由此，對于總部位于別國、或具有跨境分支的跨國企業(yè)而言，數(shù)據(jù)出境可能會帶來兩難困境。以下將主要從歐盟《一般數(shù)據(jù)保護條例》 (General Data Protection Regulation, 下稱“GDPR”)及美國《澄清境外合法使用數(shù)據(jù)法案》（下稱“CLOUD Act”）與我國數(shù)據(jù)出境的相關規(guī)則的沖突出發(fā)，結合《汽車數(shù)據(jù)安全管理若干規(guī)定（試行）》（下稱“《汽車數(shù)安規(guī)定》”）回望滴滴面臨的數(shù)據(jù)出境問題，對境內(nèi)數(shù)據(jù)出境的兩難問題進行分析解讀。

從現(xiàn)有規(guī)定看，《網(wǎng)絡安全法》（下稱“《網(wǎng)安法》”）[1]、《數(shù)據(jù)安全法》（下稱“《數(shù)安法》”）[2]、《個人信息保護法》（下稱“《個保法》”）[3]皆以“地域+行為”的方式確立了境內(nèi)管轄原則。整體而言，該等法律對于境內(nèi)管轄的思路基本一致，即只要在我國境內(nèi)開展了其規(guī)定的相應行為，無論是中國境內(nèi)的組織、個人還是中國境外的組織、個人，均受到該等法律法規(guī)的規(guī)制。

GDPR意在保護屬于歐盟公民和居民的數(shù)據(jù)。因此，GDPR適用于處理涉及歐盟公民和居民數(shù)據(jù)的組織，無論它們是否是總部位于歐盟的組織。

結合GDPR第3條的規(guī)定，以及歐洲數(shù)據(jù)保護委員會于2019年11月發(fā)布的2.1版《GDPR適用地域范圍指南3/2018（第三條）》的示例，位于中國境內(nèi)的公司的數(shù)據(jù)處理活動亦可能受GDPR管轄。[4]

從《薩班斯·奧克斯利法案》（下稱“SOX法案”）到《海外反腐敗法》（下稱“FCPA”），再到Cloud Act，美國在世界范圍內(nèi)的“長臂管轄”不容忽視。

就CLOUD Act而言，該法案授予了美國執(zhí)法部門以要求電子通信服務或遠程計算服務提供商提供處于其控制之下的電子數(shù)據(jù)的權利，不論其數(shù)據(jù)儲存于美國境內(nèi)還是境外，其適用范圍可以延及我國境內(nèi)。[5]

基于上述分析，跨國企業(yè)在我國境內(nèi)根據(jù)我國法律設立且注冊于境內(nèi)的企業(yè)，亦可能落入上述GDPR及CLOUD Act的管轄范疇。很可能由此面臨重疊管轄的問題，既需滿足中國數(shù)據(jù)相關法律的要求，又要滿足GDPR及CLOUD Act的相關規(guī)定。

而現(xiàn)實“殘酷”之處在于，GDPR在面對其他國家對該條例的承認程度、應對措施和可能發(fā)生的沖突情況都缺少明確的解決途徑。[6] CLOUD Act雖提出了復議及禮讓原則等作為解決沖突的路徑，但符合禮讓原則而免于提供數(shù)據(jù)有兩個嚴苛的要求：

一來須同時滿足數(shù)據(jù)權利人不是美國公民或不居住于美國，且數(shù)據(jù)披露行為會導致服務提供商面臨違反適格外國政府法律的實質(zhì)性風險。

二來須美國法院作出撤銷和變更處罰內(nèi)容的裁決，而法官需要充分衡量該個案的全部情況，包括美國和要求數(shù)據(jù)調(diào)取的政府實體的利益、外國政府利益、服務提供商如為滿足要求可能受到的處罰的可能性、性質(zhì)以及嚴重程度、用戶或客戶與美國關系的性質(zhì)與程度、服務提供商與美國的關系與程度等多方面因素。

總的來說，復議及禮讓原則的主動權還是掌握在美國政府手中，極有可能不會適用于中國境內(nèi)企業(yè)。[7]

在重疊管轄的情形之下，企業(yè)在遵循我國數(shù)據(jù)相關法律的同時要滿足GDPR的監(jiān)管需求，有時會成為“不可能的任務”。

舉例來說，如果某總部位于歐洲的零售公司，將其個人客戶信息管理（CRM）系統(tǒng)部署于德國，其中國子公司（下稱“A公司”）可以登錄該系統(tǒng)錄入、修改、下載數(shù)據(jù)，如果A公司發(fā)生了涉及CRM系統(tǒng)的個人數(shù)據(jù)泄露事件，將可能陷入兩難境地。

