数据跨境流动 | 美国政府白皮书正式回应欧盟Schrems II判决
9月28日，美国政府发布了一份 "白皮书"，论述了在欧盟法院（"CJEU"，或 "ECJ"）对Schrems II案【即数据保护专员诉Facebook爱尔兰和Maximillian Schrems案，C-311/18（2020年7月16日）】作出裁决后，公司如何证明其继续向美国跨境传输欧盟居民个人数据的合理性。
Schrems II的裁决否决了欧盟-美国隐私盾作为向美国转移欧盟个人数据的依据，因为法院认为美国国家安全法没有提供与欧盟同等的隐私保护。【详见：数据跨境流动 | 美欧“隐私盾协议”被判无效背后的逻辑】虽然欧盟法院支持欧盟委员会批准的标准合同条款("SCCs")作为向美国转移欧盟个人数据的基础，但法院对SCCs的使用设置了新的重大障碍。【详见：数据跨境流动 | 欧盟EDPB对欧盟隐私盾协议被判无效的相关问答（全文翻译）】
因此，美国公司现在面临一个难题，即他们是否可以合法地继续向美国转移欧盟个人数据。【详见：数据跨境流动 | 爱尔兰DPA即将禁止FACEBOOK的数据跨境传输，以及数据跨境流动 | 爱尔兰高等法院暂时允许Facebook继续个人数据跨大西洋传输】美国政府的白皮书旨在通过提供论据和引用法律权威，帮助公司应对这一跨大西洋数据传输的难题，供美国公司在进行新要求的美国国家安全法如何保护欧盟个人数据的法律评估时考虑。【详见：数据跨境流动 | 德国巴符州DPA率先解释与SCC配套的“额外的保障措施”，以及数据跨境流动 | 中国公司基于SCCs开展数据跨境流动的基本策略】。
该白皮书由美国司法部、商务部以及国家情报总监办公室发布。白皮书指出，面对后Schrems II世界的公司可以通过准备一份评估来接近欧盟《通用数据保护条例》（以下简称 "GDPR"）的合规性，以"捍卫"其继续依赖SCCs作为继续传输数据的合法基础。该文件虽然不对欧盟法律发表意见，但试图"详细讨论"美国现行法律和实践中与政府为国家安全目的获取数据有关的隐私保护，特别是该信息涉及 "欧洲法院在Schrems II案中似乎关注的问题"，并且 "可能会影响到许多公司对其依赖SCCs如何符合欧盟法律的分析"。
白皮书特别强调了美国目前对政府获取数据的有力限制和保障措施，以帮助组织评估其数据传输是否能提供根据欧盟法院裁决被视为适当的数据保护。简而言之，白皮书提出了三点：
大多数公司没有向美国情报机构披露个人数据，因为它们不处理这些机构感兴趣的数据。事实上，转移普通商业信息的公司不会有理由相信美国情报部门会寻求收集这些数据。
根据《外国情报监视法》(FISA)，在任何公司被命令进行披露的范围内，根据GDPR第49条，这些披露无疑是为了欧盟重要的公共利益。白皮书指出，美国政府经常与欧盟成员国共享情报信息，"以应对各种威胁，包括国际恐怖主义、大规模杀伤性武器的扩散以及外国敌对网络行为者的活动"。
依赖标准合同条款(SCC)的公司在对美国法律是否提供了足够的保护水平进行个性化评估时，可以考虑欧盟法院没有涉及的信息。关于第三点，白皮书强调，CJEU在Schrems II案中仅对委员会第2016/1250号决定的有效性进行了裁决，该决定仅仅记录、分析了关于美国法律在隐私保护方面的有限情况。白皮书提供了2016/1250号决定中没有提到的相关信息，以及2016年之后发生的发展，以帮助企业进行评估。
白皮书特别指出，外国情报监视法院在监督个人是否是FISA下的适当目标方面发挥了积极作用。它还确定了允许任何国籍的个人（包括欧盟公民）就违反FISA的行为向美国法院寻求救济的法规。
事实上，美国政府的白皮书认为，"与欧盟内部持有的数据相比，转移到美国的数据在情报监控方面享有相当或更大的隐私保护"。
公号君一直非常关注数据跨境流动。对此议题，本公号曾发表的文章如下：
另外一个与此相关的系列研究是：个人数据与域外国家安全审查系列文章。这个系列具体的文章列表，请见文末。以上供大家参考。
DPO社群成果
线下沙龙实录见：
传染病疫情防控与个人信息保护系列文章
美国电信行业涉及外国参与的安全审查系列文章
美国电信行业涉及外国参与的安全审查（一）：基本制度介绍
美国电信行业涉及外国参与的安全审查（二）：国际性的第214节授权
美国电信行业涉及外国参与的安全审查（三）：建立外国参与安全审查的行政令
美国电信行业涉及外国参与的安全审查（四）：FCC对中国企业的陈述理由令
中国的网络安全审查系列文章：
美国的出口管制制度系列文章：
自动驾驶系列文章：
欧盟“技术主权”进展跟踪系列文章：
第29条工作组/EDPB关于GDPR的指导意见：
数据安全法系列文章：
个人数据与域外国家安全审查系列文章
人脸识别系列文章：
围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：
供应链安全：
美国方面的个人信息保护立法：