數(shù)據(jù)博弈：跨國公司如何應(yīng)對跨境數(shù)據(jù)披露困境？
發(fā)布時間：2024-09-12
閱讀次數(shù)： 1251 次
未經(jīng)中國主管機關(guān)批準，中國境內(nèi)的組織不得向外國司法或執(zhí)法機構(gòu)提供存儲在中國境內(nèi)的數(shù)據(jù)。
這一要求體現(xiàn)在近幾年發(fā)布的多部“安全閥”法律條文中，例如《數(shù)據(jù)安全法》1和《個人信息保護法》2等；同時，不少行業(yè)要求中也存在類似限制性要求。如果跨國集團公司被某一中國之外的司法轄區(qū)監(jiān)管機關(guān)要求提供該集團在華存儲的業(yè)務(wù)信息，且如果中國和該司法轄區(qū)之間尚未達成相關(guān)的數(shù)據(jù)提供渠道，則該集團可能面臨在中國境內(nèi)外兩個司法轄區(qū)之間的合規(guī)挑戰(zhàn)。自《數(shù)據(jù)安全法》和《個人信息保護法》實施近三年來，其他司法轄區(qū)監(jiān)管機構(gòu)在司法與執(zhí)法實踐中對上述數(shù)據(jù)提供限制提出的挑戰(zhàn)日漸頻繁，比如諸多美國的司法案件和行政執(zhí)法案例3。近來，歐盟委員會與一家中國企業(yè)在歐盟的子公司（該企業(yè)）之間的一起案件再次凸顯了這一法律困境。我們在以下內(nèi)容中介紹了對這一案件的詳細情況，以及跨國公司在應(yīng)對相互沖突的數(shù)據(jù)提供要求時需要考慮的一些實際步驟。歐盟委員會于今年4月對該企業(yè)在荷蘭和波蘭的辦事處進行了突擊檢查。在突擊檢查過程中，歐盟委員會要求查看幾名員工的電子郵件賬戶內(nèi)容。其所要求的數(shù)據(jù)存儲于該企業(yè)中國母公司的服務(wù)器上，并涉及中國籍員工的通信記錄。該企業(yè)向歐盟普通法院申請救濟，試圖以遵守該要求將會迫使該企業(yè)違反中國法律作為理由，拒絕歐盟委員會的要求。法院現(xiàn)已駁回4了該企業(yè)提出的臨時禁令申請，并明確了歐盟委員會在調(diào)查涉嫌違反歐盟法律的行為時有權(quán)要求被調(diào)查對象提供數(shù)據(jù)，無論數(shù)據(jù)存儲于何地。為了挑戰(zhàn)并尋求暫停執(zhí)行歐盟委員會的要求，該企業(yè)提出了若干涉及不同司法管轄區(qū)法律差異的論點，但均未被法院采納。
-
歐盟法律的域外適用：該企業(yè)辯稱，歐盟委員會強迫其提供存儲在中國境內(nèi)服務(wù)器上的文件違反了歐盟法律和國際公法。歐盟委員會不能將其調(diào)查權(quán)擴大到歐盟管轄范圍以外的地區(qū)或個人。然而，歐盟委員會援引歐盟競爭法規(guī)定的權(quán)限，稱其域外調(diào)查權(quán)適用于業(yè)務(wù)在歐盟市場上具有直接和重大影響的公司，而不論這些公司是否處于歐盟境內(nèi)。法院認可了歐盟委員會這一權(quán)力，并指出規(guī)定這一權(quán)力的目的是防止雖然未發(fā)生在歐盟境內(nèi)但對歐盟市場產(chǎn)生影響的行為。
-
該企業(yè)還辯稱，歐盟委員會關(guān)于提供數(shù)據(jù)的要求將迫使該企業(yè)違反中國法律，面臨罰款和刑事責任的風險，因而是不合法的。該企業(yè)特別指出，遵守歐盟委員會的要求將迫使其違反中國法律，根據(jù)《數(shù)據(jù)安全法》第31條和第36條、《個人信息保護法》第41條以及《保守國家秘密法》第28條，該企業(yè)有可能會承擔刑事責任。另一方面，該企業(yè)指出不提供歐盟委員會所要求的信息將使其面臨歐盟制裁的風險。法院認為該企業(yè)的論點過于籠統(tǒng)，缺乏足夠的細節(jié)。法院強調(diào)，法院在評估歐盟委員會決定及其執(zhí)行措施的合法性時，不會將中國法律考慮在內(nèi)，而僅根據(jù)歐盟法律進行評估。此外，法院還指出，只有在未經(jīng)中國主管部門事先授權(quán)的情況下披露數(shù)據(jù)，才會違反該企業(yè)援引的中國法律規(guī)定。然而，該企業(yè)并沒有證明其是否嘗試獲取這一授權(quán)，也未提出其他替代合規(guī)方法。
