由此，對于總部位于別國、或具有跨境分支的跨國企業(yè)而言，數據出境可能會帶來兩難困境。以下將主要從歐盟《一般數據保護條例》 (General Data Protection Regulation, 下稱“GDPR”)及美國《澄清境外合法使用數據法案》（下稱“CLOUD Act”）與我國數據出境的相關規(guī)則的沖突出發(fā)，結合《汽車數據安全管理若干規(guī)定（試行）》（下稱“《汽車數安規(guī)定》”）回望滴滴面臨的數據出境問題，對境內數據出境的兩難問題進行分析解讀。

從現有規(guī)定看，《網絡安全法》（下稱“《網安法》”）[1]、《數據安全法》（下稱“《數安法》”）[2]、《個人信息保護法》（下稱“《個保法》”）[3]皆以“地域+行為”的方式確立了境內管轄原則。整體而言，該等法律對于境內管轄的思路基本一致，即只要在我國境內開展了其規(guī)定的相應行為，無論是中國境內的組織、個人還是中國境外的組織、個人，均受到該等法律法規(guī)的規(guī)制。

GDPR意在保護屬于歐盟公民和居民的數據。因此，GDPR適用于處理涉及歐盟公民和居民數據的組織，無論它們是否是總部位于歐盟的組織。

結合GDPR第3條的規(guī)定，以及歐洲數據保護委員會于2019年11月發(fā)布的2.1版《GDPR適用地域范圍指南3/2018（第三條）》的示例，位于中國境內的公司的數據處理活動亦可能受GDPR管轄。[4]

從《薩班斯·奧克斯利法案》（下稱“SOX法案”）到《海外反腐敗法》（下稱“FCPA”），再到Cloud Act，美國在世界范圍內的“長臂管轄”不容忽視。

就CLOUD Act而言，該法案授予了美國執(zhí)法部門以要求電子通信服務或遠程計算服務提供商提供處于其控制之下的電子數據的權利，不論其數據儲存于美國境內還是境外，其適用范圍可以延及我國境內。[5]

基于上述分析，跨國企業(yè)在我國境內根據我國法律設立且注冊于境內的企業(yè)，亦可能落入上述GDPR及CLOUD Act的管轄范疇。很可能由此面臨重疊管轄的問題，既需滿足中國數據相關法律的要求，又要滿足GDPR及CLOUD Act的相關規(guī)定。

而現實“殘酷”之處在于，GDPR在面對其他國家對該條例的承認程度、應對措施和可能發(fā)生的沖突情況都缺少明確的解決途徑。[6] CLOUD Act雖提出了復議及禮讓原則等作為解決沖突的路徑，但符合禮讓原則而免于提供數據有兩個嚴苛的要求：

一來須同時滿足數據權利人不是美國公民或不居住于美國，且數據披露行為會導致服務提供商面臨違反適格外國政府法律的實質性風險。

二來須美國法院作出撤銷和變更處罰內容的裁決，而法官需要充分衡量該個案的全部情況，包括美國和要求數據調取的政府實體的利益、外國政府利益、服務提供商如為滿足要求可能受到的處罰的可能性、性質以及嚴重程度、用戶或客戶與美國關系的性質與程度、服務提供商與美國的關系與程度等多方面因素。

總的來說，復議及禮讓原則的主動權還是掌握在美國政府手中，極有可能不會適用于中國境內企業(yè)。[7]

在重疊管轄的情形之下，企業(yè)在遵循我國數據相關法律的同時要滿足GDPR的監(jiān)管需求，有時會成為“不可能的任務”。

舉例來說，如果某總部位于歐洲的零售公司，將其個人客戶信息管理（CRM）系統(tǒng)部署于德國，其中國子公司（下稱“A公司”）可以登錄該系統(tǒng)錄入、修改、下載數據，如果A公司發(fā)生了涉及CRM系統(tǒng)的個人數據泄露事件，將可能陷入兩難境地。

