《網(wǎng)絡(luò)安全法》第三十七條確立了個(gè)人信息和重要數(shù)據(jù)境內(nèi)存儲(chǔ)的原則，《個(gè)人信息保護(hù)法》第三十八條則提供四種個(gè)人信息出境的合規(guī)路徑，即完成安全評(píng)估審查，通過(guò)個(gè)人信息保護(hù)認(rèn)證，訂立標(biāo)準(zhǔn)格式合同以及兜底條款，前三項(xiàng)合規(guī)路徑構(gòu)成了我國(guó)個(gè)人信息出境的主要機(jī)制。

　　路徑一：安全評(píng)估審查

　　《數(shù)據(jù)安全評(píng)估辦法》第四條明確了數(shù)據(jù)出境安全評(píng)估審查的強(qiáng)制觸發(fā)條件：

　　1.數(shù)據(jù)處理者向境外提供重要數(shù)據(jù)；

　　2.關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者和處理100萬(wàn)人以上個(gè)人信息的數(shù)據(jù)處理者向境外提供個(gè)人信息；

　　3.自上年1月1日起累計(jì)向境外提供10萬(wàn)人個(gè)人信息或者1萬(wàn)人敏感個(gè)人信息的數(shù)據(jù)處理者向境外提供個(gè)人信息；

　　4.國(guó)家網(wǎng)信部門規(guī)定的其他需要申報(bào)數(shù)據(jù)出境安全評(píng)估的情形。

　　其中第二條是關(guān)于數(shù)據(jù)處理者類型的觸發(fā)條件，即關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者（CIIO）和個(gè)人信息量級(jí)巨大的數(shù)據(jù)處理者，這兩類數(shù)據(jù)處理者因業(yè)務(wù)需求需要向境外傳輸個(gè)人信息時(shí)，無(wú)論傳輸頻次及規(guī)模均需要通過(guò)安全評(píng)估審查；第四條則是對(duì)于個(gè)人信息出境規(guī)模的觸發(fā)條件，并且明確區(qū)分了處理個(gè)人信息和個(gè)人敏感信息不同量級(jí)。由此，根據(jù)上述規(guī)則，企業(yè)可以結(jié)合自身業(yè)務(wù)需求和未來(lái)發(fā)展規(guī)劃合理判斷是否需要申報(bào)完成數(shù)據(jù)安全評(píng)估審查。

　　需要注意的是，在提交申報(bào)前企業(yè)需要完成數(shù)據(jù)出境風(fēng)險(xiǎn)自評(píng)估，以及提交擬訂立的法律約束性文件。數(shù)據(jù)出境風(fēng)險(xiǎn)自評(píng)估報(bào)告對(duì)于順利通過(guò)安全評(píng)估審查至關(guān)重要，可以理解為企業(yè)向網(wǎng)信部門提交的“考卷”，因而企業(yè)在提交申報(bào)前需要按照《數(shù)據(jù)安全評(píng)估辦法》等要求開(kāi)展數(shù)據(jù)合規(guī)治理工作，完成數(shù)據(jù)風(fēng)險(xiǎn)篩查及整改。

　　路徑二：個(gè)人信息保護(hù)認(rèn)證

　　個(gè)人信息保護(hù)認(rèn)證是跨國(guó)企業(yè)或同一經(jīng)濟(jì)實(shí)體處理個(gè)人信息出境業(yè)務(wù)的重要手段，該機(jī)制的適用情形和底層邏輯與歐盟的BCRs類似，認(rèn)證獲批后即可在法定/約定范圍內(nèi)進(jìn)行個(gè)人信息跨境傳輸。2022年11月至12月先后發(fā)布的《個(gè)人信息保護(hù)認(rèn)證實(shí)施規(guī)則》及其配套文件《網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實(shí)踐指南——個(gè)人信息跨境處理活動(dòng)安全認(rèn)證規(guī)范V2.0》完善了開(kāi)展跨境處理活動(dòng)的個(gè)人信息保護(hù)認(rèn)證機(jī)制。

　　個(gè)人信息保護(hù)認(rèn)證流程由五個(gè)主要環(huán)節(jié)組成，分別是認(rèn)證申請(qǐng)、技術(shù)驗(yàn)證、現(xiàn)場(chǎng)審核、認(rèn)證決定、獲證后監(jiān)督。個(gè)人信息保護(hù)認(rèn)證特別適合出海車企實(shí)現(xiàn)集團(tuán)公司內(nèi)的個(gè)人信息跨境流動(dòng)需求，并且企業(yè)可以在完成跨境認(rèn)證規(guī)范要求的同時(shí)以歐盟BCRs為補(bǔ)充，從企業(yè)實(shí)際業(yè)務(wù)需求出發(fā)形成PIP-CB—BCRs的雙向認(rèn)證，以滿足集團(tuán)企業(yè)內(nèi)部個(gè)人信息在歐盟與中國(guó)跨境傳輸?shù)暮弦?guī)需求。

