【研究报告】数据跨境治理国别规则（1）：欧盟

Original 梦溪拾笔数字治理全球洞察 2023-06-07

收录于合集

【代序】

当前数字经济蓬勃发展，特别在全球化浪潮下，世界各国都面对着一系列全新的治理挑战。无可否认，海量数据的处理与应用构成了新型数字经济样态存在与发展的关键性必要条件，时至今日，数据要素对于经济和社会发展变革有巨大驱动作用，数据作为基础性战略资源的论断已然成为国际社会的普遍共识，全球范围内的数据跨境流转利用成为各方高度关注的命题。

近年来，数据跨境流动的安全问题日益凸显。不可否认，数据治理问题本身具有非常复杂、宽广的视域，而系统检视这一问题、寻求应对方案的逻辑主线应当是新一代网络信息技术的发展态势以及与数据处理应用相伴随的机遇和风险类型考察。就此应当指出的是，一方面，围绕各类数据的利用，在以大数据、云计算、物联网以及人工智能等为代表的新一代信息技术的普及应用过程当中，人们不断拥抱更多的发展机遇；另一方面，围绕各类数据的保护，民众在快速数字化的环境中也持续面对来源更为广泛、程度更为深刻的安全风险。

主要的域外国家和发达地区高度关注在数字贸易领域建立国际规则的问题，对此已在其推动的多个经贸谈判中有所涉及，这也成为各个国家有关数据安全制度政策域外延伸的重要组成部分，构成企业跨国运营过程中需要持续跟进的核心因素。团队汇聚资深的理论和实务专家完成《数据跨境治理国别规则》研究报告，发布相关成果并会形成系列更新，以飨读者！（特别鸣谢北京大成律师事务所数字业务中心的协助支持。）

——吴沈括，北京师范大学法学院博士生导师、中国互联网协会研究中心副主任。

数据跨境治理国别规则（1）：欧盟

1.欧盟数据治理的规范框架1.1个人数据治理(1)《通用数据保护条例》(2)《欧洲议会和理事会2018/1725号条例》(3)《数据保护执法指令》(4)《电子隐私指令》和《电子隐私条例》草案1.2非个人数据治理(1)《非个人数据在欧盟境内自由流动框架条例》1.3其他(1)《网络安全法》(2)《数据治理法案》(3)《网络和信息系统安全令》(4)《数字服务法》(5)《数字市场法》(6)《数据法案》提案2.欧盟数据跨境的政策法规2.1《通用数据保护条例》2.2《欧洲议会和理事会2018/1725号条例》2.3《数据治理法案》2.4《数据法案（提案）》3.欧盟数据跨境的合规要求3.1个人数据跨境传输3.2非个人数据跨境传输4.欧盟数据跨境的实务案例4.1Schrems II案