GDPR第3.1條規(guī)定，GDPR適用于與數據控制者或數據處理者在歐盟領域內所設機構活動相關的個人數據處理，無論該處理行為是否發(fā)生在歐盟領域內。鑒于A公司對于CRM系統(tǒng)的數據處理，很可能被認定為明顯有助于使其總部盈利，屬于與在歐盟領域內所設機構（歐盟總部）的活動相關，所以境內子公司A公司的處理行為，也是受到GDPR管轄的。

故此，A公司需符合GDPR的合規(guī)要求。根據GDPR第33條的相關規(guī)定，在發(fā)生數據泄露的情況下，A公司應當首先向GDPR有權監(jiān)管機構進行報告。[8]

在公司作出相應報告后，GDPR的監(jiān)管機構會進行證據收集、評估。[9]根據GDPR第58條的相關規(guī)定，監(jiān)管機構不僅有權從公司處獲得訪問個人數據的權限，還可以獲得所有其所需要的信息，例如公司相關的經營信息等。[10]

即將生效的《個保法》第四十一條，與業(yè)已生效的《數安法》第三十六條的規(guī)定幾乎如出一轍，區(qū)別僅在于《數安法》所針對的是籠統(tǒng)的境內數據，而《個保法》針對的是儲存于境內的個人信息。

根據兩法規(guī)定，非經批準，境內的組織、個人不得向外國司法或者執(zhí)法機構提供存儲于中華人民共和國境內的數據。

如果以嚴格的視角來解讀，境內主體如要向外國司法或者執(zhí)法機構提供存儲于中華人民共和國境內的數據，必須同時滿足如下條件：

• 存在包括中國有關法律，或者中國締結或者參加的國際條約、協(xié)定，或者按照平等互惠原則等受理依據；

• 外國司法或者執(zhí)法機構主動提起提供數據的請求；

• 中國主管機關批準。

若A公司向境外提供數據的行為未能通過中國主管機關批準，A公司將陷入兩難境地。如果不向境外GDPR監(jiān)管機構提供數據則將違反GDPR相關規(guī)定，如果向境外GDPR監(jiān)管機構提供數據，則將違反《數安法》、《個保法》的相關規(guī)定，公司及直接負責人皆有承擔責任的風險。

美國執(zhí)法部門可以依據CLOUD Act的相關規(guī)定，要求電子通信服務或遠程計算服務提供商提供處于其控制之下的電子數據的權利。

舉例來說，總部位于美國的蘋果公司，雖將其境內的iCloud服務交由云上艾珀（貴州）技術有限公司（下稱“云上貴州”）運營，但蘋果實體（包括APPLE DISTRIBUTION INTERNATIONAL LIMITED蘋果納斯達克上市主體及APPLE INC.）“可在云上貴州提供本服務時不時對云上貴州提供協(xié)助”。[11]美國執(zhí)法機關依舊可以根據CLOUD Act的相關規(guī)定，要求蘋果公司提供儲存于我國境內服務器上的數據，可能涉及包括但不限于姓名、手機號碼、個人支付信息、個人健康數據等信息。

與GDPR的情景相類似，如果蘋果公司向美國執(zhí)法機關提供了其要求的數據，但未獲得我國境內主管機關的同意，將違反《數安法》、《個保法》的相關規(guī)定，公司及直接負責人皆有承擔責任的風險。

滴滴通過VIE 結構在美國實現上市，亦即上市的開曼主體DiDi Global Inc.與境內實際運營主體北京小桔科技有限公司完全分離，通過層層協(xié)議控制境內運營主體。[12]其上市主體DiDi Global Inc.作為“發(fā)行人”自然落入了美國法的管轄范疇。而北京小桔科技有限公司作為其協(xié)議控制的關聯(lián)公司，會根據U.S. GAAP的對應規(guī)則并入DiDi Global Inc.合并財務報表中，亦可能落入美國法的管轄范疇，具有配合調查等義務。

