文/鄭孜青 編輯/王亞亞

隨著全球經(jīng)濟(jì)逐步進(jìn)入數(shù)字化時(shí)代，大規(guī)模跨境數(shù)據(jù)流動(dòng)日漸頻繁，越來越多的國(guó)家都更加重視跨境數(shù)據(jù)流動(dòng)的安全問題，主要國(guó)家的跨境數(shù)據(jù)監(jiān)管與國(guó)家安全審查博弈也開始進(jìn)入“強(qiáng)對(duì)流”時(shí)代。美國(guó)力求主導(dǎo)全球網(wǎng)絡(luò)空間，并奉行單邊主義，而其他多國(guó)都堅(jiān)定捍衛(wèi)數(shù)據(jù)主權(quán)。在此背景下，跨國(guó)經(jīng)營(yíng)的企業(yè)需要兼顧境內(nèi)外數(shù)據(jù)的監(jiān)管要求，做好合規(guī)工作安排。

美、歐跨境數(shù)據(jù)披露和監(jiān)管態(tài)勢(shì)

美國(guó)跨境數(shù)據(jù)披露和監(jiān)管特點(diǎn)

由于數(shù)據(jù)所有者、存儲(chǔ)者與使用者在地理位置上的分離，導(dǎo)致國(guó)際上對(duì)究竟以何為標(biāo)準(zhǔn)劃定數(shù)據(jù)主權(quán)，長(zhǎng)期存在爭(zhēng)議。美國(guó)在2018年發(fā)布的《澄清域外合法使用數(shù)據(jù)法案》（以下簡(jiǎn)稱《云法案》）要求，以數(shù)據(jù)控制者為標(biāo)準(zhǔn)劃定數(shù)據(jù)主權(quán)，強(qiáng)調(diào)無論數(shù)據(jù)存儲(chǔ)于何地，只要數(shù)據(jù)由美國(guó)主體所控制，則美國(guó)便有權(quán)獲取，相關(guān)主體也有義務(wù)提供。參考TikTok（抖音海外版）在美國(guó)受到數(shù)據(jù)安全挑戰(zhàn)的案例，可以看出，雖然TikTok反復(fù)證明相關(guān)數(shù)據(jù)存儲(chǔ)于美國(guó)境內(nèi)且未交予中國(guó)政府，美國(guó)也依舊表示擔(dān)憂數(shù)據(jù)的安全性。除政治因素外，有業(yè)內(nèi)專家認(rèn)為，如果美國(guó)認(rèn)可了TikTok的抗辯，無疑就削弱了其以數(shù)據(jù)控制者為核心的數(shù)據(jù)主權(quán)界定，進(jìn)而會(huì)弱化美國(guó)對(duì)全球數(shù)據(jù)治理規(guī)則的話語權(quán)。

當(dāng)前，在全球數(shù)據(jù)流動(dòng)規(guī)則的博弈中，美國(guó)實(shí)際上奉行的是雙重標(biāo)準(zhǔn)：一方面，其不容許其他國(guó)家未經(jīng)其批準(zhǔn)獲取其本國(guó)數(shù)據(jù)；另一方面，倚仗其技術(shù)優(yōu)勢(shì)在全球任意獲取數(shù)據(jù)，以破除他國(guó)數(shù)據(jù)保護(hù)并實(shí)現(xiàn)美國(guó)的利益，體現(xiàn)出美國(guó)的特權(quán)主義色彩。對(duì)于外國(guó)政府，想要獲取存儲(chǔ)在美國(guó)的數(shù)據(jù)十分耗時(shí)耗力。根據(jù)美國(guó)與其他國(guó)家簽署的雙邊協(xié)議，這些外國(guó)政府必須經(jīng)過漫長(zhǎng)而繁瑣的申請(qǐng)流程（Mutual Legal Assistance Treaties, MLAT），且美國(guó)司法部和地方法院對(duì)此幾乎擁有絕對(duì)的審批決定權(quán)，審批標(biāo)準(zhǔn)的具體內(nèi)容也很模糊?！对品ò浮奉C布后，僅有極少數(shù)美國(guó)認(rèn)可的盟友國(guó)家才可不經(jīng)過MLAT程序獲取儲(chǔ)存在美國(guó)的數(shù)據(jù)。