1.欧盟数据治理的规范框架在欧盟，有关数据治理的政策规范框架主要覆盖数据和隐私的处理规则，其制度要点阐述如下：1.1个人数据治理(1)《通用数据保护条例》（General Data Protection Regulation）（以下简称“GDPR”）由欧洲议会和欧盟理事会制定并于2018年5月25日起实施。该条例在欧盟范围内对其成员国具有直接的约束力和适用性。GDPR规定了多种管辖权适用范围，明确了数据控制者、数据处理者的权利义务，以及数据主体权利和限制。同时明确了成员国向第三国的数据跨境传输机制，并设立欧盟数据保护委员会（EDPB）保证GDPR在各成员国间适用的一致性。(2)《欧洲议会和理事会2018/1725号条例》（Regulation 2018/1725）于2018年12月11日开始实施。该条例规定了适用于欧盟机构、机关、办事处和机构处理个人数据的规则，与GDPR共同推进欧盟地区的个人数据保护。(3)《数据保护执法指令》（The Data Protection Law Enforcement Directive）于2016年5月5日生效。该指令处理刑事执法部门为执法目的使用个人数据的规则，确保犯罪受害者、证人和嫌疑人的个人数据得到保护，并促进打击犯罪和恐怖主义的跨国合作。该指令本身属于一种对于欧盟成员国制定其国内法的指导性文件，并不具有约束力，各成员国将指令转化为本国法律后，即具有约束力。(4)《电子隐私指令》和《电子隐私条例》草案（E-Privacy Directive and E-Privacy Regulation）《电子隐私指令》于2002年7月31日生效，并在2009年经过一次修订。该指令规范了cookie的使用、电子邮件营销、数据缩小以及数据隐私的保护。该指令本身属于一种对于欧盟成员国制定其国内法的指导性文件，并不具有约束力，各成员国将指令转化为本国法律后，即具有约束力。《电子隐私条例》草案尚未正式通过。如正式通过后，需经2年的过渡期才能生效，同时《电子隐私指令》即被废除。生效后的草案在成员国之间具有约束力。草案是对GDPR的补充，补充保护了法人的权利，明确了自然人、法人适用条例的一致性。草案适用范围除了涵盖传统通讯服务提供商外，扩大到新兴即时电子通讯服务提供商，明确各主体的数据保护水平应一致。草案同时也简化了用户拒绝或同意cookie的流程，禁止接受者尚未同意的电子通信，如垃圾邮件、垃圾短信和电话营销。与GDPR相同，EDPB负责监督生效后的草案在成员国的落地执行。1.2非个人数据治理(1)《非个人数据在欧盟境内自由流动框架条例》（Regulation (EU) 2018/1807）于2019年5月28日生效。该条例首先明确了非个人数据的定义，其次通过禁止欧盟成员国的“数据本地化的要求”以及监督欧盟企业内部制定自我监管准则的方式使得数据在欧盟境内国与国之间、公司与公司之间可以自由流通。1.3其他(1)《网络安全法》（Cybersecurity Act）2019年6月27日起生效。该法将欧盟网络和信息安全署（ENISA）定位成欧盟永久性机构，并明确了ENISA的架构、职责和义务。同时，该法建立了欧洲网络安全认证框架，该框架为ICT产品、服务和流程提供认证服务。经过认证的企业的证书在欧盟范围内均有效。(2)《数据治理法案》（European Data Governance Act）（以下简称“DGA”）该法案于2022年6月3日在《欧盟官方公报》（the Official Journal of the European Union）上公布，并于2022年6月23日生效，经过15个月的过渡期后实施。DGA内容涵盖公共机构、民营公司和公民的数据，安全实现公共机构持有的敏感数据的共享并明确非公共机构对于数据共享的规范。(3)《网络和信息系统安全令》（NIS Directive）于2016年8月生效。该令规定了三个方面的内容：欧盟成员国需要具备国家网络安全能力，鼓励成员国之间合作分享网络安全信息，成员国需要对本国的重要领域的运营商的网络安全进行监督。该令同样属于一种指导性文件，并不具有约束力，各成员国将指令转化为本国法律后，即具有约束力。(4)《数字服务法》（Digital Services Act，Regulation (EU) 2022/2065）于2022年10月生效。该法明确了数据服务提供者的义务，提高平台收集信息透明度以打击非法内容、虚假信息的传播，并且确立了在线市场商业用户有可追溯性的义务识别非法销售的卖家并可对平台的审核决策进行质疑。(5)《数字市场法》（Digital Markets Act，Regulation (EU) 2022/1925）于2022年11月生效。该法明确了数字市场上占有主导性地位的“守门人”–大型网络平台的认定标准、需要承担的义务，以及违反该法的法律后果。(6)《数据法案（提案）》（Data Act: Proposal for a Regulation on harmonised rules on fair access to and use of data）（以下简称“Data Act”）该提案尚未通过。Data Act通过制定有关物联网（IoT）设备产生的数据的使用规则来确保各主体使用数据的公平性。2.欧盟数据跨境的政策法规以下主要的条例、法规构成了欧盟现行数据跨境治理的基本法律制度架构：2.1《通用数据保护条例》（General Data Protection Regulation）（以下简称“GDPR”）GDPR第五章对个人数据向欧盟以外的第三国或其他国际组织的传输设立了严格的标准。其中明确个人数据原则上不得向第三国或其他国际组织传输，除非通过“充分性认定”、“适当保障措施”或“例外豁免情形”三种合规路径之一进行，并列举了五种数据跨境传输工具也即适当保障措施，以确保个人数据出境后受到的保护水平不会被减损。2.2《欧洲议会和理事会2018/1725号条例》（Regulation 2018/1725）该条例侧重于规制处理个人数据的欧盟各类官方机构，其中第五章规定了个人数据向第三国传输的一般原则、具体规则、个人数据保护的国际合作机制。与GDPR相比，该条例将欧洲数据保护监管局（EDPS）设定为监管主体，扩展了规制个人数据跨境流动的监管机关，同时通过规定数据主体向EDPS投诉、向法院申请司法救济、获得赔偿等内容，进一步细化了责任承担制度。2.3《数据治理法案》（European Data Governance Act）（以下简称“DGA”）该法案创建了促进数据共享的流程和结构，并设专章规定了向第三国传输非个人数据的制度，要求符合条件的自然人或法人、数据中介服务提供商或受认可的数据利他主义组织应采取一切合理措施，确保非个人数据的跨境传输或政府访问不违反欧盟或者相关成员国的法律。DGA将第三国与欧盟之间存在已生效的国际协议或满足其他具体条件作为非个人数据向第三国传输的必要前提，且规定应根据请求只提供允许的最低数据量。2.4《数据法案（提案）》（Data Act: Proposal for a Regulation on harmonised rules on fair access to and use of data）（以下简称“Data Act”）该法案是对DGA的补充，明确了可以利用数据的主体与条件，并设专章规定了国际背景下的非个人数据保护。