数据跨境流动 | 德国巴符州DPA率先解释与SCC配套的“额外的保障措施”

编者按：

公号君一直非常关注数据跨境流动。对此议题，本公号曾发表的文章如下：

另外一个与此相关的系列研究是：个人数据与域外国家安全审查系列文章。这个系列具体的文章列表，请见文末。

今天和大家分享在在欧盟法院作出Schrems II的判决后，欧盟方面的重要进展。

按照欧盟法院的Schrems II判决，如果一个组织希望依靠标准合同条款(SCCs)或具约束力的公司规则(BCRs)将个人数据转移到欧洲经济区(EEA)以外，则其必须评估个人数据目的地国家的法律，是否能确保所接收的个人数据得到充分的保护。一旦评估的结果是目的地国家的保护水平不充分，该组织和数据接收者还需要采取额外的保障措施，以确保为个人数据提供基本同等程度的保护。【详情见：数据跨境流动 | 美欧“隐私盾协议”被判无效背后的逻辑】

欧盟法院在Schrems II案中特别关注公共当局为国家安全目的调取个人数据的权力，以及相关的个人权利和补救措施。

欧盟法院指出，如果目的地国的法律制度阻碍了对SCC条款的遵守，或影响到SCC条款所提供的保护水平，则不应使用标准合同条款。

如果一个组织在进行评估后得出结论，认为个人数据没有得到充分的保护，但仍打算继续跨境传输数据的，欧洲数据保护委员会(EDPB)的Schrems II FAQ建议该组织应事先通知其相关的监管机构。然后，监督机构有义务禁止它们认为不能确保充分保护的任何数据跨境流动。【详情见：数据跨境流动 | 欧盟EDPB对欧盟隐私盾协议被判无效的相关问答（全文翻译）】

进展一：欧盟官员的表态

2020年9月3日，欧洲议会公民自由、司法和内政委员会（以下简称 "LIBE委员会"）召开会议，讨论欧盟法院判决后，欧盟与美国数据流动的未来。除了欧洲议会成员（"MEPs"）外，与会者还包括欧盟司法专员Didier Reynders、欧洲数据保护委员会（"EDPB"）主席Andrea Jelinek和Maximilian Schrems本人。在会上，欧盟司法专员Didier Reynders直言，关于再建一个允许欧洲经济区和美国之间转移个人数据的新的强化框架的可能性，非常复杂，目前不会有快速的解决办法，而且新的数据跨境流动框架可能需要在美国层面进行立法改革，而目前的政治背景，包括即将到来的美国大选，可能会推迟这一进程。也正是在这个背景下，近日，爱尔兰DPA即“建议”FACEBOOK不应再依靠使用SCC来支撑将欧盟的个人数据传输至美国。

按照欧盟法院的逻辑，FACEBOOK需要在SCC之外，采取“额外的保障措施”来确保个人数据流到“恶劣”的政策法律环境（美国首当其中）中后，还能享有充分保护。现在问题的核心在于，什么是欧盟法院提出的“额外的保障措施”？

在9月3日的会议上，EDPB主席Andrea Jelinek确认，EDPB正在编制指南和建议，以协助数据控制者和处理者在使用标准合同条款或具有约束力的公司规则向法律制度不能充分保护个人数据的第三国出口个人数据时，识别、确定和实施适当的额外保障措施。

进展二：德国巴登一符腾堡州数据保护局("DPA")的指引

2020年8月24日，德国联邦巴登-符腾堡州数据保护局率先发布了遵循欧盟法院判决的数据跨境传输指南（全文截图后附）。总结起来，该指南提出了其辖区内的公司：

第一：识别所有向第三国转移欧盟个人数据的情况，包括远程访问数据的情况。

第二，评估并记录数据跨境传输的必要性。

第三，将欧盟法院判决后欧盟有关数据转移的法律发展情况，告知第三国的服务提供商。

第四，评估第三国的法律状况，特别是欧盟委员会是否认为第三国提供了适当水平的数据保护；对于向其他非欧洲经济区(EEA)国家和地区的数据跨境传输来说，数据控制者应评估目的地国家或地区有关"情报或安全部门获取欧盟个人数据"的法律环境，以及该国家或地区"赋予数据主体的权利和提供的法律救济"。

第五，在可以依靠特别合同条款进行转移的情况下，评估是否需要额外的保障措施。对于向美国转移个人数据，该州数据保护局提出，数据控制者应设法提供额外的保障措施，以减少风险，特别是对数据采取加密，且加密的方式应当满足一下两个条件：只有数据输出者持有密钥，以及加密强度必须足够，以使得美国情报部门无法破解。此外，数据输出者还可以采取数据匿名化措施，或对数据进行假名化，确保"只有数据输出者可以重新识别数据"。

此外，巴登-符腾堡州数据保护局还建议对控制者对处理者的SCC进行修订，具体来说：

(1) 增加一项义务，即数据接收者不仅要告知数据出口者，而且要告知数据主体，其所收到的公权力机关提出的任何具有法律约束力的披露个人数据的请求；

(2) 如果这种通知是被法律所禁止的，则数据出口者应与巴登-符腾堡州数据保护局联系，以商定下一步可采取的措施和步骤；

(3) 双方应商定，数据主体所援引的任何第三方受益人条款中的权利行使，应通过数据出口者所在的欧盟成员国的法院，取消目前在SCC条款中将此类争端提交调解的选择。

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过300人。关于DPO社群和沙龙更多的情况如下：

DPO社群成果

线下沙龙实录见：

美国联邦隐私保护立法草案研究

传染病疫情防控与个人信息保护系列文章

美国电信行业涉及外国参与的安全审查系列文章

中国的网络安全审查系列文章：

美国的出口管制制度系列文章：

自动驾驶系列文章：

欧盟“技术主权”进展跟踪系列文章：

第29条工作组/EDPB关于GDPR的指导意见：

数据安全法系列文章：

个人数据与域外国家安全审查系列文章

人脸识别系列文章：