根據(jù)《云法案》，無論數(shù)據(jù)存儲(chǔ)于何地，只要其最終控制人是美國(guó)企業(yè)，美國(guó)政府就可以調(diào)取相關(guān)數(shù)據(jù)；同時(shí)，由于世界主流信息通信技術(shù)企業(yè)多為美國(guó)企業(yè)，美國(guó)實(shí)際上憑借《云法案》取得了直接獲取海量數(shù)據(jù)的法律依據(jù)，且可以繞過其他國(guó)家的司法申請(qǐng)流程。例如，微軟一度以數(shù)據(jù)儲(chǔ)存在愛爾蘭而拒絕執(zhí)行紐約南區(qū)聯(lián)邦法院發(fā)出的數(shù)據(jù)調(diào)取命令，但聯(lián)邦第二巡回法庭駁回了微軟的抗辯。而隨著《云法案》的出臺(tái)，該案件終止審理，微軟最終還是向美國(guó)法院提交了相關(guān)數(shù)據(jù)。

歐盟跨境數(shù)據(jù)披露和監(jiān)管特點(diǎn)

當(dāng)前，歐盟在數(shù)據(jù)經(jīng)濟(jì)中的地位與其在全球經(jīng)濟(jì)中的地位并不相稱，世界主要互聯(lián)網(wǎng)領(lǐng)軍企業(yè)多為美國(guó)公司或中國(guó)公司。為了扭轉(zhuǎn)不利地位，歐盟致力于加強(qiáng)與數(shù)據(jù)相關(guān)的人權(quán)保護(hù)，擴(kuò)大法律適用范圍，引導(dǎo)市場(chǎng)選擇，增大其在數(shù)據(jù)跨境國(guó)際規(guī)則方面的話語權(quán)。2018年5月歐盟全面實(shí)施《一般數(shù)據(jù)保護(hù)條例》（General Data Protection Regulation, GDPR），該條例是歐盟在數(shù)據(jù)保護(hù)方面的重要立法，其賦予歐盟主管機(jī)關(guān)廣泛的管轄權(quán)，包括屬地管轄權(quán)和屬人管轄權(quán)。根據(jù)GDPR第3款，幾乎任何收集、傳輸、存儲(chǔ)或者處理活動(dòng)，如果由設(shè)立于歐盟成員國(guó)的機(jī)構(gòu)組織來從事，均受GDPR管轄。即使在歐盟境內(nèi)未設(shè)立實(shí)體且僅提供免費(fèi)服務(wù)的歐盟境外的組織機(jī)構(gòu)，如果向歐盟成員國(guó)的信息主體提供了服務(wù)，或監(jiān)控了其在成員國(guó)內(nèi)的行為，則也受GDPR管轄。此外，歐盟堅(jiān)持嚴(yán)格的數(shù)據(jù)出境審查，以較高的隱私保護(hù)水平來確保數(shù)據(jù)跨境流動(dòng)的安全性。GDPR只允許向達(dá)到歐盟認(rèn)可的隱私保護(hù)水平的第三國(guó)傳輸個(gè)人信息。目前，僅有阿根廷、日本、新西蘭、韓國(guó)、英國(guó)等十幾個(gè)國(guó)家達(dá)到了該標(biāo)準(zhǔn)。

GDPR所采用的“充分性認(rèn)定白名單”制度，使歐盟得以在國(guó)際數(shù)據(jù)博弈過程中，向其他國(guó)家推廣歐盟標(biāo)準(zhǔn)和歐盟價(jià)值觀，完成其國(guó)內(nèi)法向國(guó)際法的轉(zhuǎn)化。如果無法達(dá)到“充分性認(rèn)定標(biāo)準(zhǔn)”，則GDPR第46款還提供了其他個(gè)案適用的跨境傳輸方案，包括采用監(jiān)管機(jī)構(gòu)批準(zhǔn)的 “標(biāo)準(zhǔn)合同條款”（Standard Clause Contract）及“約束性公司規(guī)則”（Binding Corporate Rules）等。通過構(gòu)建較高的歐盟標(biāo)準(zhǔn)，歐盟也希望最終能夠促使更多企業(yè)出于合規(guī)方面的考慮而選擇將數(shù)據(jù)存儲(chǔ)在歐盟境內(nèi)，并在歐盟境內(nèi)進(jìn)行數(shù)據(jù)處理。