GDPR第3.1條規(guī)定，GDPR適用于與數(shù)據(jù)控制者或數(shù)據(jù)處理者在歐盟領域內(nèi)所設機構活動相關的個人數(shù)據(jù)處理，無論該處理行為是否發(fā)生在歐盟領域內(nèi)。鑒于A公司對于CRM系統(tǒng)的數(shù)據(jù)處理，很可能被認定為明顯有助于使其總部盈利，屬于與在歐盟領域內(nèi)所設機構（歐盟總部）的活動相關，所以境內(nèi)子公司A公司的處理行為，也是受到GDPR管轄的。

故此，A公司需符合GDPR的合規(guī)要求。根據(jù)GDPR第33條的相關規(guī)定，在發(fā)生數(shù)據(jù)泄露的情況下，A公司應當首先向GDPR有權監(jiān)管機構進行報告。[8]

在公司作出相應報告后，GDPR的監(jiān)管機構會進行證據(jù)收集、評估。[9]根據(jù)GDPR第58條的相關規(guī)定，監(jiān)管機構不僅有權從公司處獲得訪問個人數(shù)據(jù)的權限，還可以獲得所有其所需要的信息，例如公司相關的經(jīng)營信息等。[10]

即將生效的《個保法》第四十一條，與業(yè)已生效的《數(shù)安法》第三十六條的規(guī)定幾乎如出一轍，區(qū)別僅在于《數(shù)安法》所針對的是籠統(tǒng)的境內(nèi)數(shù)據(jù)，而《個保法》針對的是儲存于境內(nèi)的個人信息。

根據(jù)兩法規(guī)定，非經(jīng)批準，境內(nèi)的組織、個人不得向外國司法或者執(zhí)法機構提供存儲于中華人民共和國境內(nèi)的數(shù)據(jù)。

如果以嚴格的視角來解讀，境內(nèi)主體如要向外國司法或者執(zhí)法機構提供存儲于中華人民共和國境內(nèi)的數(shù)據(jù)，必須同時滿足如下條件：

• 存在包括中國有關法律，或者中國締結或者參加的國際條約、協(xié)定，或者按照平等互惠原則等受理依據(jù)；

• 外國司法或者執(zhí)法機構主動提起提供數(shù)據(jù)的請求；

• 中國主管機關批準。

若A公司向境外提供數(shù)據(jù)的行為未能通過中國主管機關批準，A公司將陷入兩難境地。如果不向境外GDPR監(jiān)管機構提供數(shù)據(jù)則將違反GDPR相關規(guī)定，如果向境外GDPR監(jiān)管機構提供數(shù)據(jù)，則將違反《數(shù)安法》、《個保法》的相關規(guī)定，公司及直接負責人皆有承擔責任的風險。

美國執(zhí)法部門可以依據(jù)CLOUD Act的相關規(guī)定，要求電子通信服務或遠程計算服務提供商提供處于其控制之下的電子數(shù)據(jù)的權利。

舉例來說，總部位于美國的蘋果公司，雖將其境內(nèi)的iCloud服務交由云上艾珀（貴州）技術有限公司（下稱“云上貴州”）運營，但蘋果實體（包括APPLE DISTRIBUTION INTERNATIONAL LIMITED蘋果納斯達克上市主體及APPLE INC.）“可在云上貴州提供本服務時不時對云上貴州提供協(xié)助”。[11]美國執(zhí)法機關依舊可以根據(jù)CLOUD Act的相關規(guī)定，要求蘋果公司提供儲存于我國境內(nèi)服務器上的數(shù)據(jù)，可能涉及包括但不限于姓名、手機號碼、個人支付信息、個人健康數(shù)據(jù)等信息。

與GDPR的情景相類似，如果蘋果公司向美國執(zhí)法機關提供了其要求的數(shù)據(jù)，但未獲得我國境內(nèi)主管機關的同意，將違反《數(shù)安法》、《個保法》的相關規(guī)定，公司及直接負責人皆有承擔責任的風險。

滴滴通過VIE 結構在美國實現(xiàn)上市，亦即上市的開曼主體DiDi Global Inc.與境內(nèi)實際運營主體北京小桔科技有限公司完全分離，通過層層協(xié)議控制境內(nèi)運營主體。[12]其上市主體DiDi Global Inc.作為“發(fā)行人”自然落入了美國法的管轄范疇。而北京小桔科技有限公司作為其協(xié)議控制的關聯(lián)公司，會根據(jù)U.S. GAAP的對應規(guī)則并入DiDi Global Inc.合并財務報表中，亦可能落入美國法的管轄范疇，具有配合調(diào)查等義務。

