编者按
当前国际政治经济形势复杂多变，为顺应经济全球化趋势和促进世界经济复苏，我国日趋强化的企业涉外业务监管力度，涉外业务合规已成为企业塑造国际竞争力的重要方面，其涉及内容纷繁复杂，其中跨境贸易合规、跨境投资合规以及个人信息跨境合规是各企业开展涉外业务普遍关注的领域。为此本文将带领读者把握企业跨境贸易合规重点关注内容、企业开展跨境投资所面临的监管要求以及有效合规地开展个人信息跨境传输方式，帮助企业识别与防范相关风险，使企业在复杂的国际形势下顺利开展涉外业务。
一、跨境贸易合规“三大关注”
（一）美国出口管制与经济制裁监管趋势
随着中美摩擦、俄乌冲突等不稳定因素的存在，美国出口管制与经济制裁监管呈现更加严格的趋势：
截至目前，美国对俄罗斯重点制裁行业包括武器及相关材料、国防及相关材料；能源、金属矿产、工程；科技、电子、量子计算；金融服务、会计、信托、公司组建服务、管理咨询；海事、原油航运、铁路、航空、管道（能源出口）。
与此同时，中国关键技术领域发展面临美国政治封锁，2022年2月8日美国白宫国家科学技术委员会公布的最新版《关键和新兴技术清单》中提到19种关键和新兴技术，包括通信与网络技术、先进制造等，对我国关键技术发展造成极大阻碍。
在出口管制与经济制裁监管层面，最新执法动态为“长沙天仪被列入SDN清单”以及“美国对华为供应商希捷处以3亿美元高额罚款”。前者交易中，长沙天仪的直接交易对象为俄方科技企业Terra Tech，而Terra Tech为直接向瓦格纳集团这一美国重点制裁对象提供帮助的实体。本案中，OFAC所谓的“帮助链条”更长，风险延展更远，即使长沙天仪可能事前并未穿透交易的最终对象，其在主观上不一定明知交易风险，也仍然被OFAC认定为构成“实质性帮助”。
（二）美国出口管制与经济制裁制度解析
1、出口管制与经济制裁异同
美国出口管制与经济制裁存在重合部分，但二者也存在较为明显的区别：
① 执行机构不同，出口管制执行机构为美国商务部，经济制裁执行机构则为美国财政部；
② 规制目标不同，前者旨在维护国家安全、外交和经济利益；而后者旨在制裁恐怖分子、国际贩毒者、从事与大规模毁灭性武器相关的活动等；
③ 规制对象不同，前者规制出口、再出口行为；而后者主要规制贸易、金融、投资、旅游、运输等多种行为；
④ 规制范围不同，出口管制规制所有国家/地区和名单内的实体及个人；而经济制裁规制被制裁国家或地区和名单内的实体及个人；
⑤ 法律依据不同，前者主要依据《出口管制条例》以及《武器国际运输条例》；后者主要依据总统令以及制裁法规。
与此同时，出口管制监管框架以“受EAR管辖的物项”为核心概念，具体包括原产于美国或在美国境内的物项（分为一般受控物项与一般非受控物项）以及外国产品（分为包含有超过特定比例且需要许可证的美国来源成分与某些基于美国技术所直接生产的外国产品）。
相比之下，经济制裁主要分为一级制裁要求与二级制裁要求，前者主要包括全面制裁（伊朗、朝鲜、古巴、叙利亚、克里米亚地区）与有限制裁（俄罗斯、委内瑞拉、苏丹）以及基于清单制裁；后者主要包括行业制裁（伊朗、俄罗斯、朝鲜）以及基于清单制裁。
2、企业合规三步走
① 开展合规审查，明确产品信息是否涉及美国受控物项，与出口商确认自美国采购的产品、技术和软件是否属于受控物项；通过“综合查询链接”确认交易主体、结算银行是否属于美国黑名单实体；在物流信息方面，明治交易涉及敏感国家时暂停交易，并报国际法务部进行风险评估；在结算方式方面，在俄罗斯业务中避免美元交易，并不得采用受制裁银行进行结算。
② 交易条款设计，通过合理设计，明确“陈述与保证条款”、“定义”条款以及“违约责任”条款等关键内容。
③ 合规支持，企业需持续关注美国相关政策变化，跟踪最新执法案例，提高风险合规意识，并加强合规落地措施，例如通过IT嵌入黑名单筛查工作，开展日常合规咨询等工作。
（三）跨境电商海关合规要点