　　路徑三：個(gè)人信息出境標(biāo)準(zhǔn)合同

　　2022年6月，國(guó)家網(wǎng)信辦發(fā)布《個(gè)人信息出境標(biāo)準(zhǔn)合同規(guī)定（征求意見(jiàn)稿）》以及標(biāo)準(zhǔn)合同文本。我國(guó)標(biāo)準(zhǔn)合同與歐盟SCC的適用范圍和底層邏輯同樣較為相似，但由于我國(guó)并未明確區(qū)分“數(shù)據(jù)處理者和數(shù)據(jù)控制者”，因此我國(guó)的標(biāo)準(zhǔn)合同文本可以適用于除需要安全評(píng)估之外的所有情況下的數(shù)據(jù)出境。

　　同時(shí)，該規(guī)定提出了對(duì)于已訂立的合同的備案要求，即合同生效之日起10個(gè)工作日內(nèi)向省級(jí)網(wǎng)信辦提交標(biāo)準(zhǔn)合同以及個(gè)人信息保護(hù)影響評(píng)估報(bào)告。【9】備案機(jī)制并不等同于事前行政審批，其目的是加強(qiáng)行政監(jiān)督管理，要求行政相對(duì)人通過(guò)報(bào)送方式將有關(guān)材料向有關(guān)行政機(jī)關(guān)提交存儲(chǔ)，以備事后監(jiān)督和檢查。

　　對(duì)于個(gè)人信息處理規(guī)模較小、出境需求頻次較低的企業(yè)而言，較為適宜通過(guò)標(biāo)準(zhǔn)合同、個(gè)人信息保護(hù)認(rèn)證與個(gè)人信息保護(hù)影響評(píng)估等制度相結(jié)合以實(shí)現(xiàn)個(gè)人信息出境業(yè)務(wù)需求。需要注意的是，個(gè)人信息保護(hù)認(rèn)證以及個(gè)人信息出境標(biāo)準(zhǔn)合同不可替代安全評(píng)估審查，這意味著境內(nèi)主體的數(shù)據(jù)出境活動(dòng)如果觸發(fā)了安全審查條件，就仍然需要完成安全評(píng)估審查。

　　三、智能網(wǎng)聯(lián)汽車企業(yè)個(gè)人信息跨境傳輸?shù)暮弦?guī)建議

　　（一）合理部署地區(qū)數(shù)據(jù)存儲(chǔ)及處理中心

　　對(duì)于當(dāng)前大多數(shù)法域以數(shù)據(jù)本地化存儲(chǔ)為原則的數(shù)據(jù)跨境流動(dòng)規(guī)則框架而言，合理部署數(shù)據(jù)存儲(chǔ)及處理中心是智能網(wǎng)聯(lián)汽車企業(yè)降低合規(guī)風(fēng)險(xiǎn)與成本、政府提高行政及業(yè)務(wù)效率的有效措施。

　　對(duì)于要求將個(gè)人信息或敏感個(gè)人信息進(jìn)行本地化存儲(chǔ)的國(guó)家或地區(qū)部署數(shù)據(jù)服務(wù)器，對(duì)于沒(méi)有本地化要求的國(guó)家，在考慮數(shù)據(jù)中心選址時(shí)，應(yīng)考慮擬布局國(guó)家/地區(qū)的數(shù)據(jù)保護(hù)能力被認(rèn)可的程度。

　　在被國(guó)際廣泛認(rèn)可的“充分保護(hù)”國(guó)家建立數(shù)據(jù)中心或數(shù)據(jù)港，以便其數(shù)據(jù)存儲(chǔ)及合理利用，實(shí)現(xiàn)業(yè)務(wù)和數(shù)據(jù)保護(hù)的平衡，降低數(shù)據(jù)跨境傳輸?shù)暮弦?guī)風(fēng)險(xiǎn)與合規(guī)成本。比如，基于地理及政策等多方面因素考量，愛(ài)爾蘭已經(jīng)成為亞馬遜AWS云計(jì)算、微軟和谷歌等全球技術(shù)公司的云計(jì)算中心，成為歐洲增長(zhǎng)最快的數(shù)據(jù)中心市場(chǎng)。【10】

　　（二）建立健全企業(yè)內(nèi)部數(shù)據(jù)治理合規(guī)體系

　　智能網(wǎng)聯(lián)車企涉及的數(shù)據(jù)處理活動(dòng)繁雜、數(shù)據(jù)處理者多樣，伴隨著車聯(lián)網(wǎng)技術(shù)的快速迭代和車聯(lián)網(wǎng)應(yīng)用的迅速增長(zhǎng)，企業(yè)數(shù)據(jù)治理合規(guī)體系應(yīng)當(dāng)做出適應(yīng)性調(diào)整。具體到個(gè)人信息跨境業(yè)務(wù)中，企業(yè)需要建立數(shù)據(jù)跨境前評(píng)估機(jī)制，在個(gè)人信息跨境傳輸前完成數(shù)據(jù)跨境可行性評(píng)估、數(shù)據(jù)跨境字段最小化評(píng)估、數(shù)據(jù)跨境安全性評(píng)估等流程。