Data Act第七章对数据处理服务提供商向第三国传输非个人数据的要求与DGA基本一致。3.欧盟数据跨境的合规要求欧盟对数据跨境的规制可划分为两个板块：个人数据跨境和非个人数据跨境。前者主要集中于GDPR第五章和相关细则性规定中，后者则主要由《数据治理法案》《数据法案（提案）》进行了规制。3.1个人数据跨境传输GDPR第五章及相关细则性规定对于是否属于个人数据跨境传输，如何合规地进行个人数据跨境传输都予以了说明。(1)是否属于GDPR中个人数据跨境传输情形的判断数据传输的参与者首先需根据三个标准判断自身的数据传输行为是否符合GDPR项下的跨境传输：(i)适用GDPR第三条管辖范围规定的行为，都应当满足第五章关于数据跨境传输的规定；(ii)数据输出方通过传输或其他方式将其处理的个人数据提供给数据接收方，且传输只能由两个不同且独立的当事方（GDPR下的数据处理者/控制者）进行；(iii)数据接收方的地理位置位于欧盟以外的第三国或为国际组织。(2)如何合规地进行个人数据跨境传输GDPR明确个人数据原则上不得向第三国或其他国际组织传输，除非通过以下三种合规路径进行：(i)合规路径一：充分性认定国家或国际组织的数据保护水平经过欧盟的认可后，个人数据即可自由地从欧盟传输至该国家或国际组织。目前获得充分性认定的国家有14个：安道尔、阿根廷、加拿大（仅适用于商业机构）、法罗群岛、根西岛、以色列、马恩岛、泽西岛、新西兰、瑞士、乌拉圭、日本、韩国以及英国。中国不在此“白名单”中。(ii)合规路径二：适当保障措施GDPR提供了五种适当保障措施即数据传输工具，数据输出者可任选其一。需注意，依赖这五种数据跨境传输工具并不当然满足欧盟要求，欧盟法院更注重实质判断而非形式判断——若有需要，跨境数据传输主体还须进行额外尽职调查并采取适当的补充措施（详见4.1 Schrems II案）。五种数据跨境传输工具如下：(A)公共机构之间的协议或行政安排；(B)有约束力的企业规则（BCRs）；该项工具适用于跨国集团企业内部数据跨境传输，要求集团在欧盟境内设有实体并获得数据监管机构对于该规则的批准。BCRs需体现约束力、有效性、合作义务、处理和数据流动的描述、报告和记录变更的机制、数据保护措施这六个方面，并满足各项子要求。BCRs还应明确适用范围、第三人收益权利、提出申诉的权利、数据保护原则、可问责性、并保证控制者和处理者之间的《服务协议》需包含GDPR第28条规定的所有必要内容。(C)欧盟委员会通过或批准的标准合同条款（SCCs）；该项工具适用最为广泛，最新版也即第四版SCCs已于2021年6月4日发布，包含4节18项条款和3个附件，可被整合至数据跨境传输协议中，但签署时只能全部适用或全部不适用。一旦签署SCCs，数据保护的法定义务将转化为合同义务和违约责任，如果违反相关约定，则面临民事赔偿、行政处罚责任。(D)经数据监管机关批准的行为准则（Approved Codes of Conduct）；该项适用于行业或部门内部进行数据跨境传输。行为守则需由代表控制者或处理者类别的协会或其他机构编制，应当包括基本原则、权利和义务、在特定传输场景下的保证、对跨境传输的说明、应当遵循的数据保护原则的说明、问责措施、数据保护义务的隐私工作人员、培训计划、数据保护审计机制、处理守则变更的机制等多项内容，最终经所在成员国的主管机关批准后由欧盟委员会通过颁布实施法案的形式来认可。(E)基于经批准的认证机制进行传输（Approved Certification）。该项是一种较新的传输机制。认证的对象是第三国的数据接收方，认证过程应当自愿，要基于有约束力且可执行的审查方式，要具有约束性和可执行性的承诺，认证最终应当由经国家认可机构或主管的监管机构认证的认可机构根据认证标准进行检查而完成。(iii)合规路径三：克减情形该路径仅适用于路径一、二无法使用的情形，在符合以下情形之一可进行跨境数据传输：(A)获得数据主体的明示同意；(B)履行与数据主体间的合同需要；(C)为数据主体的利益而与其他主体缔结或履行合同的需要；(D)行使或抗辩法律主张；(E)跨境传输公共注册登记机构的部分数据以及保护数据主体或他人重大利益、公众利益的需要。3.2非个人数据跨境传输非个人数据跨境传输主要集中在《数据治理法案》《数据法案（提案）》中，后者补充和细化了前者关于非个人数据跨境传输的规定。(1)《数据治理法案》该法案规定只有在没有理由相信非个人数据集的集合会导致识别数据主体的情况下，非个人数据才能被传输。商业秘密等机密性信息应当在传输前被修改，以避免泄密。只有在为数据提供适当保障措施的情况下，由公共部门机构持有的非个人数据才能转移到第三国，并且要保证数据主体的数据权利可行使和有效的法律救济措施可采用。卫生、交通、能源、环境和金融等领域的具备高度敏感的非个人数据向第三国传输时，会被欧盟额外规定附加条件。此外该法第七章专门规定了非个人数据的跨境传输和访问，具体要求与下文《数据法案（提案）》所述一致。(2)《数据法案（提案）》该法案（提案）秉持了《数据治理法案》的原则，总体上限制非欧盟国家通过本土立法来获取欧盟境内非个人数据，并规定数据处理服务提供者在进行非个人数据跨境传输时要：(i)采取合同安排在内的一切技术、法律、组织措施确保非个人数据传输到第三国后仍符合欧盟相关要求；(ii)数据处理服务提供者收到第三国司法、行政等公共机关传输或允许访问在欧盟存储的非个人数据的要求，需第三国和欧盟具备相应的生效国际协议时才能依从，如不能则需满足以下三种情况之一方能依从：考虑第三国要求的理由、相称性和联系性；提出合理反对并经第三国审查；第三国已考虑了数据提供者的相关合法利益；(iii)传输或允许访问时需遵循最低数量原则；(iv)提前告知数据持有者，除非因执法要求而不必告知。4.欧盟数据跨境的实务案例4.1Schrems II案(1)案件简介受斯诺登“棱镜门”事件影响，奥地利人Schrems出于对美国政府威胁自身信息安全的担忧提起诉讼。该案后被移交至欧盟最高法院，后者在2015年10月裁定安全港协议无效，被称为Schrems I案。一年后，美国和欧盟政府推出了加强保护的隐私盾协议，在后者生效前，Facebook和其他公司转而遵守SCC。Schrems又对Facebook的SCC提起诉讼，审理期间隐私盾协议生效。爱尔兰高等法院将SCC合同条款和隐私盾协议的合法性问题提交给欧盟法院，此案被称为Schrems II案。(2)判决及分析Schrems II案中欧盟法院认为隐私盾协议不符合“基本等同标准”，判定其无效，但总体承认SCC的合法性。其判决中透露的要点如下：(i)确立了实质等同的审查标准。隐私盾协议本质上属于一种充分性认定，但仍在该案中以收集缺乏针对性、未提供行使诉权的独立法庭、未提供足够救济为由被判定无效。因此，数据跨境传输最本质的审查标准即是传输到第三国的个人数据所获得的保护水平是否与欧盟的保护水平实质等同。(ii)明确了进行个案审查。在明确审查标准基础上，数据跨境传输是否合规应个案考量，无论采取何种“适当保障措施”都要进行个案研判并保证提供与欧盟同等的数据保护水平。如不能满足，则需进行额外的补充措施。对于补充措施的判断和采取可按如下六个步骤进行：(A)了解您的传输；(B)确定您所依据的传输工具；(C)评估传输工具是否有效；(D)采取补充措施；(E)确定有效补充措施后的程序步骤；(F)以适当的时间间隔重新评估。