美、歐在跨境數(shù)據(jù)傳輸規(guī)則上的博弈

由于美歐在跨境數(shù)據(jù)傳輸規(guī)則方面的立場(chǎng)并不相同，從而導(dǎo)致了二者在該問題上頻繁拉鋸。美國(guó)采取全球主義立場(chǎng)，希望歐盟等世界各國(guó)減少對(duì)數(shù)據(jù)跨境流動(dòng)的干預(yù)，以促進(jìn)“數(shù)據(jù)自由流動(dòng)”；而歐盟則致力于建構(gòu)以數(shù)據(jù)存儲(chǔ)者為核心的數(shù)據(jù)主權(quán)概念，并重視數(shù)據(jù)的本地化存儲(chǔ)，無論是GDPR還是其前身1995年的《關(guān)于涉及個(gè)人數(shù)據(jù)處理的個(gè)人保護(hù)以及此類數(shù)據(jù)自由流動(dòng)的指令》，都強(qiáng)調(diào)歐盟有權(quán)介入數(shù)據(jù)的跨境流動(dòng)并有責(zé)任對(duì)第三國(guó)的數(shù)據(jù)保護(hù)做出評(píng)估，凸顯其屬地主義原則的數(shù)據(jù)主權(quán)立場(chǎng)。

2020年7月，歐盟法院做出判決，認(rèn)定歐盟與美國(guó)在2016年簽署的、關(guān)于跨境數(shù)據(jù)傳輸?shù)摹峨[私盾協(xié)議》無效，從而使美國(guó)公司無法繼續(xù)通過該協(xié)議將歐盟的個(gè)人數(shù)據(jù)傳輸?shù)矫绹?guó)，也將迫使美國(guó)繼續(xù)向歐盟隱私保護(hù)制度做出讓步，接受歐盟越來越高的隱私保護(hù)標(biāo)準(zhǔn)。該判決進(jìn)一步加劇了美歐在跨境數(shù)據(jù)領(lǐng)域的緊張關(guān)系，并將產(chǎn)生深遠(yuǎn)影響。美國(guó)前任商務(wù)部部長(zhǎng)威爾伯·羅斯稱，對(duì)這一判決“深感失望”，并表示美國(guó)將繼續(xù)與歐盟就此事保持密切聯(lián)系。

我國(guó)跨境數(shù)據(jù)披露監(jiān)管范圍擴(kuò)大

近年來，我國(guó)日益重視數(shù)據(jù)安全，跨境數(shù)據(jù)法律監(jiān)管體系可概括為“1+3+N”的格局?！?”是指《國(guó)家安全法》，這是我國(guó)跨境數(shù)據(jù)法律規(guī)范體系的基石，也凸顯數(shù)據(jù)跨境合規(guī)其最重要的目的是保護(hù)國(guó)家的利益和安全?！?”是指《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》和即將出臺(tái)的《個(gè)人信息保護(hù)法》。這三部法律堪稱我國(guó)數(shù)據(jù)保護(hù)三大基本法?！癗”指《網(wǎng)絡(luò)安全審查辦法》《個(gè)人信息出境安全評(píng)估辦法（征求意見稿）》等規(guī)章以及《信息安全技術(shù)數(shù)據(jù)出境安全評(píng)估指南（征求意見稿）》等規(guī)范和一系列相關(guān)的國(guó)家標(biāo)準(zhǔn)，旨在為數(shù)據(jù)跨境規(guī)范提供詳細(xì)補(bǔ)充。

現(xiàn)行《網(wǎng)絡(luò)安全審查辦法》于2020年4月印發(fā)，2020年6月1日起實(shí)施。該辦法以關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者（Critical Information Infrastructure Operator,CIIO）為監(jiān)管抓手，以CIIO采購(gòu)網(wǎng)絡(luò)產(chǎn)品和服務(wù)為主要切入點(diǎn)，目標(biāo)是維護(hù)關(guān)鍵信息基礎(chǔ)設(shè)施（Critical Information Infrastructure, CII）的供應(yīng)鏈安排。2021年7月10日，國(guó)家互聯(lián)網(wǎng)信息辦公室發(fā)布《網(wǎng)絡(luò)安全審查辦法（修訂草案征求意見稿）》，其中，對(duì)跨境上市企業(yè)提出了更嚴(yán)格的信息審查要求。

