观点摘要
01、法务要说服领导重视SCC备案，需要知道十件事。具体见本文中的10个问题。
02、SCC备案工作不是终点，而是起点。需要结合公司业务模式和数据量，做好实时监测，注意触发数据出境安全评估门槛和重新备案的“控制点”。
03、完成SCC备案工作，本身是提升企业数据治理水平的重要路径，也是对过往数据合规工作的一次检验。不断提升自己数据治理水平，是监管的重要抓手。这项工作，取决于领导重视，内部部门协作，需要有组织、有重点、有步骤、可持续地推进下去。SCC备案工作的开展，是对企业数据治理工作提升的良好契机。
引言
2023年2月22日，国家网信办发布了《个人信息出境标准合同办法》（以下简称“《办法》”），同步公布了《个人信息出境标准合同》（以下简称“SCC”）。《办法》将于2023年6月1日正式实施，整改期6个月，2023年12月1日届满。《办法》的实施，标志着我国《个人信息保护法》第38条所设计的个人信息出境路径中的SCC备案路径，进入正轨。
具体后续需要法务知道的十件事，如下：
- 备案意味着什么？
- 不备案，对公司有什么后果？
- 做了安全评估，还需要做SCC备案吗？
- 数量拆没拆，合理不合理，谁说了算？
- 标准合同里面哪几个条款最难谈？
- 除了SCC，还要关心什么合同？
- 争议解决选哪个机构？考虑哪些因素？
- 和境外的C签署，还是P签署？场景很多，是否都需要签署SCC？
- SCC备案后，就万事大吉了吗？
- SCC备案，律师主要做什么工作？
1. 备案意味着什么？
答：合同备案，不影响合同效力。且备案是在合同签署生效后进行。实务中，仍然建议提前做好备案工作准备，而不是等到合同签署后，才启动备案。大量的工作需要在个人信息保护影响评估（以下简称“PIA”）环节完成，因此，备案的材料中，PIA报告是一个重要且复杂的材料。实务中，还有法务会询问，备案是否意味着审批。原则上，不涉及，但是具体开展工作中，是否会面临备案不成功，因为人工+机器会做相关反馈，仍有待进一步观察。
2. 不备案，对公司有什么后果？
答：对于法务来说，多数公司领导对备案尚无清晰的认知、不重视备案，也有公司领导比较关心同行是否启动了备案。为此，为公司提供处罚案例，是最具有说服力的做法。建议从三方面去说，第一，国内高额罚款已经被激活。《个保法》第66条5000万以下罚款或者上一年度营业额5%以下罚款，仍然适用，且我国已激活该条款，出现了80.26亿罚单。第二，国内相关数据罪热点案件频出。我国《刑法》在数据罪名方面，已经至少有12个，其中侵犯公民个人信息罪、为境外非法提供情报罪、间谍罪等，也都有相关案例，是为不可触及的法律红线。第三，国外已经有相关巨额处罚案例。具体见由爱尔兰数据保护委员会开出的12亿欧元巨额罚单，虽然这不是境内处罚案例，但欧盟的监管趋势往往是数据合规监管方向的风向标。
3. 做了安全评估，还需要做SCC备案吗？
答：如果经过2022年9月以后的内部评估，认为公司选择了安全评估路径，则不需要走SCC备案路径。但是如果集团内部有不同模块，部分公司走SCC备案，部分公司走数据出境安全评估，则需要就涉及SCC备案路径的相关公司主体，启动本次备案工作。
4. 数量拆没拆，合理不合理，谁说了算？
答：这次《办法》特别新增了禁止性条款，即“个人信息处理者不得采取数量拆分等手段，将依法应当通过出境安全评估的个人信息通过订立标准合同的方式向境外提供。”实务中，需要注意三点：第一，集团公司面临启动多个SCC备案工作的情形。去年9月1日至今年2月28日期间，如果采取了合法合理隔离手段，经充分论证后，可以得出不同公司板块独立计算个人信息数量，而不走安全评估路径，则需要启动不同公司板块下的SCC备案工作。第二，错过2023年2月28日之前申报安全评估的潜在风险。如果今年2月28日以后，公司才开始通过拆分，来解决去年的安全评估未申报问题，存在后续提交材料后，被约谈或者进行进一步说明等风险，对此，公司需要谨慎处理。第三，拆分等手段是否合法合理，这件事情当然是监管说了算。为了让监管理解拆分的合理性或者准确地说是分开计算个人信息数量，以至于达不到1万敏感个人信息或10万个人信息或者100万个人信息这个门槛，需要企业做好充分的论证。论证涉及的维度至少包括：时间维度、数据类型维度、数据共享情况、防火墙隔离措施、系统的部署情况、内部不同公司人员管理、权限维度、制度维度等。