1、广告营销
跨境电商在广告营销场景下主要面临着地域风险与行业风险。
地域风险层面，以美国为例，联邦贸易委员会对于广告内容及形式等各方面都出台较多法规，整体而言合规要求较为严格；
而在行业风险层面，金融产品和服务、保健和药物等产品的广告还可能有行业相关的额外限制，如根据美国食品药品监督管理局的要求，对于特殊医疗器械，如果广告中未包含设备预期用途和相关警告、预防措施、副作用和禁忌症的简要说明，则为虚假标记的广告，或将受到罚款、要求下价等行政处罚。
2、消费者权益保护
本部分以亚马逊起诉“刷单炒信”中国服务商为例，亚马逊在中国对5家涉嫌提供“刷单炒信”的服务商及相关个人提起民事诉讼，此次被起诉服务商涉嫌的非法行为包括：以虚假交易形式或者操控亚马逊买家账号的方式为卖家虚增产品销量、诱导消费者在亚马逊上提交虚假好评、恶意提高商品搜索结果排名等。
此前，2022年，亚马逊也曾在全球范围内对多家涉嫌“刷单炒信”的服务商、社交网络群组等提起诉讼，包括Rebatest等。
3、走私/海关
跨境电商海关合规风险主要包括“刷单走私”以及“推单走私”，前者是指通过非法形式利用个人购买额度，以伪造单证（订单、支付单和物流单）等方式，将应当以一般贸易进口的货物拆分、伪报成跨境电商零售进口商品走私入境，以享受跨境电商销售进口商品的优惠税率；而后者则是目前相当一部分电商企业因为种种原因，没有入驻大型海关注册的跨境电商平台，无法依据海关监管要求向其推送“三单”，因此需要在形成交易后与海关注册平台进行合作，享受电商进口税收优惠，在推单行为中，消费者信息真实，国内交易行为真实，且交易商品未用于二次销售，但是交易本身并未在海关监管的电商平台内形成，属于灰色领域，具有一定合规风险。
4、保税仓货物管理
保税仓内货物账目变动并非单纯商业问题，货物进出库和进出境直接关系到关税和其他进出口关节税收监管，一旦发生较大差额的货物盘盈（亏）且无法合理解释的，将有可能招致海关行政处罚。
货物毁损灭失未及时补缴税款可能会导致海关对跨境电商企业税收合规性进行审查，在保税仓内存有货物的企业在遇到货物毁损蔑视的情形时需要确定造成该情况的原因是否属于不可抗力范畴，并向主管海关申请核实，以免造成漏补缴税款的风险。
二、跨境投资合规“三件套”
（一）国家安全审查——以美国为例
美国国家安全审查由美国外资投资委员会（CFIUS）负责开展，审查范围包括：
① 外国人对美国国美工商业活动的控制程度；
② 该交易对美国关键技术的潜在国家安全影响；
③ 目标国家在反恐合作中与美国的关系；
④ 目标国家对条约和多边供应准则等制度的遵守情况
⑤ 该交易适用于转移或转运军事应用技术的可能性；
⑥ 交易对美国关涉国家安全领域的技术领导地位的潜在影响；
⑦ 交易对美国关键基础设施的潜在国家安全影响；
⑧ 该交易是否被外国政府控制；
⑨ 美国对能源、重要资源原材料的长期需求预测；
⑩ 总统或CFIUS委员会认为应当考虑的其他因素。
为此，企业需要提前做好CFIUS评估，若经评估无法排除CFIUS审查风险，交易参与方主动进行简易申报不失为一种选择，以最大程度避免时候强制剥离对交易主体造成巨大的损失。同时在尽职调查和交易设计时充分考虑CFIUS影响，并关注公司中潜在的CFIUS连接点，如标的公司、投资者、投资者对标的公司的控制或施加重要影响的能力。
（二）境外反垄断合规
经营者集中是指经营者通过合并、资产购买、股份购买、合同约定（合营、联营）、人事安排、技术控制等方式取得对其他经营者的控制权或者能够对其他经营者施加决定性影响的情形。不同法域触发经营者集中申报的的机制不同，在大多数重要司法辖区内，若一项交易被认定为“集中”，且参与集中的相关方营业额、资产或市场份额达到一定标准，或交易规模达到一定标准，则该项交易进行申报。一般而言，营业额、资产、市场份额均以集团为单位计算。
