结合欧盟SCCs及东盟MCCs谈《个人信息出境标准合同（征求意见稿）》

自2021年《数据安全法》及《个人信息保护法》生效以来，数据出境问题成为了数据领域备受讨论的课题之一。对于数据出境，人们的感性理解各不相同：有的人认为数据的跨境流动是完全自由的，只要在流动主体之间签署协议，即可在不同国家之间自由传输；有的人则认为数据的跨国流动是严格管控的，非经有权机关批准，一概不可出境。从促进贸易和全球经济交流的角度而言，人们渴望放之四海而皆准的数据跨境统一规则。
虽有诸如《区域全面经济伙伴关系协定》（RCEP）、《数字经济伙伴关系协定》（DEPA）等区域性协定的尝试，但放眼全球，与数据相关的理论研究及立法实践仍在进一步的探索、发展之中，各国因经济社会发展进程及产业结构构成不同，立法进度不一。对于数据跨境问题，现已进行立法的国家和地区基本采取了“管出不管进”的举措，即仅对于数据的流出进行立法管控，而对于数据流入不做限制。数据是否可以出境及出境需要满足的程序，主要取决于数据的类型、重要性（敏感程度）、体量等。
本文聚焦于中国数据立法框架下，企业拟采取签订标准合同以实现向境外传输可出境的个人数据的情形（即按照《个人信息保护法》第三十八条所规定的个人信息出境路径之一），结合欧盟及东盟所公布的个人信息跨境标准合同，就选取标准合同进行数据跨境流动产生的实务问题，分享我们对国家网信办于2022年6月30日发布的《个人信息出境标准合同规定（征求意见稿）》中的附件《个人信息出境标准合同（征求意见稿）》（下称“《标准合同（征求意见稿）》”）的解读。
一、标准合同国际实践聚焦
实践一：欧盟适用于国际传输的标准合同条款
Standards Contractual Clauses, 下称“SCCs”
欧盟于1995年发布的《数据保护指令》（Directive 95/46/EC）中便提出了标准合同适用于向数据保护水平未获充分认定的第三国传输个人数据的情形，并根据该指令先后形成过三套标准合同。经过十数年实践，2018年5月25日生效的《一般数据保护条例》（下称“GDPR”）取代了《数据保护指令》，根据GDPR第五章规定，若需向欧洲经济区之外的国家、地区传输个人数据，当地的数据接收者必须能确保充分的数据保护水平。为了满足此等充分保护水平的要求，GDPR规定根据第46(2)(c)条通过的标准数据保护条款，可以作为向第三国传输数据的依据之一。2021年6月4日，欧盟委员会据此批准通过了目前所适用的最新版SCCs。有鉴于GDPR的广泛管辖范围、高额罚款及欧盟自身举足轻重的国际地位，SCCs成为了迄今为止影响力最大的标准合同之一，也较为企业所熟知。
实践二：东盟跨境数据流示范合同条款
ASEAN Model Contractual Clauses for Cross Border Data Flows,下称“MCCs”
2021年1月22日，东盟的部长们批准了数据管理框架（下称“DMF”）和MCCs，旨在促进各类组织对数据的利用，降低协商和合规成本，同时确保跨境数据传输过程中的个人数据保护。DMF基于良好的管理实践和基本原则，为企业建立有效的数据管理系统提供分步指导，而MCCs则提供了合同条款的模板，以供在东盟成员国之间跨境传输个人数据的企业使用，企业也可以调整后将其用于东盟成员国以外。DMF和MCCs并非具有强制性，但是，东盟成员国鼓励其各自域内的企业遵守DMF和MCCs。
二、关键问题分享
问题一：是否可以对于标准合同进行自由修改？
文本的自由度与标准合同的“强制力”息息相关。
MCCs为个人数据传输活动提供“底线”指导，但不足以作为完全的合法性基础。有鉴于东盟成员国在数据保护方面的不同水平，各个东盟国家可能有更高要求的指南或模板，各成员国私营企业可自愿采用MCCs向其他东盟成员国传输个人数据，不具有强制性。另外，虽然MCCs设计的初衷是针对东盟内部的个人数据流动，但企业可自行决定对MCCs进行适当修改，用以将数据传输至东盟以外，文本自由度较高。

