我國汽車領(lǐng)域數(shù)據(jù)跨境流動需求日益增加。國內(nèi)數(shù)據(jù)跨境流動管理法規(guī)、制度與國際規(guī)則存在差異，車企面臨較大雙重合規(guī)壓力。本文立足汽車行業(yè)，通過研究歐美數(shù)據(jù)跨境監(jiān)管要求并進(jìn)行對比，提出完善我國數(shù)據(jù)跨境管理的啟示。
01汽車數(shù)據(jù)跨境流動需求頻繁，車企面臨雙重合規(guī)壓力
(資料圖片僅供參考)
中國汽車加速出海且深度參與全球化，車企的數(shù)據(jù)跨境流動需求增加。近兩年，我國車企接連在海外新建/擴(kuò)建生產(chǎn)工廠、研發(fā)中心、銷售中心等，中國汽車呈加速出海且深度參與市場全球化的趨勢。據(jù)調(diào)研，車企目前將海外數(shù)據(jù)存儲在當(dāng)?shù)刈杂袛?shù)據(jù)中心或公有云中，沒有涉及出口國當(dāng)?shù)貍€人信息跨境傳輸。但由于海外銷售、研發(fā)等分支機(jī)構(gòu)需要共用國內(nèi)業(yè)務(wù)系統(tǒng)，會有研發(fā)、制造、銷售、財(cái)務(wù)、運(yùn)行等相關(guān)數(shù)據(jù)跨境流動的需求。根據(jù)要求，個人信息數(shù)據(jù)應(yīng)本地存儲，但涉及技術(shù)的數(shù)據(jù)卻免不了出境或遠(yuǎn)程跨國訪問。
全球汽車數(shù)據(jù)安全事件頻發(fā)，數(shù)據(jù)跨境成為各國合規(guī)監(jiān)管的重要部分。2021-2022年間，大眾、沃爾沃、通用、豐田、蔚來等均公開表示有不同規(guī)模、不同類型的數(shù)據(jù)遭泄露，其中涉及到用戶、研發(fā)等敏感數(shù)據(jù)。由于汽車行業(yè)數(shù)據(jù)包含大量用戶隱私、地理信息數(shù)據(jù)，且部分?jǐn)?shù)據(jù)與關(guān)鍵信息基礎(chǔ)設(shè)施關(guān)聯(lián)，跨境流通成為我國乃至全球各國監(jiān)管的重點(diǎn)。
車企海外數(shù)據(jù)全部本地化存儲或影響企業(yè)效益，而數(shù)據(jù)跨境流動將增加企業(yè)國內(nèi)外監(jiān)管壓力。車企所有海外數(shù)據(jù)只在本地存儲，或?qū)訐u跨國車企長期采取的遠(yuǎn)程支持、維護(hù)、集中化管理模式，甚至延緩技術(shù)發(fā)展進(jìn)程、提高本地化設(shè)備部署成本。例如，短視頻平臺TikTok計(jì)劃在愛爾蘭和挪威共新建三個數(shù)據(jù)中心，預(yù)計(jì)每月額外投入12億歐元管理成本。
車企數(shù)據(jù)跨境流動要面臨多國監(jiān)管壓力。全球已有100多個國家出臺了數(shù)據(jù)安全法律法規(guī)，對數(shù)據(jù)安全、隱私保護(hù)等相關(guān)問題進(jìn)行嚴(yán)格規(guī)范。這些法律條例管轄范圍不僅包括本國范圍內(nèi)的數(shù)據(jù)處理行為，更涵蓋境外數(shù)據(jù)處理。各國監(jiān)管要求存在差異，企業(yè)需要同時滿足不同數(shù)據(jù)合規(guī)要求才能保證產(chǎn)品和業(yè)務(wù)正常售賣和運(yùn)轉(zhuǎn)，全面適配難度較大。對跨國車企來說，短期內(nèi)數(shù)據(jù)出境安全合規(guī)將是一個極大的挑戰(zhàn)。另外，由于各國嚴(yán)格的規(guī)定和懲罰措施，車企也很容易因?yàn)槭韬龆鴮?dǎo)致巨額罰款。
02國外數(shù)據(jù)監(jiān)管對我國汽車數(shù)據(jù)跨境管理的啟示
