数据跨境流动 | 微软率先提出对欧盟数据的专属“保护措施”

编者按：

2020年7月16日，欧盟法院（"CJEU"，或 "ECJ"）对Schrems II案【即数据保护专员诉Facebook爱尔兰和Maximillian Schrems案，C-311/18】作出裁决。

Schrems II的裁决否决了欧盟-美国隐私盾作为向美国转移欧盟个人数据的依据，因为法院认为美国国家安全法没有提供与欧盟同等的隐私保护。【详见：数据跨境流动 | 美欧“隐私盾协议”被判无效背后的逻辑】虽然欧盟法院支持欧盟委员会批准的标准合同条款("SCCs")作为向美国转移欧盟个人数据的基础，但法院对SCCs的使用设置了新的重大障碍。【详见：数据跨境流动 | 欧盟EDPB对欧盟隐私盾协议被判无效的相关问答（全文翻译）】

因此，美国公司现在面临一个难题，即他们是否可以合法地继续向美国转移欧盟个人数据。【详见：数据跨境流动 | 爱尔兰DPA即将禁止FACEBOOK的数据跨境传输，以及数据跨境流动 | 爱尔兰高等法院暂时允许Facebook继续个人数据跨大西洋传输】

9月28日，美国政府发布了一份 "白皮书"，论述了Schrems II案后，公司如何证明其继续向美国跨境传输欧盟居民个人数据的合理性。【详见：数据跨境流动 | 美国政府白皮书正式回应欧盟Schrems II判决】美国政府的白皮书旨在通过提供论据和引用法律权威，帮助公司应对这一跨大西洋数据传输的难题，供美国公司在进行新要求的美国国家安全法如何保护欧盟个人数据的法律评估时考虑。【详见：数据跨境流动 | 德国巴符州DPA率先解释与SCC配套的“额外的保障措施”，以及数据跨境流动 | 中国公司基于SCCs开展数据跨境流动的基本策略】。

再把视线转回欧洲，按照欧盟法院的逻辑，FACEBOOK需要在SCC之外，采取“额外的保障措施”来确保个人数据流到“恶劣”的政策法律环境（美国首当其中）中后，还能享有充分保护。现在问题的核心在于，什么是欧盟法院提出的“额外的保障措施”？在9月3日的会议上，EDPB主席Andrea Jelinek确认，EDPB正在编制指南和建议，以协助数据控制者和处理者在使用标准合同条款或具有约束力的公司规则向法律制度不能充分保护个人数据的第三国出口个人数据时，识别、确定和实施适当的额外保障措施。

终于，11月11日，EDPB拿出了关于“补充措施的建议”，即

Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data（关于为确保遵守欧盟个人数据保护水平而采用的对数据跨境转移工具补充措施的建议01/2020）。公号君第一时间对全文进行了翻译，供大家参考。【全文见：数据跨境流动 | EDPB关于标准合同条款之外的“补充措施”的指南终于问世】

与该份文件一同发布的还有另一份指南——Recommendations 02/2020 on the European Essential Guarantees for surveillance measures（关于针对监控措施的欧洲基本保障的第02/2020号建议）

公号君第一时间也对该指南进行了全文翻译，供大家参考。【数据跨境流动 | EDPB提出“评估目的国法律环境”的指南（全文翻译）】

在这两份指南下，EDPB事实上塑造了数据跨境流动的新框架。美国微软公司，作为总部位于从“关于针对监控措施的欧洲基本保障的第02/2020号建议”来看法律环境“恶劣”的美国的一家美国公司，同时又是一家最早致力于全球化的科技公司，率先对欧盟提出的“补充措施”做出了回应，并提出了超越“补充措施”的新举措。

公号君在此提供微软对此宣布的公告的全文翻译，译者为葛鑫。

保护您的数据的新措施

Our public sector and enterprise customersregularly need to move their data between countries, regions and continents.Today, we’re announcing new protections for our public sector and enterprisecustomers who need to move their data from the European Union, including acontractual commitment to challenge government requests for data and a monetarycommitment to show our conviction. Microsoft is the first company to providethese commitments in response to last week’s clear guidance from dataprotection regulators in the European Union.

