面,借助相关法,解释“非关键信息基础设施运营者”的法律表述不准确;在法律关系内容方面,细分不同主体的权利、义务。

个人信息出境进入“标准化”法治时代

2023年6月1日,为保护个人信息权益,满足日益增长的个人信息出境需要,规范个人信息出境活动,国家网信办《个人信息出境标准合同办法》(以下简称《办法》)正式施行。个人信息是数据资源中非常重要的组成部分,《办法》是继2022年《数据出境安全评估办法》正式发布之后,又一项数据出境重要法规的落地,《办法》从个人信息方面对数据出境监管进行了细化和加强。

作为个人信息跨境传输监管工具的标准合同条款

个人信息保护法第38条第1款第3项规定的“标准合同”,是个人信息跨境传输的监管工具。标准合同条款既拘束进出口双方,亦具有第三人保护功能,形式上是合同条款,内容上由国家预先决定并强制纳入,兼具个别规范和国家法规范的双重属性。进出口方的个人信息保护义务是个人信息跨境传输合同的主给付义务,是法定义务的合同化,包括个人信息安全义务,个人信息安全事件的通知、补救、减损义务,告知义务,目的限制义务,合规审计义务等。基于受益第三人条款,个人信息主体享有更正、删除等权利和违约损害赔偿请求权。国家网信部门制定标准合同条款构成对个人信息保护法的具体化适用,应限于授权范围,遵循比例原则,合理确定条款的强制使用机制和内容强制程度。

国家互联网信息办公室令(第13号)

《个人信息出境标准合同办法》已经2023年2月3日国家互联网信息办公室2023年第2次室务会议审议通过,现予公布,自2023年6月1日起施行。

东盟数据出境标准合同立法及其现实启示

随着《促进和规范数据跨境流动规定》的正式出台,我国个人信息出境标准合同的适用范围、文本内容得到进一步优化。东盟与我国设立数据出境标准合同规则的时间较为接近,且同处《区域全面经济伙伴关系协定》(简称“RCEP”)的规范之下,针对《东盟跨境数据流动示范合同条款》(简称“MCCs”)的比较研究具有重要意义。通过对MCCs立法意图、规则内容和法律效力等方面的分析,可以发现我国与东盟在数据跨境立法的价值取向、与RCEP的衔接度、标准合同的内容上有所不同。为促进中国与东盟之间的数据安全自由流动,我国未来应细化数据传输工具操作路径,加强双方数据跨境规则互认,并进一步完善个人信息保护影响评估制度。

数据跨境流动的约束性企业规则研究

欧盟《一般数据保护条例》确立的约束性企业规则是欧盟个人数据跨境传输规则中的适当保障措施之一,它作为数据跨境流动的合规工具具有显著优势。我国自2021年施行的《个人信息保护法》中仅参照引入了标准合同条款,约束性企业规则还未明确在我国法律中引入。为了便利我国企业“走出去”,我国应引入约束性企业规则。为此,我国应明确约束性企业规则的上位法依据,同时合理借鉴他国实践经验,打造中国式约束性企业规则。

国内动态

网信办:公布《促进和规范数据跨境流动规定》。3月22日,国家互联网信息办公室公布《促进和规范数据跨境流动规定》,自公布之日起施行。规定对六种免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证的数据出境活动条件做出了规定。

政策·国家

国家互联网信息办公室:促进和规范数据跨境流动。近日,国家互联网信息办公室结合数据出境安全管理工作实际,制定《促进和规范数据跨境流动规定》,对现有数据出境安全评估、个人信息出境标准合同、个人信息保护认证等数据出境制度的实施和衔接作出进一步明确,适当放宽数据跨境流动条件,适度收窄数据出境安全评估范围,在保障国家数据安全的前提下,便利数据跨境流动,降低企业合规成本,充分释放数据要素价值,扩大高水平对外开放,为数字经济高质量发展提供法律保障。

我国数据出境安全治理的多重困境与路径革新

数字经济时代,数据的出境治理关乎国家安全、经济发展和贸易繁荣。当前,我国的数据出境安全治理面临着多重困境,主要表现在数据安全的概念过于模糊难以成为法治价值目标,数据出境规则设计不周延难以有效监管数据出境,数据出境监管过严导致黑灰数据产业难以遏制等。数据出境安全治理的困境根源在于技术安全难以保障,数据出境安全治理的本质价值在于确保政治安全,信用法治是合理平衡个人隐私安全与商业利益安全的创新路径。通过对我国数据出境安全治理规则的界定、解读与适用的思辨研究,建议我国在立法上确保个人权益与商业利益保护之间的合理平衡以促进数字技术的提高,进一步丰富数据出境安全治理规则以确保政治安全,多措并举引导数据出境安全治理规则的灵活适用以建设信用法治,多元共治推动数据出境安全治理的深入落实以实现我国数据出境的路径革新。

论数据出境评估、合同与认证规则的体系化

《数据出境安全评估办法》的施行与《个人信息出境标准合同规定(征求意见稿)》的公布意味着我国数据出境安全制度初步形成。不过,这种制度仍然存在体系程度不足的现实问题:一是内在体系层面的部分制度内容交叉;二是外在体系层面的制度关联性不足;三是现有体系架构有待上位法依据支撑。数据出境安全规则具有鲜明的实践特征,仅以信息自主权等理论难以解释制度实施层面的现实问题,因而有必要按照“识别、评估、缓解、预防”的数据安全风险管理逻辑,将数据出境风险划分为国家安全风险、违约责任风险、技术安全风险、其他未知风险四类,并按照风险水平采用“安全评估单列,其他制度互补”的体系架构解决对应的数据出境安全风险。

我国数据跨境流动监管现状观察与建议

当前,我国数据跨境传输监管法律框架已初步形成,并进一步探索便利化的数据出境流通机制。本文将分析“中国数据出境监管三件套”机制的制度目标,结合当前数据出境安全评估、标准合同备案审查过程中的监管实践,以及目前中国企业的现实需求和国际形势,提出推动我国数据跨境安全有序流动的六点建议。