新闻动态

国际:跨境数据传输中的充分或等效保护问题

作为一种常见的商业惯例,跨境数据传输的激增伴随着日益严峻的法律和法规环境的规范。现在讨论了其中一些挑战,并提供了四步方法来帮助公司在将数据传输到其他司法管辖区的当事人时确保其合规性。

国际:跨境数据传输中的充分或等效保护问题 介绍 客户问:“我的新加坡办事处可以将个人数据转移到海外吗?”

(未具名的)新加坡数据保护律师的回答是:“好吧,前提是您确保该数据获得了与新加坡法律相当的保护标准。” 他说出斜体字是因为他解释了《 2012年新加坡个人数据保护法》(2012年第26号)(“ PDPA”)。

因此,客户自然会问:“但是,并非所有的数据隐私法都大致相同吗?”

律师对此说:“好,这是一个难题。”

客户抗议:“你只是想向我收取更多的钱。不是吗?”

但这是一个难题。不,这不是给发票充气的借口。

随着越来越多的企业在多个地区开展业务并采用基于云的解决方案,跨境数据传输的使用正在增加。因此,在数据保护或隐私法下规避跨境数据传输限制已成为一种必要。

这可能是一个不同的法律体系如何运作的问题,但是在大多数辖区中,跨境数据传输限制意味着要确保您发送数据的地点(目的地辖区)提供了“适当级别”的保护。

但是,什么是适当的,可能会有所不同。在这里,魔鬼经常会出现在细节中(或替代地,在提供的发票中)。

充分性-由公共决策确定 解决充分性的一种方法是通过监管机构进行评估,其中最著名的例子是欧盟委员会(EC)根据《通用数据保护条例》(《规章》(EU) )2016/679)('GDPR')。

在此过程中,欧盟提出了一项建议,以考虑特定的非欧盟管辖区是否满足GDPR的充分性要求。随后,由欧洲数据保护委员会发布意见,然后由欧盟国家的代表进行审议(并可能获得批准)。然后,此过程最终通过了EC 1的决定。

当针对特定司法管辖区发布肯定的充分决策时,EC实质​​上是将该司法管辖区“白名单”,即确定其具有对个人数据的足够保护水平,从而不会将个人数据从欧盟内部转移到该国家/地区需要任何进一步的授权。

对迄今为止发布的适当性决定中使用的分析步骤进行比较回顾,本身将是一件有趣的文章,但是对于本文而言,窥视最近的适当性决定就足够了,即关于日本的适当性决定(2019年1月23日)2。

在这种情况下,分析总结并回顾了日本数据保护法,例如《个人信息保护法》(“ 2003年第57号法”)(“ APPI”),其中包括:

审查APPI下的概念; APPI下的权利,义务,排除和其他保护措施; 监督和执行,涉及执行和司法补救的权力;和 审查该国法律对公共当局的影响及其在访问该数据时受到检查/限制的能力(Schrems 3案之后的一个重要主题)。 值得注意的是,这里没有提及统计数据或对执行成本的任何分析,也没有提及有关诉诸司法的困难或便利的讨论。换句话说,该分析未涉及非专业人员可能考虑的“现实世界中的考虑因素”。但是,由于难以量化和评估实际的“实地”问题,因此可以理解。

对于企业而言,此过程对其提供的清晰度很有帮助。但是,与许多政府程序一样,这可能需要时间。该过程自1990年代就已经存在,但是,截至本文撰写之时,只有十几个司法管辖区收到了一项适当的积极裁决,而日本只是亚太地区第二个作出此裁决的司法管辖区。

充足性-通过私人协议/安排实现 考虑到快速有效地开展业务的实际需求,这一速度问题使得有必要考虑对私人协议(例如双边/多方合同)和安排(例如政策,流程和审计)的依赖。

私人协议和安排最终将重点放在单个政党(一个或多个政党)上,以及他们亲自采取的私有步骤以确保从国家/地区转移数据符合标准。在GDPR的背景下,数据传输工具包括使用约束性公司规则(“ BCR”)4,同意协议以及使用模型条款的数据传输协议。