近年来，各司法下去对达到申报门槛的交易未进行申报或者实施“抢跑”的行为处罚力度呈现出加大趋势，对企业涉嫌违反竞争法问题的调查会使企业承受巨额行政性支出和声誉损失，并对企业经营产生长达多年的负面影响。
因此，若企业涉及合并、资产购买、股份购买、设立合营企业等交易时，尽早引入反垄断律师，对交易进行评估，考虑是否需要在全球范围内的适用法域进行申报，同时单独聘请律师事务所统筹协调全部申报，高效利用重复要求提供的信息以及实质性竞争分析。
（三）欧盟反补贴合规
欧盟外国补贴条例已于2023年1月12日生效，旨在防止外国补贴扭曲欧盟市场，主要由集中申报、参与公共采购申报以及事后审查机制构成。其对与集中申报的特殊信息披露要求主要包括：集中、所有权和控制的详细信息；三年内外国财务支持清单；集中涉及的财务支持对欧盟内部市场的影响以及财务支持可能带来的积极影响。
所谓外国补贴是指非欧盟国家直接或间接向在欧盟从事经营活动的经营者提供的使其能够获益的具有一定专向性的“财务支持”，根据规定，中国国有企业、中国国有商业银行的商业贷款、政府特殊优惠政策、中国国有企业投资行为以及中国政策性银行贷款都有可能构成欧盟外国补贴条例项下所规定的外国补贴。
三、个人信息跨境合规“三驾马车”
个人信息跨境合规由数据出境安全评估、个人信息保护认证、个人信息出境标准合同“三驾马车”构成。
其中认证机制更适合各方关系稳定的企业集团或业务合作关系，容易达成认证所需要的协议、组织设置、统一数据处理规则等要求，例如：跨国集团公司内部在多个国家设有实体，各个实体内部的跨境个人信息流动；或者生态式的业务合作，如平台提供的各项服务基本是由固定的合作伙伴提供，此时平台会与合作伙伴有固定的数据交互，其中涉及跨境个人信息流动。
在标准合同层面，中欧数据出境标准合同存在不同：
首先，角色划分机制不同，欧盟区分为数据控制者与数据处理者，而中国标准合同机制就个人信息跨境场景下数据出境方与境外接收方在数据处理活动中的角色仅进行了部分区分，特别是对于出境端，仅适用于数据出境方为“个人信息处理者”的情况。而在境外数据接收方义务方面，中国标准合同区分境外接收方的不同角色，即个人信息处理者或受托处理者，合规义务有所不同。
其次，合同条款与备案机制不同，欧盟允许双方对SCC进行个性化修订且并无备案要求，而中国标准合同则不可更改，且应在标准合同生效后10日内向网信部门备案。
再次，数据接收方所在法域政策评估不同，欧盟规定缔约方应保证其没有理由相信数据接收方所在法域的法律法规、政策等会影响合同履行，同时受SchremsⅡ案件影响，还应通过TIA评估相关法律法规对于合同有效性的影响；中国则规定双方应当保证在合同订立时应尽到注意义务，未发现境外接收方所在国家或地区的个人信息保护政策和法规影响境外接收方履行本合同约定的义务，境外接收方所在国家或地区的个人信息保护政策和法规发生变化等可能影响个人信息权益的，应重新开展PIA，重新签署协议补充签署，并备案。
复次，数据接收方所在法域执法应对不同，欧盟采取“通知+应对”模式，而中国则采用“通知”模式。
最后，境外管辖权限制不同，中国标准合同该规定受中华人民共和国相关法律法规管辖；欧盟规定，在C-C、C-P、P-P模式下，合同应受特定欧盟成员法律管辖，争议解决应选择欧盟成员国法院受理；在P-C模式下，缔约方协商一致可选择欧盟成员国以外的法律进行管辖，但该等选择不应减损数据主体的权利，缔约方协商一致可选择欧盟成员国以外司法辖区的法院。
四、总结
数据出境合规遵循“七步走”：
① 梳理现有业务场景下的所有数据出境场景；
② 选择适用的数据跨境传输机制；
③ 依据所触发的机制，制定数据跨境传输合规整改计划表；
④ 履行通用数据跨境传输事前合规义务；
⑤ 如适用签订标准合同机制，应尽快开展谈判与洽谈工作；
⑥ 向网信部门备案；
⑦ 持续追踪与监督，并积极相应个人信息主体权利。
