最近，歐洲法院作出重磅裁決，宣布被稱為“隱私盾”的歐盟-美國間的數(shù)據(jù)傳輸協(xié)議無效。“隱私盾”的失效，加之歐洲數(shù)據(jù)保護(hù)委員會最近就保障數(shù)據(jù)跨境傳輸發(fā)布了新的指導(dǎo)意見，這意味著大西洋兩岸的企業(yè)都需要重新審視其數(shù)據(jù)傳輸策略。本文將分析“隱私盾”失效的原因以及可用于歐盟-美國間傳輸數(shù)據(jù)的其他選擇，進(jìn)而討論數(shù)據(jù)傳輸方式的最新趨勢，如歐洲數(shù)據(jù)的本土化。////一、“隱私盾”的前身——“安全港”

1980年，經(jīng)合組織發(fā)布了保護(hù)個人數(shù)據(jù)的建議，這些建議直到1995年才具有約束力，當(dāng)時歐盟推出了《歐盟數(shù)據(jù)保護(hù)指令》（EU Data Protection Directive），該指令是《通用數(shù)據(jù)保護(hù)條例》的前身，為歐洲大陸的數(shù)據(jù)保護(hù)奠定了基礎(chǔ)，也為全世界的數(shù)據(jù)保護(hù)樹立了標(biāo)桿。

“安全港”協(xié)議是在《歐盟數(shù)據(jù)保護(hù)指令》生效后不久制定的，旨在簡化從歐盟向美國傳輸數(shù)據(jù)的過程。本質(zhì)上，“安全港”是一項(xiàng)由商業(yè)驅(qū)動的舉措，旨在促進(jìn)大西洋兩岸的數(shù)據(jù)傳輸和經(jīng)濟(jì)合作。“安全港”包含一些被普遍接受的保護(hù)個人數(shù)據(jù)的原則，以滿足《歐盟數(shù)據(jù)保護(hù)指令》的要求。同時，“安全港”委員會還回答了一系列常見問題，如參與該計(jì)劃的公司應(yīng)如何處理個人數(shù)據(jù)等。但是早在2000年“安全港”協(xié)議正式頒布后不久，它就因?yàn)榕c《歐盟數(shù)據(jù)保護(hù)指令》的要求差距過大而受到嚴(yán)重批評。

快進(jìn)到2015年，歐洲法院就奧地利公民Maximilian Schrems關(guān)于Facebook將其愛爾蘭子公司的數(shù)據(jù)傳輸?shù)矫绹?wù)器的投訴作出處理。該案與NSA/PRISM間諜丑聞有關(guān)，該丑聞最終對“安全港”協(xié)議和在歐洲運(yùn)營的美國互聯(lián)網(wǎng)公司產(chǎn)生了重大的影響。特別是，Schrems認(rèn)為，“2013年愛德華·斯諾登對美國情報(bào)機(jī)構(gòu)（特別是國家安全局）活動的揭露，表明美國的法律和實(shí)踐沒有給個人數(shù)據(jù)提供充足的保護(hù)，以防止公共機(jī)構(gòu)的監(jiān)視。”

2015年10月6日，歐洲法院裁決“安全港”無效，因?yàn)樗鼈儧]有為根據(jù)該計(jì)劃處理歐盟個人數(shù)據(jù)的美國組織提供足夠的保障。特別是，歐洲法院發(fā)現(xiàn)：①該協(xié)議允許公共機(jī)構(gòu)訪問公民電子通信內(nèi)容，嚴(yán)重?fù)p害了公民的隱私權(quán)；②該協(xié)議允許美國公共機(jī)構(gòu)干涉公民的基本權(quán)利；③歐盟委員會裁決的結(jié)果不能消除甚至減少國家監(jiān)督當(dāng)局的權(quán)力；④監(jiān)管機(jī)構(gòu)實(shí)際上有義務(wù)盡一切努力審查相關(guān)投訴，但⑤只有歐洲法院有權(quán)宣布?xì)W盟法案無效。

