（一）欧美对数据跨境流动监管的态度
对于中企来说，目前数据保护领域的形势并不是很乐观。美国的数据保护不仅仅是个法律问题，而是存在政治化倾向。欧盟是需要观察的，但欧盟的执法目前整体来说是就事论事。
以TikTok举例，TikTok已经彻底完成——在美国产生的所有用户数据全部直接路由到甲骨文的一个数据中心，TikTok不会接触任何其业务运营中产生的美国用户的数据。原因在于TikTok之前把数据传到中国，进而引发了一些诉讼。但实际上，TikTok的美国的主数据中心在弗吉尼亚，备份在新加坡，可能会有中国的工程师进行很少量的访问。
为什么美国态度这么强硬？从2019年开始，CFIUS就对两年前TikTok收购Musical.ly进行外商投资的国家安全审查，起因是个人敏感数据的内容审查以及数据存储问题，之后也会有一系列的诉讼。但最终的落脚点是所有的数据虽然是TikTok在运营中产生的，但是完全由甲骨文管理，而且TikTok要把以前收集的数据全部删除掉。
这已经无法完全用法律去解释，因为数据出境只要用对相应的传输工具和机制是可以的。所以，就美国而言，这个问题已经被政治化了。
欧盟方面，TikTok去年年底也有这样的调查，其中一项是关于TikTok把一些欧盟运营当中的数据传到中国。对此，TikTok的回应是已经采用了SCC，即欧盟认可的传输机制，符合GDPR的要求。爱尔兰的DPC主动提起了调查，目前还没有后续结果，所以，还不好判断是因为TikTok没用对传输工具，还是也有一定的政治色彩。
但整体来看，倾向于认为欧盟是就事论事。因为欧盟也罚其他人，比如欧盟因Google 把数据传到哈佛大学的研究中心而处罚过Google。欧盟也处罚过一个挪威的公司，因为该公司在中国的一些分包商的员工从中国去访问数据，但没有针对跨境做安全评估、风险评估，也没有采取必要的保障措施，签订相应的合同。所以，还是从跨境传输机制不符合GDPR的角度做出的处罚。
因此，欧盟相对来说没有直接把这个问题政治化，如果能够做好GDPR的合规，还是可以化解相应的风险。
（二）全球统一or区域自治：两种模式的特点
跨国公司在信息系统上全球统一是应有之义，其优势是非常明显的，不管是从内部管理的角度，还是业务经营的角度，都有非常强的必要性。
从内部管理的角度来说，总部需要知道整个的薪酬分布情况，人员的入职离职的状况等。一些公司要到区域的总部甚至全球的总部去审批，整个审批流程是全球一体化的，没有理由不做全球统一的管理。
从业务经营的角度来说，有利于更好地给客户提供统一的服务。包括银行很多时候要做全球统一的风控管理，甚至一些高额的融资要到总部去审批，这当然需要全球统一的管理一体化。
但全球统一非常重要的一个劣势是全球统一的部署有可能会受到全球监管形势的影响。特别是部署一个系统的成本非常高，而且如果想转移是很困难的。但目前数据流动的法律要求又会有变化，非常典型的就是Schrems II案。
Schrems II变更了整个SCC的生态，SCC 的效力还是被认可，但增加了两条：一个是如果接收方所在国的数据保护水平不够，他就需要采取一些补充措施；还有一个是要做TIA，即传输影响评估，要评估接收方所在国的数据保护水平和执法有没有可能使接收方无法履行 SCC项下的义务。
因为欧盟非常看重政府有没有可能不断地去调取欧盟的个人信息，其认为中国的一些法律有可能会出现这种情况，如我国的《情报法》规定中国的公民和组织都有义务配合情报机关的要求，包括提供数据。欧盟认为如果没有一个很好的监控机制，有可能会直接导致数据中心布在中国的全球统一的部署模式无法继续下去。
所以，目前全球统一比较大的一个劣势就是不知道未来的法律会有什么样的变化。