　　此外，還應(yīng)當(dāng)完善業(yè)務(wù)模式中的個(gè)人單獨(dú)同意采集程序，充分履行告知義務(wù)，征得個(gè)人信息主體區(qū)別于對(duì)企業(yè)產(chǎn)品或服務(wù)中其他業(yè)務(wù)功能的單獨(dú)同意。

　　（三）合理運(yùn)用個(gè)人信息數(shù)據(jù)傳輸合規(guī)路徑

　　以歐盟與中國(guó)為例，個(gè)人信息數(shù)據(jù)跨境流動(dòng)規(guī)則框架在許多規(guī)則設(shè)置上有互通之處，比如約束性企業(yè)規(guī)則與個(gè)人信息保護(hù)認(rèn)證，數(shù)據(jù)保護(hù)標(biāo)準(zhǔn)合同條款與個(gè)人信息出境標(biāo)準(zhǔn)合同等。

　　智能網(wǎng)聯(lián)車企可以依照歐盟及中國(guó)相關(guān)監(jiān)管機(jī)構(gòu)出具的報(bào)批報(bào)備流程指引，或者使用標(biāo)準(zhǔn)法律文本等工具，結(jié)合自身需求靈活選擇合理合規(guī)的個(gè)人信息出境路徑。根據(jù)企業(yè)戰(zhàn)略部署規(guī)劃，確定需要完成的認(rèn)證，并通過(guò)企業(yè)合規(guī)頂層架構(gòu)設(shè)計(jì)，制定執(zhí)行整改規(guī)劃，實(shí)現(xiàn)降本增效。

　　結(jié) 語(yǔ)

　　基于當(dāng)前數(shù)字技術(shù)的快速迭代與商業(yè)模式的不斷創(chuàng)新，智能網(wǎng)聯(lián)汽車產(chǎn)業(yè)因其繁雜的業(yè)務(wù)數(shù)據(jù)處理場(chǎng)景和多樣且敏感的數(shù)據(jù)來(lái)源，已然成為網(wǎng)絡(luò)安全和數(shù)據(jù)合規(guī)領(lǐng)域的重點(diǎn)監(jiān)管行業(yè)。這無(wú)疑對(duì)智能網(wǎng)聯(lián)車企數(shù)據(jù)安全保障工作提出了較高的要求，但同時(shí)也是數(shù)據(jù)時(shí)代變革所帶來(lái)的新機(jī)遇。

　　實(shí)時(shí)改進(jìn)企業(yè)合規(guī)制度，加強(qiáng)管理建設(shè)，為消費(fèi)者乃至社會(huì)營(yíng)造良好的數(shù)據(jù)保護(hù)環(huán)境，是智能網(wǎng)聯(lián)車企贏得競(jìng)爭(zhēng)與健康發(fā)展的重要基石。

　　注釋

　　【1】《新勢(shì)力出海：蔚來(lái)在前，小鵬在后，理想仍在觀望中》，訪問(wèn)地址：https://www.toutiao.com/article/7152725544550154788/?wid=1676029495055

　　【2】《國(guó)家車聯(lián)網(wǎng)產(chǎn)業(yè)標(biāo)準(zhǔn)體系建設(shè)指南（智能網(wǎng)聯(lián)汽車）》，工業(yè)和信息化部等，2020年4月15日

　　【3】Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (Text with EEA relevance), OJ L 119, 4 May 2016, pp. 1–88.

　　【4】中國(guó)汽車工程研究院股份有限公司等主編，《智能網(wǎng)聯(lián)汽車信息安全發(fā)展報(bào)告（2021）》，2021年8月。

　　【5】覃慶玲,謝俐倞.車聯(lián)網(wǎng)數(shù)據(jù)安全風(fēng)險(xiǎn)分析及相關(guān)建議[J].信息通信技術(shù)與政策,2020(08):37-40.

　　【6】《通用數(shù)據(jù)保護(hù)條例》第45條

　　【7】European Commission,2013/65/EU: Commission Implementing Decision of 19 December 2012 pursuant to Directive 95/46/EC,OJ L 28, 30 January 2013, pp.12–14.

　　【8】European Commission, C(2004)5721 SET II Standard contractual clauses (2004).

　　【9】《個(gè)人信息出境標(biāo)準(zhǔn)合同規(guī)定（征求意見(jiàn)稿）》第七條

　　【10】愛(ài)爾蘭成為歐洲增長(zhǎng)最快的數(shù)據(jù)中心市場(chǎng)