這一案例凸顯了總部位于中國的跨國公司所面臨的復(fù)雜且沖突的法律局面，即履行國內(nèi)數(shù)據(jù)安全法律項下的義務(wù)可能導(dǎo)致其違反運營活動所處的歐盟（或其他市場）的外國法律。為降低這些風險，在歐盟運營的中國公司應(yīng)考慮以下策略：
-
了解法律環(huán)境：中國公司應(yīng)將該案件視為警示，盡快了解歐盟和中國各自適用的跨境傳輸規(guī)則，并及早進行相關(guān)規(guī)劃。
-
為案件做好充分準備：歐盟法院在該企業(yè)的論點中發(fā)現(xiàn)多個漏洞，其中包括：
-
未能解釋該企業(yè)為何無法獲取歐盟委員會要求的信息；
-
中國法律如何阻止該企業(yè)在歐盟設(shè)立的實體回應(yīng)歐盟委員會的要求，或為何中國法律與這些歐盟實體相關(guān)；
-
中國法律下的刑事責任是否適用于提供本案要求提供的信息；
-
該企業(yè)是否嘗試向中國監(jiān)管機關(guān)申請了必要的授權(quán)，以便將數(shù)據(jù)傳輸給歐盟委員會；及
-
該企業(yè)是否有其他方法可以在不違反中國法律的情況下遵守歐盟委員會的要求。有觀點認為，如果該企業(yè)就上述各項提供合理充分的解釋，法院可能會進一步考慮其立場。這一案例凸顯了企業(yè)在尋求法律救濟時做好充分準備的重要性。
-
聘請專家應(yīng)對陌生且復(fù)雜的程序：鑒于歐盟行政調(diào)查和訴訟的法律程序復(fù)雜，每次向政府機關(guān)或法院傳達信息時都應(yīng)特別謹慎。例如，在本案中，歐盟法院認定其無需聽取雙方的口頭辯論，這可能限制了該企業(yè)進一步詳細闡述其論點的機會。聘請歐盟法律專家將很可能有助于降低這方面的風險。
-
主動與監(jiān)管機構(gòu)溝通：企業(yè)應(yīng)盡早與所有相關(guān)司法管轄區(qū)的監(jiān)管機構(gòu)接觸，尋求澄清、豁免和/或必要的授權(quán)，以避免潛在的不利法律后果。監(jiān)管機構(gòu)的授權(quán)程序通常缺乏明確的完成期限，且耗時較長，因此企業(yè)在預(yù)設(shè)取得授權(quán)的案件時間表時應(yīng)將這一因素納入考慮。
-
盡量避免提供存儲于中國的數(shù)據(jù)：企業(yè)應(yīng)該對被要求提供的數(shù)據(jù)進行仔細審查，在滿足監(jiān)管機關(guān)要求的同時，盡量限制提供的數(shù)據(jù)量，以降低合規(guī)風險。此外，鑒于相同數(shù)據(jù)可以同時存儲于多地，企業(yè)可以考慮其是否已在中國境外存儲了監(jiān)管機關(guān)所要求的數(shù)據(jù)，進而可以在不違反中國數(shù)據(jù)安全法律義務(wù)的情況下向監(jiān)管機關(guān)提供。
-
IT系統(tǒng)隔離：企業(yè)可以在不同司法管轄區(qū)的實體之間采用隔離的IT系統(tǒng)，這可能有助于合法地避免其他司法管轄區(qū)監(jiān)管機構(gòu)的數(shù)據(jù)訪問請求，從而在確保遵守不同司法管轄區(qū)之間可能相互沖突的法律要求的同時，最大限度地保護企業(yè)的敏感信息。近年來，IT和數(shù)據(jù)隔離策略已是跨國公司頻繁討論的話題之一。
在各司法管轄區(qū)簽訂雙邊或多邊國際條約或出臺相關(guān)國內(nèi)法實施細則之前，不同司法轄區(qū)之間可能存在的法律沖突將持續(xù)為跨國公司的運營帶來合規(guī)挑戰(zhàn)。為應(yīng)對目前錯綜復(fù)雜的法律環(huán)境，中國公司需要周密的準備、策略性的溝通以及健全的IT基礎(chǔ)設(shè)施和數(shù)據(jù)管理策略，以有效降低其全球業(yè)務(wù)帶來的合規(guī)風險。
轉(zhuǎn)自：昭勝年利達
官方訂閱號
官方服務(wù)號
第59號
浙公網(wǎng)安備 33010502006954號 