此外，全球统一部署的一次性成本会比较高，而区域自治相对来说比较灵活，周期短，成本也比较低。但从长期看，全球统一部署后，整个数据流和运营都可以更加自动化，管理也可以更加体系化，可以省很多的人力。
（三）企业怎么选择数据中心布局模式
如果企业有成熟的国际业务，全球统一的布局是最高效的，也是应有之义。但在目前这样一个大的地缘政治的环境下，大家在现实中确实会结合规留更多的缓冲地带，确保自己的布局能够有一定的韧性。
具体怎么选择数据中心的布局模式，要回到数据的角度：如果做全球化布局，有哪些数据类型或者因为其他法律的监管要求，导致不能让这些数据到一起去？我们要避开这个「坑」，其实就是数据出境的负面清单。从数据类型来说，一个是个人信息，另一个是重要数据。
对于个人信息，其实就看有没有本地化的要求，即不能出境的要求。目前明确规定个人信息不能出境、必须本地化的法律并不多见，但要特别注意一些很敏感的或者非常大量的个人信息。并且，要关注法律的一些前沿的变化，因为现在数据保护的法律变化非常快。比如巴基斯坦个人信息保护的法律，虽然还没有最后生效，但其明显提到关键个人信息要在本地存储。什么是关键个人信息？比如跟公共服务提供商有关的个人信息，关系到国家安全或公共利益的敏感个人信息。这种情况下，这种数据就要放到负面清单里去。
个人信息部分相对比较简单，更复杂的是非个人信息，即重要数据。除个人信息外，还有哪些信息有可能出境会受到限制？比如从行业上来说，电信行业、公共事业、金融、电商都有可能。
到美国就更复杂了，美国是从多个角度去管，比如美国有受控非密清单，那些数据不是个人信息，但也有很强的管控；还有CFIUS的外商投资的国家安全审查；还有出口管制。美国对出口管制有很强的规范，它有临时出口管制目录，其中2020年增加了一种出口管制的类型，即专门为自动化分析而做的地理空间图形和点云有关的软件，其实就是自动驾驶传感器收集的数据在做训练时产生的数据或代码。这意味着这部分数据在一定时间内是会受到出口管制的。包括CFIUS的审查，图森和美国CFIUS达成一个协议，协议的内容是美国会对一些数据做所谓的访问控制或技术控制，这其实指的是在美国自动驾驶货车业务的一些源代码和算法是不能够开放给中国的。
还有一种类型是可能没有明确的红线，但数据出境可能需要付出非常大的代价，这时企业可能会平衡一下，宁愿选择不出境。
最后一种类型不是数据的事，比如电子签，全球都通用DocuSign，但在中国不能用DocuSign，因为中国有CA认证，要求必须选择中国的电子签公司，这部分数据就不能出境。再比如会计资料、档案资料，很多国家都要求要在本地存储，因为其反映公司的财务状况，包括税局需要查看这些数据。
（四）数据中心布局的经典做法
在考虑数据中心怎么布局时，一般会先考虑布在境内还是境外，然后再考虑如果布在境外要选择哪个国家。
对于布在境内还是境外，如果企业是刚刚出海或者是试探性的，没有必要花巨额成本去海外布数据中心。如果一些数据确实有本地化要求，可以租一个公有云。如果不仅要求本地存储，还要求必须在本地处理，可以在当地雇人专门处理当地的数据。这是中国大部分刚开始出海的企业常见的选择。
如果企业已经有比较成熟的国际业务，建议把数据中心布在境外。但怎么选择数据中心所在地？简单来说，要选择的这个国家或地区得是「两边都不嫌弃」，即欧盟、美国认为可以把数据传给它，中国也认为可以把数据中心布在那里。比较典型的是香港、澳门和新加坡。
但同时还要考虑网络安全的问题，比如把数据中心布在境外的一个国家或地区，该数据中心不太可能跟境内的集团没有一点联通，但凡境外的数据中心跟境内的数据中心有连接，其就有可能被作为一个跳板，进而攻击境内的数据中心。所以，如果境内的设施是关键信息基础设施，可能香港和澳门会比新加坡更好一些。