一是新增數(shù)據(jù)處理行為?！毒W(wǎng)絡(luò)安全審查辦法（修訂草案征求意見稿）》（下稱《審查辦法》）進(jìn)一步明確要求數(shù)據(jù)處理者開展數(shù)據(jù)處理活動(dòng)，影響或可能影響國(guó)家安全的，亦應(yīng)當(dāng)進(jìn)行網(wǎng)絡(luò)安全審查，擴(kuò)大了網(wǎng)絡(luò)安全審查的適用范圍和義務(wù)主體范圍。但《審查辦法》并未明確哪些情形屬于影響國(guó)家安全的數(shù)據(jù)和處理活動(dòng)，僅列舉了其中的一種情形，即 “掌握超過 100 萬用戶個(gè)人信息的運(yùn)營(yíng)者（關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者及數(shù)據(jù)處理者）赴國(guó)外上市”。這意味著無論掌握超過100萬用戶個(gè)人信息的運(yùn)營(yíng)者是否屬于關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者，其都將落入“數(shù)據(jù)處理者”這一義務(wù)主體范圍。此次《審查辦法》的修訂，亦表明《數(shù)據(jù)安全法》進(jìn)入實(shí)施前緊鑼密鼓的準(zhǔn)備階段，其已提及的各項(xiàng)重大制度將逐步通過法規(guī)和細(xì)則予以落實(shí)。《審查辦法》的修訂和實(shí)施，應(yīng)該也會(huì)和《數(shù)據(jù)安全法》的生效日期保持協(xié)同。

二是增加中國(guó)證券監(jiān)督管理委員會(huì)（以下簡(jiǎn)稱“證監(jiān)會(huì)”）為監(jiān)管主體。《審查辦法》第4條將證監(jiān)會(huì)新增納入國(guó)家網(wǎng)絡(luò)安全審查工作機(jī)制成員單位，反映出國(guó)家對(duì)企業(yè)國(guó)外上市行為所產(chǎn)生的數(shù)據(jù)安全問題的高度關(guān)注。需要注意的是，在中國(guó)香港上市很可能屬于境外上市而非國(guó)外上市，因此，企業(yè)赴中國(guó)香港上市可能不在必須主動(dòng)申報(bào)網(wǎng)絡(luò)安全審查的范圍之內(nèi)。

三是企業(yè)合規(guī)風(fēng)險(xiǎn)增加。不同于擬海外上市企業(yè)未通過網(wǎng)絡(luò)安全審查可能導(dǎo)致無法上市的直接后果,對(duì)已海外上市企業(yè)未通過審查的情形, 《網(wǎng)絡(luò)安全法》僅規(guī)定了停止使用數(shù)據(jù)和罰款處罰, 而《數(shù)據(jù)安全法》則未做規(guī)定。因此，對(duì)已境外上市企業(yè)，如果網(wǎng)絡(luò)安全審查未通過會(huì)導(dǎo)致何種后果, 仍有待后續(xù)配套法規(guī)和監(jiān)管實(shí)踐予以明確。

企業(yè)應(yīng)對(duì)策略

一是適時(shí)調(diào)整上市計(jì)劃。企業(yè)需要緊密跟蹤變化中的國(guó)際跨境數(shù)據(jù)監(jiān)管博弈，并根據(jù)公司的發(fā)展需要，適時(shí)做出調(diào)整。當(dāng)前，我國(guó)企業(yè)赴美上市需要考慮到我國(guó)網(wǎng)絡(luò)安全審查風(fēng)險(xiǎn)和由此導(dǎo)致的業(yè)務(wù)停滯風(fēng)險(xiǎn)，以及由于連續(xù)三年達(dá)不到美國(guó)證監(jiān)會(huì)信息披露要求而被強(qiáng)制退市的風(fēng)險(xiǎn)、在美面臨集體訴訟的風(fēng)險(xiǎn)等等，并據(jù)此謹(jǐn)慎評(píng)估是否需要變更相關(guān)赴美上市計(jì)劃。

根據(jù)《審查辦法》，當(dāng)前，我國(guó)香港地區(qū)可能不受事前申報(bào)網(wǎng)絡(luò)安全審查的限制。雖然，與赴美上市相比，赴港上市仍有較高門檻，且在市場(chǎng)流動(dòng)性、股東退出難易度等方面港股也略遜于美股，但仍有多家中資企業(yè)在綜合權(quán)衡后，暫停或終止了赴美上市的進(jìn)程，包括科技企業(yè)Keep、喜馬拉雅以及醫(yī)療科技公司零氪科技等。

