范佳宜｜GDPR下对中国企业数据跨境合规的思考( 五 ) 本文转自：上观范佳宜上海市

在缺乏国际统一的数据保护的立法的情况下，各国及地区普遍地在法律中设置了法律适用域外效力的条款，包括欧盟及我国。在这种情况下，企业在不同的司法行政区开展业务时，必须密切关注当地监管要求的不同。例如，中国企业在面对国外监管机构的调查时，可能会被要求向其提供根据中国法律法规规定的不可传输的特定类型数据，在这种情况下，国外监管机构根据其执法权限对中国企业所提出的数据要求会与中国数据保护的相关法律产生冲突。外国监管和地缘政治考虑有时反映了外国的战略目标。公司必须了解这些复杂性，尽力避免因商业惯性引发的对适用法律规定的理解差异，并重视由此种理解差异引发的商业教训。
2.主动适用，防范风险
尽管在不同的司法行政区，法律规定存在不同，冲突也间或发生，但这绝不意味着企业只能以消极的态度去对待这些关于数据安全的法律规定，相反，企业应当以积极态度去适用。在GDPR的语境下，尽管GDPR没有要求欧洲以外的公司在其业务中采用其设立的合规性标准，但受其实施的影响，实际上很多跨国公司基于不同的原因都在主动适用，例如某些在欧盟区域运营的跨国公司要求其分支机构保持合规的一致性，或是要求其供应商也符合GDPR的要求来规避关联业务所可能产生的风险。欧盟对公司层面的数据治理政策相当重视，一旦经监管机构认定某公司在公司层面形成了适当的公司规则，对涉及数据处理和控制过程进行了足够控制，则被认可为适当的保障措施，在此规则下数据可以进行流动及传输。因此主动合规不仅能够帮助企业规避风险，更为重要的是能为企业建立良好的声誉，更顺利地开展跨境业务。
随着欧盟等国家和地区对数据监管的立法和执法力度加强，以及走出去的中国企业数量的不断攀升，中国与其他国家及地区的贸易摩擦同样也在不断升级，我国企业势必将面对更为严格的数据安全监管。对于具有跨境业务需求的中国企业而言，在进行数据跨境的处理时，首先需要考虑其营业地法律的要求，主动适用中国的相关规律规定，并根据中国数据跨境流通监管模式的配套制定相应的管理规定。在满足上述要求后，通过内部及外部尽职调查，关注数据跨境的流程，确认关键节点，例如出境地、入境地、境外存储地以及中转地等相关业务地点，同时考察企业是否遵守了这些业务相关地区的法律要求，以及如何设置符合当地数据安全要求的合规策略。尽管考虑到不同司法行政区的规定可能存在不一致的地方，企业需要在兼顾地区差异性的同时，适度调整自己的合规标准及流程等，主动适用当地法律，以避免后续可能面对的多重法律风险。
3.利用数据合规的工具
由于种种原因，在域外法律“标准对立”和“规则重叠”的背景下，对个人数据传输的限制和数据本地化要求层出不穷。虽然这些复杂性阻碍了某些数据的流动，但是在跨境数据流成为当今国际贸易的重要组成部分的大背景下，允许个人数据继续自由流动已成为不可逆转的趋势。那么，对数据主体及其数据提供某些保护则成了监管的重点。对于数据主体而言，数据的收集、使用和传输通常很难被观察到，由于信息不完整也在一定程度上导致数据主体对其权利解读存在偏差，数据主体经常误解其交易的性质和后果。那么从企业的角度而言，可以从信息获取时的合同管理入手，也就是说企业在处理其与数据主体的合同条款上，应当尽量使用平白、简单的语言，并以合理的方式对重要条款向数据主体做出提示，以消除非熟练数据主体由于阅读或理解与信息隐私相关的条款或上述误解而面临的信息障碍。