对于欧盟，现在有些做法是把个人信息放在欧盟，因为大家都认可欧盟，个别一些企业需要的个人数据，再从欧盟出境，这样相对来说各种评估和措施比较容易到位。而美国有时候没办法，只能本地化。
（五）法务能够在数据中心的布局以及系统设计、建设、运行及维护的全流程中发挥什么作用
法务在这个过程中非常重要，因为法律在全球布局中起核心作用。法务的作用分为实体和程序两个方面。
实体方面，法务要聚焦数据跨境的核心法律问题，至少有三个问题需要回答明白：
（1）出境的合法性基础是什么？
（2）选择什么样的传输工具？目前SCC是最为主流的数据传输工具。
（3）本地化的分析，要知道哪些数据需要本地化，这是一项特别复杂的工作。如果这三个问题回答不了，就需要找律师来帮忙回答。
流程方面，法务要全程参与这项工作，可以分成几个阶段：
（1）设计阶段。在布局一个系统的时候，法务应该从蓝图阶段甚至更早的前期论证阶段就参与进去，蓝图怎么写，权限怎么划分，审批流程怎么做，法务最终要给出意见。这是数据合规能力的前置性内化，进而实现Privacy by Design。
（2）建设阶段。要作为关键用户参与系统的验收，从合规角度去看数据合规要求是不是落地。
（3）运行阶段。要参与相关制度的制定，并通过关键控制点进行合规管控。
（4）维护阶段。要对第三方供应商参与运维进行合规管控。
（一）中企应如何选择、使用SCC等跨境传输工具
Schrems II案对我国的影响其实并不大，但我国之所以关注它，是因为它改变了SCC的生态。而且欧盟还出了一些指引，如果严格按照其指引，欧盟的个人信息就无法出境了。比如其指引要求欧盟的个人信息出境之前做加密，密钥掌握在传输方手里，或者做脱敏，脱敏映射表掌握在传输方手里，这样接收方拿到数据根本无法还原成个人信息。所以，如果严格执行欧盟的指引，其实会导致SCC没法用了。
虽然有这样的指引，但外界也有一些批评的声音，在没有一个非常强的理由的情况下，不能够直接阻断个人信息的传输。所以，在真正落实的过程中，还是会折中，这条路还是走得通。
因此，虽然Schrems II案后SCC发生了变化，但目前依然是欧盟个人信息出境的最好的工具。因为其他的更难，比如BCR到目前为止没有一个中国公司拿到，而且拿到后其实后患也很多。
（二）中国标准合同和欧盟SCC审计要求的差异
中国标准合同中的审计跟SCC有较大的相似性，但我国扩大了范围。而且未来如果标准合同以目前的版本生效，在审计问题的谈判上，双方可能会不太对等。
比如欧盟SCC项下，只有受托方有受审计的义务，没有要求接收方比如独立的数据处理者也要接受审计。但中国现在有这样的要求。再比如合同解除的时候或者受托方的数据存储到了存储期限的时候，欧盟SCC不是要求删除或者匿名化，只是要求接收方自己做个承诺。但中国要求提供审计报告，才承认是真正删除了。
（三）数据二次出境会遇到的问题
在欧盟SCC项下，二次传输相对来说不是很复杂。比如数据中心不在境外，可能有少量的个人信息会传输到总部，这种情况相当于就是二次传输，因为从欧盟到境外如澳门，这是一次，然后总部再去拿一些数据，这其实是二次传输。这样其实是一种不错的方式，比如境外的主体可能会签一个大的SCC框架协议，而总部可以不参加到大协议中去，但跟比如澳门这个主体签二次传输的协议。
这在欧盟项下是可以的，其要求告知个人还有一个二次传输的接收方，比如不仅澳门这个主体会收到，还有北京的一个主体也会收到。只要告诉身份就可以，而不用告诉具体是谁。另一个就是总部比如北京这家公司和澳门这家公司两方之间再去签一个协议，这个协议没有要求必须用SCC的条款，只要能保证通过这个协议，能够让二次传输的接收方承诺一个欧盟要求的同等保护水平就可以。所以，二次传输在欧盟SCC项下是比较好用的。