与之相对的，正因为SCCs属于GDPR项下的传输保障机制，为达到GDPR所要求的的充分保护水平的要求，SCCs第二条明确了标准合同条款的不可更改性，仅能视具体情况（例如数据控制者传输至数据处理者、数据控制者传输至数据处理者等）选择模块、增加/更新附件信息，自由度较低，更为“标准”。即使能够将SCCs中的条款纳入其他合同中、或增加其他条款和额外保障，其内容也不应与SCCs中所含条款相冲突，或损害数据主体的基本权利或自由。
而基于《个人信息保护法》第三十八条第三项的规定，中国国家网信部门制定的标准合同属于个人信息出境的一条路径。根据其文义，需要严格按照网信部门制定的标准合同进行签署，不得修改。另外，《标准合同（征求意见稿）》除了可以填入合同条款空缺的诸如传输目的、联系地址等内容之外，其附录二标题为“双方约定的其他条款 (如需要)：”，具有一定约定空间。虽然目前，《标准合同（征求意见稿）》第九条第一项规定为，如与已存协议发生冲突，则标准合同的条款优先适用。但其核心思想应当类似于SCCs，针对未来订立的合同等，可以增加额外条款及保障，但不得与标准条款相冲突。故我们理解，附录二中约定的内容应当不得与标准合同正文条款相矛盾。
问题二：同时签署《标准合同（征求意见稿）》及SCCs或/和MCCs，是否会带来冲突？
在集团公司正常开展业务的过程当中，极有可能涉及同一集团内部不同企业之间的数据融合，例如将不同子公司收集的底层数据主体的个人信息汇总至母公司，由母公司进行分析处理、构建用户画像，再将分析结果提供给子公司以开展营销推广活动。从集团的管理角度而言，大多数公司都是以业务类型为导向进行管理，而非以法人公司实体为管理分类基础，因此，数据在集团内部公司之间大量存在“不分你我”的共享情况，个人信息并非单向的由公司A向公司B传输，而是各主体之间视需要互通共享，双向流动。
就跨国公司而言，此类数据融合的问题会更加复杂，许多跨国企业选择通过签署各类标准合同的方式应对数据融合挑战。举例来说，某总部位于欧盟的跨国企业，就其向中国子公司提供个人信息的行为，选择与中国子公司签署SCCs，以确保满足GDPR有关个人信息向欧盟境外流动的合规要求。在看到《标准合同（征求意见稿）》与SCCs中皆有不得与两合同所含条款相冲突的条款后，企业担心，如未来希望通过签署中国版标准合同的途径进行个人信息出境，是否可能会与SCCs项下的义务产生冲突？
实际上，各标准合同规制的，都是产生、收集于其限定区域之内的个人信息向其限定区域之外流动的行为，即“出境”这个流向，而不涉及“入境”的内容。因此，各标准合同规制的内容及行为并无重叠，并不会形成冲突。

但这并非意味着数据跨境流动不存在冲突的可能，在全球跨境数据流动的统一规则尚未形成的情况下，具体可体现为与行为人有连接点的主体所在国的“长臂管辖”与行为人所在国的“属地管辖”或“属人管辖”发生冲突，一家公司同时受两国或多国法律规制。就此情形，我们于2021年9月发表的《多国重叠管辖下，数据跨境流动面临合规两难》一文中进行了论述。
问题三：各标准合同的合同各方都是哪些主体，是否类似？
三份标准合同主要从处理数据的主体的角度出发规定权利义务。
1. 中国《标准合同（征求意见稿）》规定：

2. SCCs以模块化形式，在约定了各种情形共同的权利义务之余，在合同各处标出每一具体情形对应模块所适用的合同条款，涉及“数据控制者”及“数据处理者”两类主体：

根据欧盟数据保护委员会于2021年7月7日发布的《GDPR下数据控制者及数据处理者概念的指南第二版》的解读[i]：
数据控制者（Controller）能够决定处理的某些关键因素。控制权可能来源于法律法规或者实际事实。原则上，对于构成控制者的主体类型并无限制，但在实践中，控制者通常是组织本身，而不是组织中的个人（如首席执行官、雇员或董事会成员）。处理活动应自然归属于某些主体（例如雇主之于雇员、发布者之于订阅者或其他社团之于其成员）。合同条款亦可用于确定控制者身份，尽管合同条款并非是决定性的因素。
数据处理者（Processor）则是代表控制者处理个人数据的自然人或法人、公共当局、机构或其他团体。如要构成处理者需符合两个基本条件：必须是独立于控制者的主体，并且代表控制者处理个人数据。
3. MCCs针对两种情形，设计了对应的两套合同文本以供使用，亦是涉及“数据控制者”及“数据处理者”：