以SOX法案項下，美國公眾公司會計監(jiān)督委員（下稱“PCAOB”）對美國上市公司進行監(jiān)督、檢查為例。根據SOX法案以及2020年12月18日生效的《外國公司問責法案》（下稱“HFCAA”），在美上市的外國證券發(fā)行人必須遵守PCAOB的審計標準，需要向PCAOB提供詳盡的底稿。而鑒于暫未有執(zhí)法實例，我們難以確定底稿是否可能穿透到實際運營公司北京小桔科技有限公司，以及底稿涉及的具體文件、材料范圍為何。不排除美國可以通過SOX法案的相關規(guī)定，要求調取滴滴的諸多數據。

目前我國對于中概股底稿出境問題態(tài)度十分鮮明，自2001年美國通過薩班斯·奧克斯利法案以來，中國便一直積極與美國政府進行溝通、談判，且曾于2013年與就會計審計跨境執(zhí)法合作達成共識，PCAOB不得對中概股做常規(guī)型檢查，而由中方進行，且底稿不得出境。2019年中國新修訂的《證券法》中亦再次體現了中國的強硬態(tài)度，再次強調了審計底稿不得出境的原則。

滴滴在其隱私政策中提及其收集的信息包括駕駛員的其姓名、身份證或其他身份證明、面部識別特征、車輛品牌、型號、顏色、車牌號、駕駛證、行駛證、車輛監(jiān)督卡信息、銀行卡信息等。[13]

2021年8月16日發(fā)布的《汽車數安規(guī)定》作為首個在行業(yè)應用場景中具體細化的數據安全管理規(guī)定，明確了人臉信息、車牌信息等的車外視頻、圖像數據、涉及個人信息主體超過10萬人的個人信息等數據屬于重要數據。[14]

根據《網安法》第三十七條[15]、《汽車數安規(guī)定》第十一條[16]的相關規(guī)定，重要數據應當依法在境內存儲；結合《個保法》第四十一條的規(guī)定，境外的司法或者執(zhí)法機構要求提供存儲于我國境內的個人信息的，非經我國主管機關批準，不得提供，除非我國締結或者參加的國際條約、協(xié)定另有規(guī)定。鑒于我國暫未與美國有此等條約、協(xié)定，未經批準，滴滴應當不得向美國司法部和美國證券交易委員會提供相應個人信息。

在管轄權重疊導致諸多企業(yè)面臨數據出境兩難困境的背景之下，我們需要提示的是，如果違反境內數據出境相關規(guī)則，可能會面臨如下責任：

由上表可見，《網安法》對于關鍵信息基礎設施的運營者違法向境外提供網絡數據的責任承擔情況作出了規(guī)定；《數安法》第三十六條則規(guī)定“境內的組織、個人”未經許可不得向外國司法或者執(zhí)法機構提供存儲于中華人民共和國境內的數據，如有違反，根據所造成的的后果嚴重程度，承擔對應的責任。

而《個保法》則規(guī)定的較為籠統(tǒng)，沒有具體規(guī)定未經許可向外國司法或者執(zhí)法機構提供個人信息的對應責任。但規(guī)定了公司承擔的責任最高可至五千萬元或者上一年度營業(yè)額百分之五的罰款、吊銷相關業(yè)務許可證、吊銷營業(yè)執(zhí)照，且主管人員和其他直接責任人員需切身承擔責任罰款、且可能在一定期限內不得擔任相關企業(yè)的董監(jiān)高及個保負責人。

在制度設計層面，歐盟總體而言是鼓勵數據的跨境流動的。因而，GDPR為了規(guī)范歐盟公民和居民的數據從歐盟向歐盟外國家和地區(qū)流動設立了相應的規(guī)則。具體可見如下規(guī)則總結圖：

在現階段，除了向經充分性認定后的白名單國家傳輸數據比較切實可行，還有就是約束性企業(yè)規(guī)則（下稱“BCR”）的運用，亦即在歐盟設立總部或分支機構的跨國公司內部機構之間數據傳輸和保護的約束性企業(yè)規(guī)則。但如上圖所示，BCR應用前提為經監(jiān)管機關的嚴格審批程序后獲批，目前僅有一百多家跨國公司取得了該等批準。