我们的公共部门和企业客户通常需要在不同国家、地区和大洲之间传输数据。今天，我们宣布针对需要从欧洲转移数据的公共部门和企业客户提供新的保护，包括挑战、质疑、异议（challenge）政府调取数据请求的合同承诺以及相应的金钱承诺（monetary commitment），以表明微软的诚意。微软是首家作出承诺回应欧盟数据监管机构指导的公司。

Every day, our customers move data throughtheir global networks to serve their clients, work with suppliers orpartners, and manage payroll for their global workforce. These cross-borderdata transfers have been the subject of recent litigation and regulatory actionincluding a ruling earlierthis year from the Court of Justice for the European Union and draftrecommendations issued last week by theEuropean Data Protection Board (EDPB) about how companies can comply with thisruling.

我们的客户从各自的全球网络传输数据以服务其客户，与供应商或合作伙伴协作，并管理全球员工。数据跨境传输成为近年来立法和执法行动的主题，如欧盟法院在今年早些时候作出相关裁决、EDPB也在上周就公司如何遵守前述裁决发布了建议草案。

With today’s announcement, we are moving to bethe first company to respond to the EDPB’s guidance with new commitments thatdemonstrate the strength of our conviction to defend our customers’ data.Microsoft has already demonstrated that we provide strong protections for ourcustomers’ data, we are transparent about our practices and we defend ourcustomers’ data. We believe the new steps we’re announcing today go beyond thelaw and the EDPB draft recommendations, and we hope these additional steps willgive our customers added confidence about their data.

通过今天的公告，微软成为首家对EDPB的指导意见作出新的承诺的公司，以表明微软对于保护客户数据的信念。微软已经证明能够为客户数据提供坚实保护，并确保实践的透明化。我们认为，今天公告中宣称的新举措已超出目前立法和EDPB建议草案的要求，我们也希望这些额外的措施能够让客户对其数据（保护）更具信心。

·    First, we arecommitting that we will challenge every government request for public sector or enterprise customer data – from any government – wherethere is a lawful basis for doing so. This strong commitment goes beyond theproposed recommendations of the EDPB.

·    首先，我们承诺，微软将会挑战、质疑、反对（challenge）每一项政府针对公共部门或企业客户数据的提出调取请求——不论来自任何政府——即便存在法律依据。该项承诺高于EDPB提出的建议。

·    Second, wewill provide monetary compensation to these customers’ users if we disclosetheir data in response to a government request in violation of the EU’s GeneralData Protection Regulation (GDPR). This commitment also exceeds the EDPB’srecommendations. It shows Microsoft is confident that we will protect ourpublic sector and enterprise customers’ data and not expose it to inappropriatedisclosure.

·    其次，如果微软在应对政府数据请求的过程中违反GDPR的要求披露了客户数据，微软将会对相应的用户作出赔偿。该承诺同样高于EDPB的建议范围。它表明了微软有信心保障公共部门和企业客户数据，而不会非法披露。

We call these protections Defending Your Data,and we will begin adding them to our contracts with public sector and enterprisecustomers immediately.

我们将前述措施称为“保护您的数据”，我们希望随后在我们与公共部门和企业客户的合同中添加前述条款。

Defending Your Data makes a substantialaddition to our foundational privacy promises, and builds on the strongprotections we already offer customers.

“保护您的数据”建立在我们已经向客户提供的强大保护之上，构成我们基础隐私承诺之外的额外措施。

·    We use strongencryption: We encrypt customer data with a high standard of encryption bothwhen it is in transit and at rest. Encryption is a critical point in the draftEDPB recommendations. We do not provide any government with our encryption keysor any other way to break our encryption.

·    我们将使用强加密措施：不论是传输还是静态数据，我们都将通过高标准的加密技术对客户数据进行加密。加密措施也是EDPB提出的建议措施中的关键要求，我们不会向任何政府提供我们的加密密钥或其他破坏加密的方法。

·    We stand upfor customer rights: We do not provide any government with direct, unfetteredaccess to customer data. If a government demands customer data from us, it mustfollow applicable legal process. We will only comply with demands when we areclearly compelled to do so. Our first step is always to attempt to re-directsuch orders to customers or to inform them, and we routinely deny or challengeorders when we believe they are not legal.