該裁決作出后不久，歐盟監(jiān)管機(jī)構(gòu)表示，如果歐盟與美國不在三個月內(nèi)談成一個新的協(xié)議，那么企業(yè)可能會面臨歐洲隱私監(jiān)管機(jī)構(gòu)的制裁。歐盟和美國很快達(dá)成了新的協(xié)議，以“隱私盾”的形式出現(xiàn)。2016年2月2日正式頒布的“隱私盾”體現(xiàn)了歐洲法院在2015年10月6日的裁決中提出的要求。新的協(xié)議將使美國公司承擔(dān)更大的責(zé)任，加強(qiáng)美國商務(wù)部和聯(lián)邦貿(mào)易委員會的監(jiān)督和執(zhí)法，包括加強(qiáng)與歐洲數(shù)據(jù)保護(hù)機(jī)構(gòu)的合作。新協(xié)議還包括美國的承諾：根據(jù)美國法律，公共機(jī)構(gòu)在在新協(xié)議下訪問個人數(shù)據(jù)將受到明確的條件、限制和監(jiān)督。歐洲公民可能就此向?qū)ｉT的新監(jiān)察員提出詢問或投訴。

//二、“隱私盾”的失效

2016年2月，歐盟委員會宣布與美國就歐盟-美國隱私保護(hù)協(xié)會達(dá)成協(xié)議。該協(xié)議約定，美國公司在處理來自歐盟的個人數(shù)據(jù)時，必須遵守七項(xiàng)原則，其中包括:

告知：必須告知個人其信息被收集和使用。

選擇：必須給予個人選擇不向第三方披露其個人數(shù)據(jù)的權(quán)利。

繼續(xù)傳輸?shù)牧x務(wù)：各機(jī)構(gòu)負(fù)責(zé)適用通知和選擇原則，以便向第三方傳輸個人數(shù)據(jù)。

訪問：個人必須能夠訪問機(jī)構(gòu)中存儲的個人數(shù)據(jù)。

安全：必須保護(hù)個人數(shù)據(jù)免遭丟失、誤用、未經(jīng)授權(quán)的訪問和泄露。

數(shù)據(jù)完整性：必須確保數(shù)據(jù)是可靠的，并且與使用目的相關(guān)。

追索權(quán)、強(qiáng)制執(zhí)行和責(zé)任: 如果個人認(rèn)為其數(shù)據(jù)被濫用，則有權(quán)使用追索機(jī)制。

從此，“隱私盾”成為一種非常流行的機(jī)制，約有5500家美國公司啟用了它。

盡管美國和歐盟委員會對“安全港”協(xié)議進(jìn)行了改進(jìn)，以針對性地解決歐洲法院的擔(dān)憂，但新一輪的法律挑戰(zhàn)即將到來。Max Schrems向愛爾蘭數(shù)據(jù)保護(hù)專員提起訴訟，質(zhì)疑Facebook愛爾蘭使用歐盟標(biāo)準(zhǔn)合同條款（SCCs）作為傳輸機(jī)制不符合要求。愛爾蘭高等法院將此事提交歐洲法院，包括一系列質(zhì)疑SCCs 有效性的問題。

最終，歐洲法院于2020年7月16日宣布?xì)W盟-美國“隱私盾”協(xié)議無效，主要有兩個理由：①個人數(shù)據(jù)可能泄漏給美國情報(bào)機(jī)構(gòu)等公共機(jī)構(gòu)，所以“隱私盾”無法為個人隱私權(quán)提供充分保護(hù)；②旨在處理歐盟公民投訴的“隱私盾”監(jiān)察員缺乏獨(dú)立性和權(quán)威性，無法約束美國情報(bào)部門。

特別是歐洲法院發(fā)現(xiàn)，美國法律中的隱私保護(hù)條款沒有達(dá)到與歐盟法律中的相同標(biāo)準(zhǔn)。《外國情報(bào)監(jiān)視法》（FISA）第702條和第12333號行政命令授權(quán)的國家情報(bào)計(jì)劃沒有授予歐盟個人在法庭上對美國當(dāng)局提起訴訟的權(quán)利，使得數(shù)據(jù)保護(hù)權(quán)利不夠充分。