MCCs正文并未对于两主体给出定义。相较于SCCs，MCCs所覆盖的情形更少，并不涉及数据处理者向外传输个人信息的情形。由于其本质上属于自愿选用的无强制力文本，作为参考使用的模板，可由企业根据自身所需及视所适用的国家法律的强制性规定调整。[ii]
问题四：各标准合同是否皆有针对获取底层数据主体同意的要求？
《标准合同（征求意见稿）》文本中对于“获取同意”的要求相对严苛，其第二条第二项体现了中国《个人信息保护法》中的单独同意、书面同意要求，并将获取同意明确为境内个人信息处理者的义务。
SCCs在合同正文中没有体现此要求，仅在再传输的情况下明确要求获取个人信息主体的同意。但根据GDPR第五章第四十四条，控制者和处理者只有在满足GDPR第五章及其他条款规定的情况下，才能将个人数据传输至第三国或国际组织。GDPR第六条“处理的合法性”包含获取数据主体同意、为履行合同所必要、服从法律义务等内容，各方跨境传输如无其他合法性依据，获取数据主体同意依旧是必备条件。
MCCs项下虽要求获取同意，但前提是有所适用的法律法规的强制性要求，如无，则仅需在合理可行的情况下获取同意。[iii]
问题五：《标准合同（征求意见稿）》中要求的个人信息保护影响评估是指什么？其他标准合同中是否有类似规定可供参考？个人信息保护影响评估与数据出境安全评估的关系为何？数据如要出境，是否两个评估都为必做项目？
1. 《标准合同（征求意见稿）》将个人信息保护影响评估内化为了个人信息处理者的合同义务
《标准合同（征求意见稿）》第二条第七项将《个人信息保护法》第五十五条及第五十六条对于个人信息保护影响评估的规定内化为了个人信息处理者的合同义务，并进一步细化了评估要求。
MCCs项下并无此类评估要求。SCCs虽在其合同正文中未含有此类要求，但这并不代表GDPR规则之下，涉及个人信息跨境传输无需进行评估。GDPR要求，数据控制者需就可能会对自然人的权利和自由造成高风险的项目开展数据保护影响评估（DPIA）。
2. 个人信息保护影响评估与数据出境安全评估为两个不同的评估

根据上图我们对于个人信息出境路径的简要总结可知，在出境情形下，除非法律法规另有规定，无论是否通过标准合同这一路径出境，都应当事前进行个人信息保护影响评估，并对处理情况进行记录。可以将个人信息保护影响评估理解为《个人信息保护法》第三十八条所规定的出境路径的共同前置条件。

根据上述《个人信息保护法》第三十八条，数据出境安全评估则是与和境外接收方订立标准合同所平行的出境路径。根据2022年7月7日国家网信办公布的《数据出境安全评估办法》（2022年9月1日起施行）。要求数据处理者有如下情况之一的，应当通过省级网信部门申报数据出境安全评估：
（一）数据处理者向境外提供重要数据；
（二）关键信息基础设施运营者和处理100万人以上个人信息的数据处理者向境外提供个人信息；
（三）自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者向境外提供个人信息；
（四）国家网信部门规定的其他需要申报数据出境安全评估的情形。
就评估内容而言，与个人信息保护影响评估肯定有部分重叠，但两者是两项独立的评估不可相互替代。
问题六：不同标准合同对于数据泄露事件的应对要求是否相同？