·    我们捍卫客户的权利：我们不会向任何政府提供直接、不受限的客户数据访问权。如果政府向我们提出客户数据要求，它应当遵循正当法定程序。我们仅在被明确强制要求我们遵守时，才会服从。我们的首要应对是尝试将此类命令转达或通知给客户，并且在我们认为此类命令不具备合法性时，会惯常拒绝或提出异议。

·    We aretransparent: We have, for many years, published information about governmentdemands for customer data. We sued the U.S. government over the ability todisclose more data about the national security orders we receive seekingcustomer data and reached a settlement enabling us to do so. As a result, twicea year, we disclose more detailed information about these national securityorders across all our businesses (consumer, enterprise, and public sector), inaddition to our regular Law Enforcement Request Report.

·    我们保持透明：多年来，我们一直在公布政府调取客户数据要求的信息。我们起诉了美国政府通过国家安全命令要求我们披露更多客户数据，并达成了和解，从而使我们能够如此。因此，在定期的执法请求报告之外，我们每年分两次披露所有业务领域（消费者、企业和公共部门）中有关国家安全命令的详细信息。

·    We have atrack record of legal success. We have more experience than any other companygoing to court to establish the limits of government surveillance orders, andwe have even taken one case to the U.S. Supreme Court. Our efforts haveprovided customers with greater transparency and stronger protections. Nocommitment to challenge access orders can assure victory, but we feel goodabout our record of success to date.

·    我们拥有胜诉记录。在确保对政府监控命令限制方面，我们比任何其他公司拥有更加丰富的法庭经验，并且我们有一次诉讼提交至美国最高法院。我们努力为客户提供更大的透明度和更强的保护。我们不能保证质疑数据调取命令必然胜利，但是我们对至今所取得的成功感到满意。

Some of the public discussion about the impact of U.S. government data demands focuses on U.S.-headquartered companies. But it is clear that U.S. laws regarding government access to data apply to companiesthat do business in the U.S., even if they are headquartered in Europe orelsewhere.

关于美国政府数据要求影响的公开讨论集中在总部位于美国的各个公司，但实际上有关政府数据调取请求的法律也同样适用于仅在美国开展业务而其总部设置在欧洲或其他地区的公司。

Privacy is a core value for us at Microsoftbecause we believe people will only use technology if they can trust it. That’swhy we were the first cloud provider to work with European data protectionauthorities for approval of Europe’s model clauses, the first to adopt newtechnical standards for cloud privacy, and enthusiastic supporters of the GDPRsince it was first proposed in 2012. We have extended core rights under theGDPR to consumers around the world, and we have honored core rights of theCalifornia Consumer Privacy Act for all our consumers in the United States. Inaddition, we have launched the Tech Fit for Europe initiative to developdigital solutions based on European values and rules.

隐私对微软而言是核心价值，因为我们相信只有在人们信任技术的前提下才会使用技术。这也是我们为什么会成为第一家应对欧盟数据保护监管机构通过欧洲示范条款的云服务商，以及采用新的技术标准保障云隐私，以及在2012年GDPR首次提出后便热烈支持的原因所在。我们延伸了GDPR所赋予全球消费者的核心权利，并且也保障美国消费者在《加州隐私权法案》中的核心权利。除此之外，我们发起“欧洲技术创新计划”，以根据欧洲价值观和规则研发数字解决方案。

We hope the steps we have announced todaydemonstrate to our enterprise and public sector customers that we will go aboveand beyond the law to defend their data, and the data of their users.

我们希望今天宣布的措施能够想我们的公共部门和企业客户表明，微软将超越法律要求来保障他们及其用户的数据。

---

公号君一直非常关注数据跨境流动。对此议题，本公号曾发表的文章如下：

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过300人。关于DPO社群和沙龙更多的情况如下：

域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：

DPO线下沙龙的实录见：

传染病疫情防控与个人信息保护系列文章

美国电信行业涉及外国参与的安全审查系列文章

中国的网络安全审查系列文章：

自动驾驶系列文章：

欧盟“技术主权”进展跟踪系列文章：

数据安全法系列文章：

个人数据与域外国家安全审查系列文章

人脸识别系列文章：

围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：

供应链安全：

美国方面的个人信息保护立法：

中国个人信息保护立法系列文章

第29条工作组/EDPB关于GDPR的指导意见的翻译：

关于美国出口管制制度，本公号发表过系列文章：