歐盟設(shè)立約束性企業(yè)規(guī)則（BCRs），以應(yīng)對跨國車企總部與分支機(jī)構(gòu)之間頻繁的數(shù)據(jù)跨境流動問題。近期汽車企業(yè)數(shù)據(jù)出境安全評估向監(jiān)管部門送審時發(fā)現(xiàn)，境內(nèi)的跨國車企分支需要頻繁和境外總部之間進(jìn)行數(shù)據(jù)交互。我國雖已規(guī)范安全評估、認(rèn)證和標(biāo)準(zhǔn)合同三種途徑的數(shù)據(jù)出境方式，但尚未對跨國企業(yè)內(nèi)部之間的數(shù)據(jù)跨境傳輸設(shè)置專門的審批途徑，通過上述三種途徑的效率相對較低且監(jiān)管部門的審批壓力較大。而歐盟設(shè)立的BCRs模式，類似適用于跨國企業(yè)的“白名單”，跨國企業(yè)、集團(tuán)公司如果具備歐盟成員國數(shù)據(jù)管理機(jī)構(gòu)認(rèn)可的約束性企業(yè)規(guī)則，歐盟行政機(jī)關(guān)對整個企業(yè)內(nèi)部的數(shù)據(jù)跨境流通合規(guī)框架審查合格之后，可以直接進(jìn)行集團(tuán)內(nèi)部的個人數(shù)據(jù)跨境傳輸，無需另行批準(zhǔn)，但不得傳輸至其他主體。
現(xiàn)階段我國車企數(shù)據(jù)出境主要包含兩種情況：重要數(shù)據(jù)出境，只有安全評估一種方式；非重要數(shù)據(jù)出境，可以通過標(biāo)準(zhǔn)合同或安全認(rèn)證，標(biāo)準(zhǔn)合同相對更方便。對于歐盟內(nèi)的汽車數(shù)據(jù)回境，我國并未取得“充分性認(rèn)定”，需要采取標(biāo)準(zhǔn)合同、約束性企業(yè)規(guī)則、認(rèn)證機(jī)制或行為準(zhǔn)則等適當(dāng)保障措施，為數(shù)據(jù)主體提供可執(zhí)行權(quán)利與有效法律救濟(jì)措施。對于集團(tuán)內(nèi)部的數(shù)據(jù)跨境，中大型跨國車企可選擇BCRs；對于企業(yè)間個人數(shù)據(jù)跨境，簽訂標(biāo)準(zhǔn)合同更普遍。
我國雖然從法律層面為BCRs作為合法出境方式預(yù)留了口子，但當(dāng)前跨國車企將我國境內(nèi)數(shù)據(jù)傳輸至境外總部，BCRs模式暫不適用。長期來看，我國若要引進(jìn)類似BCRs的模式，還需進(jìn)一步明確適用的企業(yè)范圍、適用的數(shù)據(jù)類型以及境外總部能否接受中國監(jiān)管部門檢查等問題。
借鑒美國數(shù)據(jù)本地化存儲方式，進(jìn)一步健全我國汽車數(shù)據(jù)本地化存儲制度。為回應(yīng)美國政府對數(shù)據(jù)本地化存儲的要求，TikTok與拜登政府達(dá)成“充分保障用戶數(shù)據(jù)安全和美國國家安全利益”的協(xié)議，將美國用戶的受保護(hù)數(shù)據(jù)存儲在位于德克薩斯州的甲骨文數(shù)據(jù)中心，并授權(quán)甲骨文作為“看門人”審計(jì)和監(jiān)督數(shù)據(jù)的流動與訪問，體現(xiàn)了美國試圖保證本土數(shù)據(jù)安全的控制力。
與之相比，我國監(jiān)管部門精力仍集中在數(shù)據(jù)出境安全管理上，尚未對數(shù)據(jù)本地化存儲政策作進(jìn)一步研究，《網(wǎng)絡(luò)安全法》僅提出關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者收集的重要數(shù)據(jù)、個人信息應(yīng)在境內(nèi)存儲，未對國外企業(yè)在我國境內(nèi)處理數(shù)據(jù)活動進(jìn)行規(guī)范。隨著智能網(wǎng)聯(lián)汽車數(shù)據(jù)規(guī)模日益增加，從國家安全角度來看，保護(hù)力度略顯不足。因此，我國應(yīng)在現(xiàn)行數(shù)據(jù)本地化存儲制度框架下，針對汽車領(lǐng)域的重要數(shù)據(jù)和個人信息，進(jìn)一步明確“管用”分離的監(jiān)管要求，并適當(dāng)增加跨國企業(yè)在我國的數(shù)據(jù)本地化存儲和處理要求，比如數(shù)據(jù)只能存儲在我國政府信任且可控的境內(nèi)數(shù)據(jù)中心，且數(shù)據(jù)訪問者為中方人員，在此基礎(chǔ)上逐步放寬跨國企業(yè)對數(shù)據(jù)的開發(fā)利用。
歐美不斷拓展數(shù)據(jù)跨境“朋友圈”，以維系在全球數(shù)據(jù)規(guī)則制定中的話語權(quán)和影響力。當(dāng)前歐美等主要國家正通過雙邊/多邊協(xié)定積極構(gòu)建以自身為中心的數(shù)據(jù)跨境流動生態(tài)圈，既為合作國家之間的數(shù)據(jù)跨境傳輸提供便利途徑，也能對外輸出自身的數(shù)據(jù)跨境流動規(guī)則主張。