5. 标准合同里面哪几个条款最难谈？
答：境外接收方如果是非关联公司，或者强势的甲方或者乙方，则谈判难度会提升。具体条款至少有三个：第一个是境外接收方义务条款。第二个是第八条违约责任条款，可能会在附录二中，增加新的违约责任分配条款。第三个是附录二以及基于SCC以外的其他商业合同，都会成为谈判的合同范畴。因为SCC特别提到“本合同正文根据《个人信息出境标准合同办法》的要求拟定，在不与本合同正文内容相冲突的前提下，双方如有其他约定可在附录二中详述，附录构成本合同的组成部分。”以及《办法》第六条第二款提到，“个人信息处理者可以与境外接收方约定其他条款，但不得与标准合同相冲突。”不过，即使是集团内沟通，也存在境外总部的DPO与境内DPO之间的沟通协调，这并非易事。
6. 除了SCC，还要关心什么合同？
答：商务合同或者系统搭建合同、合作协议等。基于数据流动的核心还是业务合作，业务合同本身会就双方权利义务进行明确。为此，建议法务要有立体观，就SCC相关在线签署的合同，一次性通盘阅读审阅。部分不排除需要签署补充协议、终止协议或者在SCC附录二中进行明确。
7. 争议解决选哪个机构？考虑哪些因素？
答：结合问题6，需要考虑三点，一个是争议解决条款的一致性。整个合同体系的争议解决条款的衔接性，以便可以高效解决争议，避免不同合同，不同争议解决机构，出现矛盾判决或者裁决的情况。一个是兼顾数据争议解决的特点，考虑保密性、专业性、灵活性、国际性、以及域外可执行性。为此仲裁往往比诉讼更佳。一个是考虑便利双方出庭或者兼顾专业仲裁员的数量（可选性），选择合适的诉讼或者仲裁地点。总之，争议解决无小事，不要忘记SCC附录二可以对争议解决条款进行细致的约定，以便更好地在发生争议时，可以高效解决争议。
8. 和境外的控制者[1]（Controller，以下简称“C”）签署，还是处理者[2]（Processor，以下简称“P”）签署？场景很多，是否都需要签署SCC？
答：如果境外的P是由境外的C控制，且国内C主要是和境外C发生业务关系，从我国SCC结构来看，C-C模式是优先选择。
实务中，问题主要集中在各类小的场景，涉及两地员工视频会议，或者境外邮件服务器等，需要考虑的数据出境场景多，不知道谁和谁签署SCC，以及是否事无巨细都要签署SCC，让人困惑不已。
一方面建议监管未来可以出台相关SCC备案的常见场景指引，这块估计还需要一段时间。另一方面，建议企业可以一揽子解决共性问题，如涉及员工个人信息全生命周期（从人才库建设、招聘、入职、在职、离职等），均考虑在一份SCC协议中；其次，境外的P，可能会面临境内多个C的签署SCC的要求，其自身作为P，在境外接收大量境内个人信息出境，也会有合规要求，为此法务可以对其合规提出要求和建议，推动执行。如不执行，可以考虑更换供应商。
9. SCC备案后，就万事大吉了吗？
答：非也。主要原因在于：一方面是因为企业可能随着业务发展，个人信息出境的数量增多，为此触发安全评估门槛，需要提前做好准备，避免触发后来不及申报，导致无法及时出境等影响业务连续性的风险。另一方面，现有个人信息出境的范围、目的，可能随着业务创新进行调整，为此需要重新备案或者增加数据出境场景备案。为此，建议在启动本次工作时，准备好标准化文本、固定SCC备案工作流程，并兼顾未来2年的业务规划，避免后续的重复工作。
10. SCC备案，律师主要做什么工作？
答：宣讲、协助企业梳理个人信息出境场景并做好相应规划、协助企业完成PIA报告、为企业提供专业解释以及协助落地SCC备案的系列文件。如果可以有外部技术供应商提供相关数据出境监测平台、扫描系统等专业服务，则更佳。
[1] 控制者（Controller）是欧盟GDPR下的概念，对应我国的个人信息处理者。
[2] 处理者（Processor）是欧盟GDPR下的概念，对应我国个人信息处理的受托方。