而GDPR其他向外傳輸數據規(guī)則難以落地，將來即使可以進一步落實，在執(zhí)行方面也將面臨管轄權重疊帶來的沖突問題。其癥結，如開篇所言，在于全球數據的跨境流動統(tǒng)一規(guī)則尚未形成。對于任何一個數據主體，輸出數據的活動，首先需要適用輸出國的法律。但只要輸入國在對該活動的管轄中具有“長臂管轄權”，則該數據主體就要面臨管轄權重疊而帶來的沖突，進而可能引發(fā)企業(yè)合規(guī)沖突。

1. 關于數據出境問題，我國的法律法規(guī)主要從以下三個維度進行管控，并非一概不得出境：

• 關鍵信息基礎設施的運營者所收集個人信息及重要數據應當存儲在境內，確需向境外提供的，應當按照國家網信部門會同國務院有關部門制定的辦法進行安全評估；

• 其他主體所收集的重要數據的出境安全管理辦法，由國家網信部門會同國務院有關部門制定，亦會受到管制；

• 達量的主體收集的個人信息，應當將在境內收集和產生的個人信息存儲在境內且應當通過國家網信部門組織的安全評估，[17]未達量的主體收集的個人信息，雖不以存儲在境內為原則，但確需向境外提供的，應當同時符合《個保法》有關“告知與單獨同意”、“ 評估記錄與監(jiān)督”及滿足該法第三十八條的四項要求之一。[18]

而未落入重要數據、個人信息維度的數據，仍可正常出境，并不受到特殊限制（政務數據與公共數據暫不討論）[19]。對于重要數據及個人信息的辨析、認定和評估，從現在到將來，都將是數據出境過程中至關重要的一環(huán)。

2. 《個保法》第三十八條的四項要求與GDPR所規(guī)定的跨境傳輸框架有一定的相似性，可以為企業(yè)數據跨境合規(guī)（尤其是個人數據跨境）帶來啟發(fā)：

就跨境傳輸框架而言，《個保法》第三十八條第二項規(guī)定了經專業(yè)機構進行個人信息保護認證之后，個人信息即可出境。GDPR中亦有與之相似的“認證機制”的規(guī)定；第三項根據網信部門制定的標準合同與境外接收方訂立合同則與GDPR中“標準數據保護條款”的立法設計相似，均通過不可更改的標準合同的方式將法律規(guī)則內化到合同中。

GDPR自2018年公布以來，仍未有其批準的行為準則（Code of Conduct），歐盟委員會還在持續(xù)不斷發(fā)布新的決定、對于標準合同文本進行更新。鑒于中國的《個保法》剛出臺不久，對應的評估、認證操作細則及標準合同文本的出臺，仍需要一定時間，一系列規(guī)范及文本應該會逐步落地。

企業(yè)應謹記，以上相似性主要源于同一目的—使企業(yè)在數據傳輸活動中切實履行法定義務，以保證個人信息的跨境流動的安全性。由此，在具體規(guī)則尚未出臺前，亦可以未雨綢繆，早做準備，以應對政策實際落地的挑戰(zhàn)。

《個保法》第二十條調整的是數據共同決定者及數據共同處理者與個人信息的權利主體之間的規(guī)定。該條明確了：1）如果屬于個人信息處理者共同決定個人信息的處理目的和處理方式的情形，無論內部約定如何，其對外都需承擔配合權利主體要求行使《個保法》規(guī)定的權利；2）如果屬于共同處理個人信息的情形，侵害個人信息權益造成損害的，共同處理個人信息的主題需承擔連帶責任。也就是說，與第三方合作，無法當然成為“擋責金牌”。

數據出境困境的解決，離不開與境外各國監(jiān)管機構的長時間溝通協(xié)調，正如美國證券交易委員會與中國證券監(jiān)督管理委員會就中概股底稿出境問題的“沖突”，有待雙方長時間的博弈以期達成合作共識。

誠然，想要在國際社會針對數據流通建立統(tǒng)一規(guī)則并非易事。在數據流通方面，各個國家的利益及政策并不相同。一個相對穩(wěn)定的秩序的建立，必得是經過各方博弈后達到的某種衡平。

更深尚有通樵處，或是秦人未可知。