中国现在也有二级传输的要求，而且比欧盟更加复杂。其要求有业务必要性，还要告知，而且不仅要告知身份，还要告知具体是谁，这是很难的，并且副本也要给传输方。这样就完成了一个闭环，相当于再次传输出去，还能保证可以和一次传输接受方达到同样的保护力度。
（一）中企出海可能会遇到的数据保护挑战的场景
要通过案例的形式梳理可能的场景，大概有三种类型：
第一种类型是两地的实践非常不一样，比如中国在法律层面对某一行为没有严格规制，但该行为在欧盟却经常被执法。举个例子，欧盟处罚最多、金额最高的包括数据泄露如英航、万豪等，定向推送如谷歌、Facebook等，还有打营销电话、邮件之类的。这些在国内很常见，但在欧盟却被执法，开出了高额的罚单，这是因为欧盟的法律跟我国不一样。定向推送在欧盟要求同意，并且同意的要求还很高。但也有一些非常少见的例外情况，比如在ToB业务中，如果给联系人发送的是与其职务有关的广告，可以不取得他的同意。
但中国交叉营销、打营销电话的情况其实很常见，除了金融行业管得比较严格外，其他行业目前没有很强的操作。甚至对于自动化决策，更多是说决策本身要透明，不能歧视。但我国有Opt-out的形式，要提供一个拒绝或者不针对个人特征的选项，而并没有说个性化推送、自动化决策必须经过个人同意。
第二种类型是我国《个保法》的执法不到一年，没有足够的应对经验。数据泄露如万豪和英航都被罚了很多钱，中国其实每天都在发生泄露，但被处罚的却很少。而且我国和欧盟的理念也不一样，在中国，数据泄露方很多时候是受害者，但欧盟会看其有没有采取足够的安全措施。还有个人权益的保障，我国也赋予了很多权利，但并没有规定如果没有行权机制会怎样；欧盟很多处罚是因为企业没有保障个人的退出权、反对权、知情权等。
第三种类型是观念的问题，比如中国长期以来比较唯结果论，中国法律强调企业别出事；但欧盟即使没有损害后果，但如果合规义务没有履行，也有可能会处罚。欧盟很多处罚是因为企业违反了个人信息保护处理的基本原则，选错了处理的合法性基础。比如PWC的处罚是认为对于员工信息的处理，不能选择同意，而应该选择履行合同或者正当利益。
（二）中企如何建立适应多法域环境的数据合规体系
第一，要采取风险路径，关注高风险的数据类型、高风险的处理环节、高风险的数据处理行业、高风险的国家或区域。
重点国家除美国、欧洲外，也要关注其他国家。比如哥伦比亚2012年就有《个人信息保护法》，包括巴西也比较早。有一些国家可能在法律层面没有那么强的执法，但当地数据保护的氛围非常浓，如新加坡，这种国家也要非常重视，并能够证明自己具有很好的数据合规水平。
重点行业如电信、公共事业、交通、金融、电商等。
重点环节如营销广告、监控、人脸识别等，这些在当地都是罚款最多、最高频的。
第二，尽量做到标准化，虽然有时候做不到，但个人信息方面有比较好的做标准化的前提。因为GDPR的体系性很好，而且得到了大家的认可，包括SCC这一传输工具目前基本上可以在全球作为一个通用的工具。但也会有一些不一样的地方，如合法性基础，欧盟有同意、正当利益、履行合同等，但包括中国在内的很多国家没有正当利益，甚至有些国家可能只有同意，但其同意要求的严格度又不如欧盟那么强。
第三，要有合规展示的能力。制度只是一方面，还要有切实可行的落地的方法，拿出让人眼前一亮的方案。比如临床试验当中的生理健康信息的匿名化，有的公司做得特别好，有一个标准化叫匿名化文档，对于临床数据，不仅去掉18位标识符，还把一些特殊的字符如临床中心所在地点、试验结果等都做脱敏或者泛化，并采取一些补充措施，同时对一些极端的情况就可能考虑不分享了。
最后，要有全局的视野，子公司可能会用当地的数据保护规则作为借口来规避管理，这时候需要有很好的中国律师帮忙把关。