歐洲法院指出，《歐盟基本權(quán)利憲章》規(guī)定個人享有隱私權(quán)和數(shù)據(jù)被保護(hù)的權(quán)利。任何人向第三方（包括公共機(jī)構(gòu)）披露數(shù)據(jù)會侵犯這些權(quán)利，并且只有在迫不得已的情況下才允許披露數(shù)據(jù)。然而，歐洲法院發(fā)現(xiàn)，美國有關(guān)信號情報(bào)活動的監(jiān)視計(jì)劃可能會處理過多的數(shù)據(jù)，并允許在沒有經(jīng)過司法審查的情況下訪問歐盟傳輸?shù)矫绹臄?shù)據(jù)。歐洲法院表示，美國監(jiān)視計(jì)劃的范圍不受限制，也不會為非美國公民的個人提供保障。因此，個人缺乏有效的司法救濟(jì)措施來維護(hù)其隱私權(quán)。

歐洲法院進(jìn)一步發(fā)現(xiàn)，“隱私盾”的監(jiān)察機(jī)制缺乏傳統(tǒng)監(jiān)察員所擁有的權(quán)力，因而無法彌補(bǔ)上述缺陷。特別是，監(jiān)察員無權(quán)約束美國情報(bào)機(jī)構(gòu)。因此，歐盟公民對某些監(jiān)視活動沒有救濟(jì)權(quán)。

歐洲法院還發(fā)現(xiàn)，監(jiān)察員由美國國務(wù)卿任命，是美國國務(wù)院的一個組成部分，而且監(jiān)察報(bào)告直接提交給國務(wù)卿，沒有任何防止其撤銷或解雇監(jiān)察員的保障措施，這會損害監(jiān)察員的獨(dú)立性。

基于上述情況，歐洲法院宣布“隱私盾”無效。盡管這一裁決造成了實(shí)質(zhì)性的業(yè)務(wù)中斷，但法院指出，這并不會構(gòu)成法律空白，因?yàn)楣救匀豢梢赃x擇其他的數(shù)據(jù)傳輸辦法，如《通用數(shù)據(jù)保護(hù)條例》的部分條款。

//三、“隱私盾”失效后公司的選擇

由于隱私盾的失效，當(dāng)公司想要將個人數(shù)據(jù)轉(zhuǎn)移到歐洲經(jīng)濟(jì)區(qū)之外時，他們的選擇就更少了。盡管有其他選擇，但跨大西洋貿(mào)易仍受到了影響，因?yàn)檫@些公司高度依賴“隱私盾”實(shí)現(xiàn)跨區(qū)域傳輸數(shù)據(jù)。

3.1 《標(biāo)準(zhǔn)合同條款》

“隱私盾”失效后，《標(biāo)準(zhǔn)合同條款》（SCCs）中附加保障措施的條款是將個人數(shù)據(jù)從歐盟傳輸?shù)矫绹盍餍械姆绞健Ｔ谔峤坏陌讣校瑦蹱柼m高等法院就SCCs的有效性提出了質(zhì)疑，包括如果SCCs不約束外國公共機(jī)構(gòu)，那么SCCs是否能充分地保護(hù)個人數(shù)據(jù)。

歐洲法院沒有宣布SCCs無效，但確立了公司在使用SCCs之前需要注意的地方。這在一定程度上與以下事實(shí)有關(guān)：SCCs最初于2001年頒布，以符合當(dāng)時《歐盟數(shù)據(jù)保護(hù)指令》的現(xiàn)實(shí)。考慮到20年后的實(shí)際情況，《通用數(shù)據(jù)保護(hù)條例》可能無法完全滿足法律和現(xiàn)實(shí)的要求。因此，SCCs需要進(jìn)行重大翻新。