从立法角度来看,这种方法通常包括多个方面,涉及评估在每种情况下实施的保障措施的可行性。

这种方法并不意味着目的地司法管辖区的实际立法或监管状况不相关,而是将重点转移到个人安排上,以实现合规。

当然,公共安排和私人安排之间的区别并不精确。部门/行业一级的集体私人行动也可以通过提出标准来影响安排。这可以导致私人制定的标准获得认可,一旦它们在采用方面达到临界质量,最终将为实施制定一条监管/立法途径5。

新加坡根据《个人资料保护法》第26条规定的数据传输规则规定了一项义务,即“确保组织为这样转移的个人数据提供与《个人资料保护法》6所提供的保护相当的保护标准。这表明,与充分性决定一样,焦点仍然集中在标准上,需要与PDPA标准进行比较。

本部分由《 2014年个人数据保护条例》作为补充,该条例为寻求传输数据的组织提出了一系列可能的途径。这些包括:

征得数据当事人的同意; 证明转让对于缔结或履行合同是必要的;和 识别和适用某些豁免(例如,免除同意义务,可公开获得的数据,传输中的数据)7。 但是最重​​要的是,至关重要的是,跨境转移的当事方之间要执行具有法律约束力的特定协议,并用条款来规范各自与该转移有关的义务。

制定私人协议的范围:四个关键步骤 当然,只要有私人协议,就需要评估和解决当地法律对此类协议的影响。

在比较相关标准的过程中,很可能存在在不同的国家规则之间进行比较的问题。不同的地方法律可能会规定不同的要求,例如,包括通知转让给数据保护监管机构,采取措施注册转让安排以供批准,履行特定义务并要求各方之间明确/明确达成协议等步骤,或者使用标准化协议表格。

要浏览竞争标准,理解游戏中的观点并提出以下问题也很重要:

转移的原因是什么? 工作中有保障措施吗? 是否有解决数据泄露或潜在风险的协议或流程? 随着时间的流逝会发生什么变化? 任何协议的条款和条件都可能恰好适合于这些不同方面,并确保存在可用于补充合同保障措施的运营流程。

这表明在每个司法管辖区至少应采用以下四个关键步骤:

考虑跨境转移安排是否属于/符合来源国管辖范围内允许的任何类别的跨境数据转移。这还应包括考虑到有适当的转让安排就可以确保这些许可继续适用的必要条件。 遵循监管步骤和协调(无论在始发地还是目的地地域)。 用适当的私人协议,操作流程和保障措施对所有转让安排进行补充-确保这些措施始终适合于所涉转让的性质。 在开始时然后在以后定期验证协议,过程和保护措施是否违反始发地和目的地管辖区的法律。 结论 那么,在本文开始时对客户的冷嘲热讽是否值得?

这种复杂性是否足以向客户收取更多的钱?

确实,这听起来确实像是要采取详细步骤,起草协议,考虑可能的排列方式。可能全部转化为额外费用吗?

就像所有优秀的律师都会说的那样:这取决于。

跨境转移安排的种类繁多,不能完全适合一个模型。

其中一些模型是“成本轻型”的(因为它们可能易于应用,而不会在法律和法规方面严重加重负担,尽管运营保障和流程也可能具有一张或多张发票)。自己的8)。

还有一些人可能需要更加集中精力来使事情井然有序。

因此,细节(或发票)中的魔鬼可能比原先想象的要小或大得多。

但是话又说回来,用足够的知识武装自己来执行上述四个关键步骤可能会帮助您熟悉他。

毕竟,比您不了解的恶魔还要好,您知道的恶魔。

上一篇:丹麦:国际数据传输和修订的准则

下一篇:英国:DCMS发布了解释性框架,以支持与欧盟脱欧后的数据传输

关注云语科技

wechat qrcode

微信扫一扫,获取最新资讯