当前国际政治经济形势复杂多变，为顺应经济全球化趋势和促进世界经济复苏，我国日趋强化的企业涉外业务监管力度，涉外业务合规已成为企业塑造国际竞争力的重要方面，其涉及内容纷繁复杂，其中跨境贸易合规、跨境投资合规以及个人信息跨境合规是各企业开展涉外业务普遍关注的领域。为此本文将带领读者把握企业跨境贸易合规重点关注内容、企业开展跨境投资所面临的监管要求以及有效合规地开展个人信息跨境传输方式，帮助企业识别与防范相关风险，使企业在复杂的国际形势下顺利开展涉外业务。
一、跨境贸易合规“三大关注”
（一）美国出口管制与经济制裁监管趋势
随着中美摩擦、俄乌冲突等不稳定因素的存在，美国出口管制与经济制裁监管呈现更加严格的趋势：
截至目前，美国对俄罗斯重点制裁行业包括武器及相关材料、国防及相关材料；能源、金属矿产、工程；科技、电子、量子计算；金融服务、会计、信托、公司组建服务、管理咨询；海事、原油航运、铁路、航空、管道（能源出口）。
与此同时，中国关键技术领域发展面临美国政治封锁，2022年2月8日美国白宫国家科学技术委员会公布的最新版《关键和新兴技术清单》中提到19种关键和新兴技术，包括通信与网络技术、先进制造等，对我国关键技术发展造成极大阻碍。
在出口管制与经济制裁监管层面，最新执法动态为“长沙天仪被列入SDN清单”以及“美国对华为供应商希捷处以3亿美元高额罚款”。前者交易中，长沙天仪的直接交易对象为俄方科技企业Terra Tech，而Terra Tech为直接向瓦格纳集团这一美国重点制裁对象提供帮助的实体。本案中，OFAC所谓的“帮助链条”更长，风险延展更远，即使长沙天仪可能事前并未穿透交易的最终对象，其在主观上不一定明知交易风险，也仍然被OFAC认定为构成“实质性帮助”。
（二）美国出口管制与经济制裁制度解析
1、出口管制与经济制裁异同
美国出口管制与经济制裁存在重合部分，但二者也存在较为明显的区别：
① 执行机构不同，出口管制执行机构为美国商务部，经济制裁执行机构则为美国财政部；
② 规制目标不同，前者旨在维护国家安全、外交和经济利益；而后者旨在制裁恐怖分子、国际贩毒者、从事与大规模毁灭性武器相关的活动等；
③ 规制对象不同，前者规制出口、再出口行为；而后者主要规制贸易、金融、投资、旅游、运输等多种行为；
④ 规制范围不同，出口管制规制所有国家/地区和名单内的实体及个人；而经济制裁规制被制裁国家或地区和名单内的实体及个人；
⑤ 法律依据不同，前者主要依据《出口管制条例》以及《武器国际运输条例》；后者主要依据总统令以及制裁法规。
与此同时，出口管制监管框架以“受EAR管辖的物项”为核心概念，具体包括原产于美国或在美国境内的物项（分为一般受控物项与一般非受控物项）以及外国产品（分为包含有超过特定比例且需要许可证的美国来源成分与某些基于美国技术所直接生产的外国产品）。
相比之下，经济制裁主要分为一级制裁要求与二级制裁要求，前者主要包括全面制裁（伊朗、朝鲜、古巴、叙利亚、克里米亚地区）与有限制裁（俄罗斯、委内瑞拉、苏丹）以及基于清单制裁；后者主要包括行业制裁（伊朗、俄罗斯、朝鲜）以及基于清单制裁。
2、企业合规三步走
① 开展合规审查，明确产品信息是否涉及美国受控物项，与出口商确认自美国采购的产品、技术和软件是否属于受控物项；通过“综合查询链接”确认交易主体、结算银行是否属于美国黑名单实体；在物流信息方面，明治交易涉及敏感国家时暂停交易，并报国际法务部进行风险评估；在结算方式方面，在俄罗斯业务中避免美元交易，并不得采用受制裁银行进行结算。
② 交易条款设计，通过合理设计，明确“陈述与保证条款”、“定义”条款以及“违约责任”条款等关键内容。
③ 合规支持，企业需持续关注美国相关政策变化，跟踪最新执法案例，提高风险合规意识，并加强合规落地措施，例如通过IT嵌入黑名单筛查工作，开展日常合规咨询等工作。
（三）跨境电商海关合规要点