法院支持在SCCs中附加保障措施，并收緊了相關(guān)要求，但沒有給足夠的寬限期。所以愛爾蘭的執(zhí)法活動幾乎立刻就對SCCs的有效性提出了質(zhì)疑，而在德國等其他國家，監(jiān)管機(jī)構(gòu)還面臨著進(jìn)一步的挑戰(zhàn)。

歐洲法院解釋說，SCCs是一種過渡性的保障形式，應(yīng)當(dāng)與最終形態(tài)區(qū)分開來。最終的決定需要對特定法律體系提供的個人數(shù)據(jù)保護(hù)水平進(jìn)行評估，使得該法律體系內(nèi)的所有組織都有資格從歐盟接收個人數(shù)據(jù)。與最終的決定不同，《通用數(shù)據(jù)保護(hù)條例》關(guān)于適當(dāng)保障措施的規(guī)定特別允許歐盟委員會采用標(biāo)準(zhǔn)的數(shù)據(jù)保護(hù)條款來管理數(shù)據(jù)出口商和數(shù)據(jù)進(jìn)口商之間的交易，而不管數(shù)據(jù)進(jìn)口商的法律制度如何。因此，SCCs的有效性并不取決于可以使用SCCs向哪些國家傳輸數(shù)據(jù)，歐盟委員會也不需要對此評估。

然而，SCCs是否是有效的保障措施，取決于其是否包含有效的機(jī)制，是否達(dá)到了歐盟法律要求的保護(hù)水平。歐洲法院的結(jié)論是，SCCs中確實(shí)納入了有效的機(jī)制，因?yàn)檫M(jìn)口商有義務(wù)在其無法遵守SCCs時通知出口商，出口商有義務(wù)暫停轉(zhuǎn)讓。

各組織和監(jiān)管機(jī)構(gòu)必須評估對SCCs的遵守情況。由于SCCs對公共機(jī)構(gòu)沒有約束力，歐洲法院確有必要為SCCs的補(bǔ)充條款提供擔(dān)保。歐洲法院解釋說，應(yīng)由各組織在移交前逐案核實(shí)SCCs是否達(dá)到了《通用數(shù)據(jù)保護(hù)條例》所要求的保護(hù)水平，并在必要時實(shí)施進(jìn)一步的保障措施。

對于進(jìn)行中的數(shù)據(jù)傳輸，如果出口商無法再為歐盟公民提供必要數(shù)據(jù)保護(hù)，則必須暫停或停止數(shù)據(jù)傳輸。歐洲法院解釋說，根據(jù)現(xiàn)行SCCs的規(guī)定，如果進(jìn)口商不再遵守此規(guī)定，那么他們必須通知出口商，出口商有義務(wù)暫停數(shù)據(jù)傳輸。

此外，如果監(jiān)管機(jī)構(gòu)確定特定進(jìn)口國無法遵守SCCs中的附加保障措施，并且無法通過其他方式提供所需的保護(hù)水平，則監(jiān)管機(jī)構(gòu)必須責(zé)令暫停或禁止數(shù)據(jù)傳輸。

3.2 企業(yè)約束規(guī)則

企業(yè)約束規(guī)則(Binding Corporate Rules, BCR)旨在描述企業(yè)如何在不同實(shí)體內(nèi)部處理個人數(shù)據(jù)，它被認(rèn)為是保護(hù)隱私的“黃金標(biāo)準(zhǔn)”，但也是一個昂貴和漫長的過程，因此對公司來說并不是一個切實(shí)可行的選擇。事實(shí)上，全球只有少數(shù)幾家公司獲得了BCR批準(zhǔn)，主要是大型跨國公司，這意味著其不適合中小型公司。

3.3 新的“隱私盾”

“隱私盾”是在“安全港”失效后幾個月才頒布的。然而，“隱私盾”繼任者的出現(xiàn)不是一個簡單的過程，其出現(xiàn)的時間也難以確定。

美國商務(wù)部表示將會繼續(xù)管理“隱私盾”項(xiàng)目，它指出歐洲法院的決定并沒有免除公司保護(hù)隱私的義務(wù)，它們?nèi)孕枰袷剡@些義務(wù)，這與公司是否依賴“隱私盾”將個人數(shù)據(jù)從歐盟轉(zhuǎn)移到美國無關(guān)。