歐盟主要通過GDPR的“充分性認(rèn)定”協(xié)議參與并主導(dǎo)數(shù)據(jù)跨境流動監(jiān)管與協(xié)調(diào)，并設(shè)立“白名單”允許通過認(rèn)定的國家可以不受限制地將在歐盟收集的個人數(shù)據(jù)引入國內(nèi)，至今已有日本、新西蘭、加拿大等14個非歐盟國家（地區(qū)）進(jìn)入白名單。
美國依靠國際貿(mào)易協(xié)定推行數(shù)據(jù)自由流動主張。美國是最早將個人數(shù)據(jù)傳輸條款納入國際貿(mào)易協(xié)定的國家，主要利用自身全球政治經(jīng)濟(jì)影響力推行數(shù)據(jù)自由流動規(guī)則體系，建立自己的數(shù)據(jù)跨境“朋友圈”。1980年美國便開始在經(jīng)濟(jì)合作與發(fā)展組織（OECD）框架下推動數(shù)據(jù)保護(hù)項(xiàng)目。在2004年的《美國-智利自由貿(mào)易協(xié)定》、2012年的《美國-韓國自由貿(mào)易協(xié)定》、2018年的《美國-墨西哥-加拿大協(xié)定》中都推行數(shù)據(jù)全球自由流動主張。
各國數(shù)據(jù)監(jiān)管要求存在一定差異，過去我國參與的雙邊/多邊協(xié)定中較少涉及數(shù)據(jù)跨境流動的條款，我國車企出海發(fā)展會面臨較大數(shù)據(jù)安全合規(guī)壓力。借鑒歐美經(jīng)驗(yàn)，我國需圍繞數(shù)據(jù)跨境傳輸與其他國家構(gòu)建對等互認(rèn)的協(xié)議或機(jī)制，既能輸出我國數(shù)據(jù)安全監(jiān)管的底線原則，也能為我國車企在合作國家間的數(shù)據(jù)跨境傳輸提供便利。
借鑒高開放度的國際規(guī)則，進(jìn)而完善我國汽車數(shù)據(jù)跨境規(guī)則。我國“三法一條例”以及《數(shù)據(jù)出境安全評估辦法》均對數(shù)據(jù)跨境流動予以法律規(guī)制，初步形成跨境數(shù)據(jù)流動管理體系，但與《全面與進(jìn)步跨太平洋伙伴關(guān)系協(xié)定》（以下簡稱“CPTPP”）、《數(shù)字經(jīng)濟(jì)伙伴關(guān)系協(xié)定》（以下簡稱“DEPA”）等規(guī)定的高開放度、高管理水平數(shù)據(jù)跨境流動規(guī)則相比，仍存在不兼容問題。
例如，CPTPP要求締約方在對數(shù)據(jù)跨境流動采取限制措施時，對國際貿(mào)易造成的負(fù)擔(dān)應(yīng)維持在最低水平。日本、新加坡等CPTPP成員針對個人信息跨境傳輸設(shè)置了“同等保護(hù)”的認(rèn)定標(biāo)準(zhǔn)，通過認(rèn)定的國家不需要對每次跨境活動再進(jìn)行審查。而我國數(shù)據(jù)出境評估結(jié)果有效期僅為兩年，且在有效期內(nèi)出現(xiàn)接收方所在地法律環(huán)境、向境外提供數(shù)據(jù)目的方式范圍類型等發(fā)生變化的，數(shù)據(jù)處理者應(yīng)當(dāng)重新申報(bào)評估。
在保證數(shù)據(jù)安全的基礎(chǔ)上，應(yīng)適當(dāng)調(diào)整數(shù)據(jù)跨境管理要求，以提升我國數(shù)據(jù)安全法律法規(guī)與國際領(lǐng)先規(guī)則的銜接性，主動對照數(shù)據(jù)相關(guān)規(guī)則、規(guī)制、管理、標(biāo)準(zhǔn)等，積極推動加入CPTPP、DEPA等高標(biāo)準(zhǔn)經(jīng)貿(mào)協(xié)議。隨著國內(nèi)數(shù)據(jù)安全管理逐步完善，應(yīng)加快探索以我國數(shù)據(jù)管理主張和標(biāo)準(zhǔn)為主導(dǎo)的國際協(xié)議，進(jìn)而提升我國在數(shù)據(jù)規(guī)則制定中的話語權(quán)和影響力。
執(zhí)筆：梁嘉琪、賈浩
參考文獻(xiàn)：許皖秀，左曉棟“美國審查TikTok數(shù)據(jù)安全帶來的啟示與思考”