数据跨境治理国别规则研究课题组

吴沈括 北京师范大学法学院博士生导师、中国互联网协会研究中心副主任

蔡开明 北京大成律师事务所高级合伙人

朱碧云 北京大成律师事务所合伙人

阮东辉 北京大成律师事务所合伙人

孙鹏程 北京大成律师事务所合伙人（杭州）

赵中星 北京大成律师事务所合伙人

郭雪菲 北京大成律师事务所律师（上海）

— END —

图文编辑：北京师范大学佘政安

李光耀：过早翘起尾巴与美国对抗是中国厄运的开始！

谁会想到，裁员会裁到总编辑头上

太讽刺：搞宣传的，倒台了！

@所有人，今日起全部免费领取

现在有什么副业可以让人快速上岸? 可以试试这个行业，上岸其实不难!!

【研究报告】数据跨境治理国别规则（1）：欧盟

您可能也对以下帖子感兴趣

李光耀：过早翘起尾巴与美国对抗 是中国厄运的开始！

谁会想到，裁员会裁到总编辑头上

太讽刺：搞宣传的，倒台了！

@所有人，今日起全部免费领取

现在有什么副业可以让人快速上岸? 可以试试这个行业，上岸其实不难!!

生成图片，分享到微信朋友圈

【研究报告】数据跨境治理国别规则（1）：欧盟

您可能也对以下帖子感兴趣

李光耀：过早翘起尾巴与美国对抗是中国厄运的开始！