1、广告营销
跨境电商在广告营销场景下主要面临着地域风险与行业风险。
地域风险层面，以美国为例，联邦贸易委员会对于广告内容及形式等各方面都出台较多法规，整体而言合规要求较为严格；
而在行业风险层面，金融产品和服务、保健和药物等产品的广告还可能有行业相关的额外限制，如根据美国食品药品监督管理局的要求，对于特殊医疗器械，如果广告中未包含设备预期用途和相关警告、预防措施、副作用和禁忌症的简要说明，则为虚假标记的广告，或将受到罚款、要求下价等行政处罚。
2、消费者权益保护
本部分以亚马逊起诉“刷单炒信”中国服务商为例，亚马逊在中国对5家涉嫌提供“刷单炒信”的服务商及相关个人提起民事诉讼，此次被起诉服务商涉嫌的非法行为包括：以虚假交易形式或者操控亚马逊买家账号的方式为卖家虚增产品销量、诱导消费者在亚马逊上提交虚假好评、恶意提高商品搜索结果排名等。
此前，2022年，亚马逊也曾在全球范围内对多家涉嫌“刷单炒信”的服务商、社交网络群组等提起诉讼，包括Rebatest等。
3、走私/海关
跨境电商海关合规风险主要包括“刷单走私”以及“推单走私”，前者是指通过非法形式利用个人购买额度，以伪造单证（订单、支付单和物流单）等方式，将应当以一般贸易进口的货物拆分、伪报成跨境电商零售进口商品走私入境，以享受跨境电商销售进口商品的优惠税率；而后者则是目前相当一部分电商企业因为种种原因，没有入驻大型海关注册的跨境电商平台，无法依据海关监管要求向其推送“三单”，因此需要在形成交易后与海关注册平台进行合作，享受电商进口税收优惠，在推单行为中，消费者信息真实，国内交易行为真实，且交易商品未用于二次销售，但是交易本身并未在海关监管的电商平台内形成，属于灰色领域，具有一定合规风险。
4、保税仓货物管理
保税仓内货物账目变动并非单纯商业问题，货物进出库和进出境直接关系到关税和其他进出口关节税收监管，一旦发生较大差额的货物盘盈（亏）且无法合理解释的，将有可能招致海关行政处罚。
货物毁损灭失未及时补缴税款可能会导致海关对跨境电商企业税收合规性进行审查，在保税仓内存有货物的企业在遇到货物毁损蔑视的情形时需要确定造成该情况的原因是否属于不可抗力范畴，并向主管海关申请核实，以免造成漏补缴税款的风险。
二、跨境投资合规“三件套”
（一）国家安全审查——以美国为例
美国国家安全审查由美国外资投资委员会（CFIUS）负责开展，审查范围包括：
① 外国人对美国国美工商业活动的控制程度；
② 该交易对美国关键技术的潜在国家安全影响；
③ 目标国家在反恐合作中与美国的关系；
④ 目标国家对条约和多边供应准则等制度的遵守情况
⑤ 该交易适用于转移或转运军事应用技术的可能性；
⑥ 交易对美国关涉国家安全领域的技术领导地位的潜在影响；
⑦ 交易对美国关键基础设施的潜在国家安全影响；
⑧ 该交易是否被外国政府控制；
⑨ 美国对能源、重要资源原材料的长期需求预测；
⑩ 总统或CFIUS委员会认为应当考虑的其他因素。
为此，企业需要提前做好CFIUS评估，若经评估无法排除CFIUS审查风险，交易参与方主动进行简易申报不失为一种选择，以最大程度避免时候强制剥离对交易主体造成巨大的损失。同时在尽职调查和交易设计时充分考虑CFIUS影响，并关注公司中潜在的CFIUS连接点，如标的公司、投资者、投资者对标的公司的控制或施加重要影响的能力。
（二）境外反垄断合规
经营者集中是指经营者通过合并、资产购买、股份购买、合同约定（合营、联营）、人事安排、技术控制等方式取得对其他经营者的控制权或者能够对其他经营者施加决定性影响的情形。不同法域触发经营者集中申报的的机制不同，在大多数重要司法辖区内，若一项交易被认定为“集中”，且参与集中的相关方营业额、资产或市场份额达到一定标准，或交易规模达到一定标准，则该项交易进行申报。一般而言，营业额、资产、市场份额均以集团为单位计算。