//四、對公司和未來趨勢的影響

“隱私盾”的失效加強(qiáng)了跨大西洋數(shù)據(jù)傳輸對SCCs的依賴，然而也增強(qiáng)了數(shù)據(jù)本土化趨勢。新的SCCs是一種非常流行的方式，將數(shù)據(jù)從歐洲轉(zhuǎn)移到美國，但是這種方式仍然需要通過數(shù)據(jù)傳輸影響評估體系（Data transmission impact Assessment，DTIA）進(jìn)行個案評估。

4.1 新的SCCs

歐盟委員會于2021年6月4日發(fā)布了新的SCCs，并于2021年9月27日生效。這意味著新的SCCs需要用于任何新的合同，如果數(shù)據(jù)傳輸?shù)綒W盟以外的地區(qū)。現(xiàn)有合同向新SCCs的過渡期將于2022年12月27日結(jié)束，除非雙方在此期間更新或修改合同，否則他們必須使用新的SCCs。

盡管歐洲法院在2020年沒有廢除SCCs，但對其有效性表示擔(dān)憂。歐洲數(shù)據(jù)保護(hù)委員會進(jìn)一步討論了這些問題，該委員會發(fā)布了關(guān)于在使用SCCs時如何有效保護(hù)數(shù)據(jù)的指導(dǎo)方針。特別是，公司可以采取補(bǔ)充措施，這些措施可以是技術(shù)性的（例如加密、假名化等）、組織性的（例如處理和審查政府請求的內(nèi)部流程）和契約性的（例如與供應(yīng)商的合同要求，以充分保護(hù)相關(guān)數(shù)據(jù)）。總的來說，歐洲數(shù)據(jù)保護(hù)委員會的建議代表了監(jiān)督機(jī)構(gòu)在分析“Schrems II”案判決方面達(dá)成的共識。

新的SCCs考慮到了歐洲央行的擔(dān)憂，并采納了歐洲數(shù)據(jù)保護(hù)委員會的建議。因此，與舊的SCCs相比，它們更具保護(hù)性，并且符合《通用數(shù)據(jù)保護(hù)條例》的要求。此外，它們還有更大的靈活性，允許來自基于歐盟的處理器（處理器-處理器和處理器-控制器)進(jìn)行數(shù)據(jù)傳輸。然而在舊的SCCs中，數(shù)據(jù)傳輸只能來自基于歐盟的控制器(控制器-控制器和控制器-處理器)。

盡管新的SCCs在數(shù)據(jù)傳輸方面提供了更大的靈活性，并且符合《通用數(shù)據(jù)保護(hù)條例》的要求，但并沒有免除公司進(jìn)行數(shù)據(jù)傳輸時的評估義務(wù)，以評估是否允許向第三方進(jìn)行傳輸、與所述傳輸相關(guān)的風(fēng)險(xiǎn)、為緩解此類風(fēng)險(xiǎn)而采取的措施以及這些措施是否充分。DTIAs仍然是一項(xiàng)進(jìn)行中的工作，因?yàn)楹芏喙驹噲D找到能夠使其發(fā)揮作用的有效方法。

盡管創(chuàng)建了新的SCCs，但英國仍然認(rèn)可舊的SCCs，因?yàn)樗鼈冊谟摎W之前已經(jīng)頒布。因此，在英國和歐盟有業(yè)務(wù)的公司在向美國發(fā)送數(shù)據(jù)時，需要使用新的SCCs向歐盟傳輸數(shù)據(jù)，使用舊的SCCs向英國傳輸數(shù)據(jù)。這造成了一定程度的碎片化，然而也給數(shù)據(jù)保護(hù)帶來了不公平的競爭環(huán)境。因?yàn)榕c舊的SCCs相比，新的SCCs通常能為數(shù)據(jù)提供更好的保護(hù)。這種矛盾更令人費(fèi)解，因?yàn)橛徽J(rèn)為是一個強(qiáng)大的國家，歐盟委員會允許數(shù)據(jù)從歐盟傳輸?shù)接恍枰魏问掷m(xù)。這意味著，盡管有新的SCCs，但總部位于歐盟的公司可以將數(shù)據(jù)傳輸?shù)接鵁o須任何手續(xù)，并基于舊的SCCs將數(shù)據(jù)從英國傳輸?shù)矫绹耆@過新的SCCs。

