（来源：中伦视界，作者：高俊 周杨洁 田恩雅）
随着《数据安全法》《个人信息保护法》《数据出境安全评估办法》等多项数据保护法规相继出台，对于数据出境的监管体系正式形成。一般而言，数据出境监管要求主要分为两大类：第一类是基于拟向境外提供的数据类型对数据处理者提出的一般性监管要求，如对外提供重要数据、个人信息及特殊监管行业的数据需要履行相应的安全评估、签订标准合同、个人信息保护认证、履行行业监管要求等合规义务，第二类是基于特殊的数据出境场景对数据处理者提出的特殊性数据监管要求，如向外国司法或者执法机构提供存储于中华人民共和国境内的数据等涉及国际司法协助的，必须经我国主管机关批准。贸易全球化的加深使得跨境纠纷频发，中国当事人也越来越多地参与到国际仲裁与跨境诉讼之中。然而，目前对于在国际仲裁和域外诉讼场景下履行上述数据出境合规义务的具体审批程序并未出台较为明确的规定或指引，就此，我们结合近期帮助客户处理相关数据合规事宜的实践经验，分析、梳理跨境争议解决中的数据合规义务，以期能够为相关企业开展数据合规工作提供实务指引。本文主要梳理在参与境外国际仲裁、诉讼的场景下，当事人向外国仲裁机构、法院提供存储于境内的数据和个人信息是否需要经过主管机关的批准、需要向哪些主管机关申请批准、以及自申请到最终获得批复需要多长时间等问题。
一、国际仲裁中的资料提交涉及一般性的数据出境合规义务
一些参与国际仲裁的当事人往往由于主体性质的特殊性，比如一些国企性质的当事人，本着谨慎原则，认为向境外仲裁机构提供证据，包括证据开示环节的资料提供，均属于需要向主管机关获得批准的事项范畴。仲裁机构一般具有独立性和非行政性，《中华人民共和国仲裁法》的第八条规定：“仲裁依法独立进行，不受行政机关、社会团体和个人的干涉”，第十四条规定：“仲裁委员会独立于行政机关，与行政机关没有隶属关系。仲裁委员会之间也没有隶属关系”，强调了我国仲裁机构的独立性和非行政性。境外的仲裁机构的性质也大多为具有独立性和非行政性的公司，例如香港国际仲裁中心为根据香港法律成立的非牟利担保有限公司、新加坡国际仲裁中心为根据新加坡共和国公司法成立的有限（担保）责任公司，伦敦国际仲裁院、美国仲裁协会均为有限责任公司等，并且境外许多司法管辖区域的法律也都明确了仲裁机构的独立性和非行政性。虽然各国仲裁机构的组织形式各异，但仲裁庭的权力来源实质上是双方当事人合同中约定的仲裁条款所授予的管辖权，且仲裁机构独立于行政机关和司法机关，与行政机关和司法机关之间没有隶属关系。也即，境外仲裁机构并不属于《数据安全法》第三十六条、《个人信息保护法》第四十一条项下规定的“外国司法或者执法机构”。因此，根本而言，特殊数据出境的监管要求主要关注最终的接收主体是否为外国司法或者执法机构，如不属于这类具有行政性或享有司法权力的机构，向其提供证据一般不涉及司法协助或其他需要向网信部门以外的主管机关报批的合规义务。不过，由于在国际仲裁中难免需要向设立在境外的仲裁机构以及当事人提供证据等资料，属于数据出境的行为，因此在准备国际仲裁的案件时仍然有必要聘请中国律师，由其在收集整理相关资料的基础上评估是否受限于一般性的数据出境监管要求，如是否属于需要进行数据出境安全评估申报的情形：（一）向境外提供重要数据；（二）关键信息基础设施运营者和处理100万人以上个人信息的数据处理者向境外提供个人信息；（三）自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者向境外提供个人信息；（四）国家网信部门规定的其他需要申报数据出境安全评估的情形。[1]如需要经过数据出境安全评估，根据《数据出境安全评估申报指南（第一版）》，企业自申报安全评估自之日至收到最终评估结果，一般需5+7+45+n个工作日，具体如下：省级网信部门查验材料完备性需5个工作日，国家级审查申报材料齐备并确定受理安全评估申请需7个工作日，确定受理后进行实质审查，需45个工作日，如网信部门发现提交的申报材料不符合要求或者涉及复杂情况，需要进一步补充或更正的，可以延长审批时间并书面告知，因此整个流程通常为三个月。我们了解到，目前部分企业仍然存在先行将相关数据传输出境再向相关部门申报评估、甚至直接将相关数据传输出境而且事前或事后均未开展评估申报的现象，且通过公开渠道检索，并未发现此类操作一概受到相关监管部门处罚。不过，在“过渡期”后，即2023年3月1日后，此类操作的合规风险敞口将显著增大。二、国际诉讼中的证据提交涉及特殊性的数据出境合规义务
在国际诉讼的场景下，根据《数据安全法》第三十六条、《个人信息保护法》第四十一条以及《国际民商事司法协助常见问题解答》第8、9项问题的答复，非经中华人民共和国主管机关批准，个人信息处理者不得向外国司法或者执法机构提供存储于中华人民共和国境内的数据（包括个人信息），也即当企业作为诉讼案件的一方当事人，不论是自愿向外国法院及对方当事人提供证据，或者被外国法院要求提供位于中国境内的证据，均需要经过特殊的程序征得主管机关的同意。
根据我们的实践经验，拟向境外提供证据的当事人在履行本项合规义务时，应首先结合案情和证据开示的要求，收集整理证据，并请中国律师对证据进行初步审核，审核时需要考虑证据的相关性、是否涉及个人信息/重要数据/国家秘密等，如有，进行遮挡处理；其次，须作为申请方，向司法部司法协助交流中心提出申请，司法部司法协助交流中心收到申请材料后，将会同最高人民法院、网信办、业务主管部门等对拟出境证据进行审核。也即，申请方无需单独向网信办申请；审核通过后，司法部司法协助交流中心将会为申请方出具批文，此后申请方可以办理出境事宜。司法部会同其他部门的审查无固定的完成时限，一般情况下是一到三个月。其中不含当事人收集整理证据、中国律师审阅证据、当事人向境外进行数据传输所需的时间。综上，企业在面临跨境争议解决时，不论作为发起方或是应对方，均需在明确境内数据出境的相关合规监管义务基础上，提前规划证据的合规出境及境外法律程序的应对事宜。
注：[1] 请参见《数据出境安全评估办法》第四条。