近年来，各司法下去对达到申报门槛的交易未进行申报或者实施“抢跑”的行为处罚力度呈现出加大趋势，对企业涉嫌违反竞争法问题的调查会使企业承受巨额行政性支出和声誉损失，并对企业经营产生长达多年的负面影响。
因此，若企业涉及合并、资产购买、股份购买、设立合营企业等交易时，尽早引入反垄断律师，对交易进行评估，考虑是否需要在全球范围内的适用法域进行申报，同时单独聘请律师事务所统筹协调全部申报，高效利用重复要求提供的信息以及实质性竞争分析。
（三）欧盟反补贴合规
欧盟外国补贴条例已于2023年1月12日生效，旨在防止外国补贴扭曲欧盟市场，主要由集中申报、参与公共采购申报以及事后审查机制构成。其对与集中申报的特殊信息披露要求主要包括：集中、所有权和控制的详细信息；三年内外国财务支持清单；集中涉及的财务支持对欧盟内部市场的影响以及财务支持可能带来的积极影响。
所谓外国补贴是指非欧盟国家直接或间接向在欧盟从事经营活动的经营者提供的使其能够获益的具有一定专向性的“财务支持”，根据规定，中国国有企业、中国国有商业银行的商业贷款、政府特殊优惠政策、中国国有企业投资行为以及中国政策性银行贷款都有可能构成欧盟外国补贴条例项下所规定的外国补贴。
三、个人信息跨境合规“三驾马车”
个人信息跨境合规由数据出境安全评估、个人信息保护认证、个人信息出境标准合同“三驾马车”构成。
其中认证机制更适合各方关系稳定的企业集团或业务合作关系，容易达成认证所需要的协议、组织设置、统一数据处理规则等要求，例如：跨国集团公司内部在多个国家设有实体，各个实体内部的跨境个人信息流动；或者生态式的业务合作，如平台提供的各项服务基本是由固定的合作伙伴提供，此时平台会与合作伙伴有固定的数据交互，其中涉及跨境个人信息流动。
在标准合同层面，中欧数据出境标准合同存在不同：
首先，角色划分机制不同，欧盟区分为数据控制者与数据处理者，而中国标准合同机制就个人信息跨境场景下数据出境方与境外接收方在数据处理活动中的角色仅进行了部分区分，特别是对于出境端，仅适用于数据出境方为“个人信息处理者”的情况。而在境外数据接收方义务方面，中国标准合同区分境外接收方的不同角色，即个人信息处理者或受托处理者，合规义务有所不同。
其次，合同条款与备案机制不同，欧盟允许双方对SCC进行个性化修订且并无备案要求，而中国标准合同则不可更改，且应在标准合同生效后10日内向网信部门备案。
再次，数据接收方所在法域政策评估不同，欧盟规定缔约方应保证其没有理由相信数据接收方所在法域的法律法规、政策等会影响合同履行，同时受SchremsⅡ案件影响，还应通过TIA评估相关法律法规对于合同有效性的影响；中国则规定双方应当保证在合同订立时应尽到注意义务，未发现境外接收方所在国家或地区的个人信息保护政策和法规影响境外接收方履行本合同约定的义务，境外接收方所在国家或地区的个人信息保护政策和法规发生变化等可能影响个人信息权益的，应重新开展PIA，重新签署协议补充签署，并备案。
复次，数据接收方所在法域执法应对不同，欧盟采取“通知+应对”模式，而中国则采用“通知”模式。
最后，境外管辖权限制不同，中国标准合同该规定受中华人民共和国相关法律法规管辖；欧盟规定，在C-C、C-P、P-P模式下，合同应受特定欧盟成员法律管辖，争议解决应选择欧盟成员国法院受理；在P-C模式下，缔约方协商一致可选择欧盟成员国以外的法律进行管辖，但该等选择不应减损数据主体的权利，缔约方协商一致可选择欧盟成员国以外司法辖区的法院。
四、总结
数据出境合规遵循“七步走”：
① 梳理现有业务场景下的所有数据出境场景；
② 选择适用的数据跨境传输机制；
③ 依据所触发的机制，制定数据跨境传输合规整改计划表；
④ 履行通用数据跨境传输事前合规义务；
⑤ 如适用签订标准合同机制，应尽快开展谈判与洽谈工作；
⑥ 向网信部门备案；
⑦ 持续追踪与监督，并积极相应个人信息主体权利。