以SOX法案項下，美國公眾公司會計監(jiān)督委員（下稱“PCAOB”）對美國上市公司進行監(jiān)督、檢查為例。根據(jù)SOX法案以及2020年12月18日生效的《外國公司問責法案》（下稱“HFCAA”），在美上市的外國證券發(fā)行人必須遵守PCAOB的審計標準，需要向PCAOB提供詳盡的底稿。而鑒于暫未有執(zhí)法實例，我們難以確定底稿是否可能穿透到實際運營公司北京小桔科技有限公司，以及底稿涉及的具體文件、材料范圍為何。不排除美國可以通過SOX法案的相關規(guī)定，要求調(diào)取滴滴的諸多數(shù)據(jù)。

目前我國對于中概股底稿出境問題態(tài)度十分鮮明，自2001年美國通過薩班斯·奧克斯利法案以來，中國便一直積極與美國政府進行溝通、談判，且曾于2013年與就會計審計跨境執(zhí)法合作達成共識，PCAOB不得對中概股做常規(guī)型檢查，而由中方進行，且底稿不得出境。2019年中國新修訂的《證券法》中亦再次體現(xiàn)了中國的強硬態(tài)度，再次強調(diào)了審計底稿不得出境的原則。

滴滴在其隱私政策中提及其收集的信息包括駕駛員的其姓名、身份證或其他身份證明、面部識別特征、車輛品牌、型號、顏色、車牌號、駕駛證、行駛證、車輛監(jiān)督卡信息、銀行卡信息等。[13]

2021年8月16日發(fā)布的《汽車數(shù)安規(guī)定》作為首個在行業(yè)應用場景中具體細化的數(shù)據(jù)安全管理規(guī)定，明確了人臉信息、車牌信息等的車外視頻、圖像數(shù)據(jù)、涉及個人信息主體超過10萬人的個人信息等數(shù)據(jù)屬于重要數(shù)據(jù)。[14]

根據(jù)《網(wǎng)安法》第三十七條[15]、《汽車數(shù)安規(guī)定》第十一條[16]的相關規(guī)定，重要數(shù)據(jù)應當依法在境內(nèi)存儲；結合《個保法》第四十一條的規(guī)定，境外的司法或者執(zhí)法機構要求提供存儲于我國境內(nèi)的個人信息的，非經(jīng)我國主管機關批準，不得提供，除非我國締結或者參加的國際條約、協(xié)定另有規(guī)定。鑒于我國暫未與美國有此等條約、協(xié)定，未經(jīng)批準，滴滴應當不得向美國司法部和美國證券交易委員會提供相應個人信息。

在管轄權重疊導致諸多企業(yè)面臨數(shù)據(jù)出境兩難困境的背景之下，我們需要提示的是，如果違反境內(nèi)數(shù)據(jù)出境相關規(guī)則，可能會面臨如下責任：

由上表可見，《網(wǎng)安法》對于關鍵信息基礎設施的運營者違法向境外提供網(wǎng)絡數(shù)據(jù)的責任承擔情況作出了規(guī)定；《數(shù)安法》第三十六條則規(guī)定“境內(nèi)的組織、個人”未經(jīng)許可不得向外國司法或者執(zhí)法機構提供存儲于中華人民共和國境內(nèi)的數(shù)據(jù)，如有違反，根據(jù)所造成的的后果嚴重程度，承擔對應的責任。

而《個保法》則規(guī)定的較為籠統(tǒng)，沒有具體規(guī)定未經(jīng)許可向外國司法或者執(zhí)法機構提供個人信息的對應責任。但規(guī)定了公司承擔的責任最高可至五千萬元或者上一年度營業(yè)額百分之五的罰款、吊銷相關業(yè)務許可證、吊銷營業(yè)執(zhí)照，且主管人員和其他直接責任人員需切身承擔責任罰款、且可能在一定期限內(nèi)不得擔任相關企業(yè)的董監(jiān)高及個保負責人。

在制度設計層面，歐盟總體而言是鼓勵數(shù)據(jù)的跨境流動的。因而，GDPR為了規(guī)范歐盟公民和居民的數(shù)據(jù)從歐盟向歐盟外國家和地區(qū)流動設立了相應的規(guī)則。具體可見如下規(guī)則總結圖：

在現(xiàn)階段，除了向經(jīng)充分性認定后的白名單國家傳輸數(shù)據(jù)比較切實可行，還有就是約束性企業(yè)規(guī)則（下稱“BCR”）的運用，亦即在歐盟設立總部或分支機構的跨國公司內(nèi)部機構之間數(shù)據(jù)傳輸和保護的約束性企業(yè)規(guī)則。但如上圖所示，BCR應用前提為經(jīng)監(jiān)管機關的嚴格審批程序后獲批，目前僅有一百多家跨國公司取得了該等批準。