二是主動(dòng)做好數(shù)據(jù)合規(guī)。無論是否計(jì)劃上市的企業(yè)，均建議做好數(shù)據(jù)安全和個(gè)人信息保護(hù)方面的合規(guī)。隨著《數(shù)據(jù)安全法》即將在2021年9月1日正式實(shí)施，以及未來《個(gè)人信息保護(hù)法》的頒行，可以預(yù)見，包括《審查辦法》在內(nèi)的各項(xiàng)配套規(guī)定也會(huì)密集出臺(tái)，數(shù)據(jù)保護(hù)方面的執(zhí)法將日趨嚴(yán)格。當(dāng)前，鑒于美國(guó)、歐盟在內(nèi)的世界各主要司法轄區(qū)在不斷加強(qiáng)數(shù)據(jù)保護(hù)，我國(guó)企業(yè)也應(yīng)更加積極主動(dòng)地做好數(shù)據(jù)合規(guī)，并將數(shù)據(jù)合規(guī)的需要和業(yè)務(wù)發(fā)展戰(zhàn)略相協(xié)調(diào)，以數(shù)據(jù)合規(guī)促進(jìn)業(yè)務(wù)發(fā)展。

企業(yè)被動(dòng)進(jìn)行數(shù)據(jù)合規(guī)不僅成本高昂，而且社會(huì)效益低；企業(yè)主動(dòng)開展數(shù)據(jù)合規(guī)雖然合規(guī)成本不變，但很可能帶來額外的經(jīng)濟(jì)效益和社會(huì)效益，從而使合規(guī)從燒錢的工作變成創(chuàng)造財(cái)富的工作。舉例而言，美國(guó)互聯(lián)網(wǎng)巨頭已經(jīng)率先受到歐盟GDPR的巨大合規(guī)壓力，從美國(guó)互聯(lián)網(wǎng)巨頭已經(jīng)采取的措施和效果可以看到主動(dòng)合規(guī)的諸多優(yōu)勢(shì)。例如，蘋果通過對(duì)在線廣告數(shù)據(jù)安全方面的管制，實(shí)際上進(jìn)一步加強(qiáng)了其對(duì)在線廣告市場(chǎng)的控制力，并同時(shí)贏得了消費(fèi)者的信任，增強(qiáng)了消費(fèi)者粘性。微軟積極開發(fā)數(shù)據(jù)保護(hù)方面的軟硬件，不僅用于企業(yè)自身數(shù)據(jù)合規(guī)的需要，也用于吸引其他有合規(guī)需求的客戶，使數(shù)據(jù)保護(hù)合規(guī)服務(wù)成為一項(xiàng)新的業(yè)務(wù)增長(zhǎng)點(diǎn)。

三是充分利用法律允許的抗辯理由。當(dāng)前，國(guó)外的數(shù)據(jù)披露要求和我國(guó)法律監(jiān)管要求存有一定的沖突。實(shí)踐中，有企業(yè)通過在美國(guó)法院提起訴訟，減少或豁免了相關(guān)數(shù)據(jù)披露要求的案例。在個(gè)案中，企業(yè)可以聘請(qǐng)經(jīng)驗(yàn)豐富的中外律師，協(xié)助處理信息披露方面的法律沖突，以隔離企業(yè)或其高管可能面臨的法律風(fēng)險(xiǎn)，并充分利用法律允許的抗辯理由，力爭(zhēng)減少數(shù)據(jù)披露的要求；對(duì)于確須披露的信息，企業(yè)則可在專業(yè)機(jī)構(gòu)的協(xié)助下獲得我國(guó)司法部、證監(jiān)會(huì)等主管機(jī)關(guān)的批準(zhǔn)。

四是積極參與規(guī)則制定。企業(yè)可通過多渠道參與我國(guó)或國(guó)外相關(guān)規(guī)則的制定過程，積極提交反饋意見。各國(guó)政府制定監(jiān)管規(guī)則均有其特定背景、理由和目的，企業(yè)除了從自身利益角度出發(fā)提出反饋意見，還可以嘗試提出建設(shè)性和創(chuàng)新性的制度構(gòu)建建議。通常，各國(guó)政府在不影響相關(guān)立法目的的情況下，會(huì)考慮盡量減少對(duì)企業(yè)的不利影響。

應(yīng)對(duì)不同司法轄區(qū)的監(jiān)管規(guī)則，對(duì)企業(yè)而言是一個(gè)復(fù)雜的過程。鑒此，企業(yè)應(yīng)從自身發(fā)展階段、業(yè)務(wù)領(lǐng)域、主管機(jī)關(guān)、背景原因、國(guó)際關(guān)系、發(fā)展趨勢(shì)等各方面綜合收集信息、審慎分析，結(jié)合相關(guān)商業(yè)決策研判，提前制定公司合規(guī)舉措。