问题七：通过各标准合同，境外接收方是否可以再向境外第三方传输个人信息？
三份标准合同原则上不允许境外的数据接收方进行再传输，但规定了可再传输的有限例外情形，在例外情形之中体现了彼此的区别，总体来说，在其他出数据出境路径尚未完全落地的情况下，此稿《标准合同（征求意见稿）》体现了对境外接收方的较高的管控力度。
《标准合同（征求意见稿）》第三条第七项要求再传输前同时满足四大条件，确有业务需要、已告知此等再传输的细节并获取了适当的同意，与第三方达成书面协议（确保不低于中国的保护水平）并向个人信息处理者提供副本。
SCCs体现了其特色，例外情形包含——向充分性决定认定的国家传输，根据GDPR规定以其他方式确保了充分的保护水平，为行政、监管或司法程序所必须，或为了保护数据主体或另一自然人重大利益之必要。[iv]
MCCs则规定，在已书面形式通知数据控制者，并为其提供了反对的合理机会的情况下，可以进一步向第三方披露、传输数据，且需确保第三方遵循MCCs项下的数据保护义务。[v]
三、结语
SCCs、MCCs以及中国的标准合同，均是在国家或区域的数据立法框架下的制度延申，其签署必须立足于对数据出口国/地区法律的遵守和尊重。虽然此稿《标准合同（征求意见稿）》仍处于征求意见阶段，但基于上位法创建的下位制度，并不会有太大的改动空间。因此对于拟通过签署数据出境标准合同实现数据出境的企业，具有很强的方向性意义。除标准合同外，数据主体还可能通过国家网信部门组织的安全评估、经专业机构进行个人信息保护认证及其他法律法规所规定的路径实现数据出境。因为涉及到数据和个人信息安全，数据出境规则确实无可避免地成为一套复杂的规则。凡事预则立，跨国企业以及因跨境交易而涉及数据出境的内资企业，显然非常有必要根据自身业务类型和涉及到的数据类型，基于已有的法律法规及可预见的后续将出台的制度规则，对企业的数据出境路径加以规划并制定相应的行动计划。
[i]https://edpb.europa.eu/system/files/2021-07/eppb_guidelines_202007_controllerprocessor_final_en.pdf，最后访问时间2022年7月8日
[ii] 《东盟跨境数据流示范合同条款》
模板一：从控制者到处理者的数据传输合同
1.1“东盟法”：数据控制者或处理者（或者两者共同）应当遵守的东盟成员国关于数据保护的所有成文法（或至少为与个人数据有关的法律）。
2.1本合同项下收集、使用、披露、传输的个人数据符合所适用的东盟法之要求。在没有此类法律的情况下，如果合理可行，数据主体已获通知并取得了其对于个人数据收集、使用、披露、转让目的的同意。
[iii] 《东盟跨境数据流示范合同条款》
模板一：从控制者到处理者的数据传输合同
2.1 本合同项下收集、使用、披露、传输的个人数据符合所适用的东盟法之要求。在没有此类法律的情况下，如果合理可行，数据主体已获通知并取得了其对于个人数据收集、使用、披露、转让目的的同意。
[iv] 8.8 再传输
数据进口方只能根据数据出口方的书面指示向第三方披露个人数据。此外，只有在第三方受到或同意受到本条款适当模块的约束的情况下，才能向位于欧盟以外的第三方披露数据（在与数据进口方相同的国家或在另外的第三国，以下简称“再传输”）或者，数据进口方在下列情况下才能进行再传输：
(i) 再传输到一个受益于 (EU) 2016/679 号条例第45 条充分性决定的国家；
(ii) 第三方另外保证根据 (EU) 2016/679 号条例第46 或 47 条对有关处理行为采取适当的保障措施；
(iii) 在特定行政、监管或司法程序下，为确立、行使或维护合法诉求所必需；或者
(iv) 为保护数据主体或其他自然人的切身利益所必需。
只有在数据进口方遵守本条款下的所有其他保障措施，特别是目的限制的情况下，再传输才能进行。
[v] 《东盟跨境数据流示范合同条款》
模板一：从控制者到处理者的数据传输合同
3.2数据进口方不得将其从数据出口方收到的个人数据进一步披露或转让给其他自然人、执法机构或法人，包括子数据处理者，除非已将进一步披露或转让的情况以书面形式通知数据出口方，并为数据出口方提供了反对的合理机会。
3.3数据进口方同意，在将个人数据披露或转让给第三方（包括子数据处理者）之前，数据进口方应确保第三方遵守本合同项下的数据保护义务。