而GDPR其他向外傳輸數(shù)據(jù)規(guī)則難以落地，將來即使可以進一步落實，在執(zhí)行方面也將面臨管轄權重疊帶來的沖突問題。其癥結，如開篇所言，在于全球數(shù)據(jù)的跨境流動統(tǒng)一規(guī)則尚未形成。對于任何一個數(shù)據(jù)主體，輸出數(shù)據(jù)的活動，首先需要適用輸出國的法律。但只要輸入國在對該活動的管轄中具有“長臂管轄權”，則該數(shù)據(jù)主體就要面臨管轄權重疊而帶來的沖突，進而可能引發(fā)企業(yè)合規(guī)沖突。

1. 關于數(shù)據(jù)出境問題，我國的法律法規(guī)主要從以下三個維度進行管控，并非一概不得出境：

• 關鍵信息基礎設施的運營者所收集個人信息及重要數(shù)據(jù)應當存儲在境內(nèi)，確需向境外提供的，應當按照國家網(wǎng)信部門會同國務院有關部門制定的辦法進行安全評估；

• 其他主體所收集的重要數(shù)據(jù)的出境安全管理辦法，由國家網(wǎng)信部門會同國務院有關部門制定，亦會受到管制；

• 達量的主體收集的個人信息，應當將在境內(nèi)收集和產(chǎn)生的個人信息存儲在境內(nèi)且應當通過國家網(wǎng)信部門組織的安全評估，[17]未達量的主體收集的個人信息，雖不以存儲在境內(nèi)為原則，但確需向境外提供的，應當同時符合《個保法》有關“告知與單獨同意”、“ 評估記錄與監(jiān)督”及滿足該法第三十八條的四項要求之一。[18]

而未落入重要數(shù)據(jù)、個人信息維度的數(shù)據(jù)，仍可正常出境，并不受到特殊限制（政務數(shù)據(jù)與公共數(shù)據(jù)暫不討論）[19]。對于重要數(shù)據(jù)及個人信息的辨析、認定和評估，從現(xiàn)在到將來，都將是數(shù)據(jù)出境過程中至關重要的一環(huán)。

2. 《個保法》第三十八條的四項要求與GDPR所規(guī)定的跨境傳輸框架有一定的相似性，可以為企業(yè)數(shù)據(jù)跨境合規(guī)（尤其是個人數(shù)據(jù)跨境）帶來啟發(fā)：

就跨境傳輸框架而言，《個保法》第三十八條第二項規(guī)定了經(jīng)專業(yè)機構進行個人信息保護認證之后，個人信息即可出境。GDPR中亦有與之相似的“認證機制”的規(guī)定；第三項根據(jù)網(wǎng)信部門制定的標準合同與境外接收方訂立合同則與GDPR中“標準數(shù)據(jù)保護條款”的立法設計相似，均通過不可更改的標準合同的方式將法律規(guī)則內(nèi)化到合同中。

GDPR自2018年公布以來，仍未有其批準的行為準則（Code of Conduct），歐盟委員會還在持續(xù)不斷發(fā)布新的決定、對于標準合同文本進行更新。鑒于中國的《個保法》剛出臺不久，對應的評估、認證操作細則及標準合同文本的出臺，仍需要一定時間，一系列規(guī)范及文本應該會逐步落地。

企業(yè)應謹記，以上相似性主要源于同一目的—使企業(yè)在數(shù)據(jù)傳輸活動中切實履行法定義務，以保證個人信息的跨境流動的安全性。由此，在具體規(guī)則尚未出臺前，亦可以未雨綢繆，早做準備，以應對政策實際落地的挑戰(zhàn)。

《個保法》第二十條調(diào)整的是數(shù)據(jù)共同決定者及數(shù)據(jù)共同處理者與個人信息的權利主體之間的規(guī)定。該條明確了：1）如果屬于個人信息處理者共同決定個人信息的處理目的和處理方式的情形，無論內(nèi)部約定如何，其對外都需承擔配合權利主體要求行使《個保法》規(guī)定的權利；2）如果屬于共同處理個人信息的情形，侵害個人信息權益造成損害的，共同處理個人信息的主題需承擔連帶責任。也就是說，與第三方合作，無法當然成為“擋責金牌”。

數(shù)據(jù)出境困境的解決，離不開與境外各國監(jiān)管機構的長時間溝通協(xié)調(diào)，正如美國證券交易委員會與中國證券監(jiān)督管理委員會就中概股底稿出境問題的“沖突”，有待雙方長時間的博弈以期達成合作共識。

誠然，想要在國際社會針對數(shù)據(jù)流通建立統(tǒng)一規(guī)則并非易事。在數(shù)據(jù)流通方面，各個國家的利益及政策并不相同。一個相對穩(wěn)定的秩序的建立，必得是經(jīng)過各方博弈后達到的某種衡平。

更深尚有通樵處，或是秦人未可知。