但是，英國正在起草自己的數(shù)據(jù)傳輸方案，該方案將在未來幾個月內(nèi)正式制定。特別是，信息專員辦公室（Information Commissioner's Office，ICO）發(fā)布了一份IDTA草案和取代SCCs的指南。ICO最近發(fā)起了一次公眾咨詢，于2021年10月11日結(jié)束。英國最終確定的IDTA將如何與新的SCCs互動還有待觀察。

4.2.邁向新的隱私盾？

在Schrems II案判決后不久，歐盟委員會和美國商務(wù)部就增強(qiáng)后的歐盟-美國“隱私盾”是否符合歐洲法院在Schrems II案中的判決展開了討論。即使隱私盾”在“安全港”失效后幾個月才最終確定，但從一開始就很清楚，“新”的隱私盾不會是一項(xiàng)簡單的任務(wù)。事實(shí)上，整個歐洲的學(xué)者和隱私專家對于新的“隱私盾”是否是一個可以實(shí)現(xiàn)的目標(biāo)，都持保留意見。

美國一再重申其會與歐盟合作，并確保跨大西洋數(shù)據(jù)傳輸?shù)倪B續(xù)性。美國商務(wù)部考慮了歐洲數(shù)據(jù)保護(hù)委員會的建議，并準(zhǔn)備就歐盟-美國“隱私盾”的后續(xù)展開談判。迄今為止，歐盟和美國已達(dá)成共識，致力于作出“隱私盾”的替代協(xié)議，以避免隱私盾的缺點(diǎn)，為歐盟和美國間的數(shù)據(jù)傳輸提供充分的保障。

但是對企業(yè)而言，符合隱私保護(hù)標(biāo)準(zhǔn)的數(shù)據(jù)自由傳輸至關(guān)重要，特別是企業(yè)希望保持市場競爭力。關(guān)鍵目標(biāo)是各方彌合其數(shù)據(jù)保護(hù)體系與達(dá)成共識之間的差距。

4.3.數(shù)據(jù)本土化

基于上述內(nèi)容，美國和歐盟的公司都提出了一個問題，即數(shù)據(jù)本土化是否是未來發(fā)展的方向？鑒于此，公司和監(jiān)管機(jī)構(gòu)都需要確認(rèn)新規(guī)則是否會使數(shù)據(jù)本土化，這將限制一些來自歐盟的常規(guī)數(shù)據(jù)傳輸。例如，對數(shù)據(jù)本土化的擔(dān)憂包括提供在線服務(wù)的技術(shù)障礙、提供此類服務(wù)的選擇較少以及廣泛的數(shù)據(jù)本土化所帶來的潛在的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。

因此，盡管數(shù)據(jù)本土化聽起來是一個簡單的解決方案，但實(shí)際上會耗費(fèi)很多時間、精力和金錢，而且與常規(guī)云存儲相比，它可能會讓個人數(shù)據(jù)面臨更大的風(fēng)險(xiǎn)。一些國家最近出臺了包括數(shù)據(jù)本土化條款的法律，盡管這些規(guī)定阻礙了技術(shù)創(chuàng)新，但是可以對其管轄范圍內(nèi)傳輸?shù)臄?shù)據(jù)進(jìn)行全面監(jiān)控，因而受到很多國家的青睞。

關(guān)于數(shù)據(jù)本土化的討論日益激烈，但尚未確定這是否是主流選擇。總的來說，與簡單地進(jìn)行數(shù)據(jù)本土化相比，公司正在努力對其數(shù)據(jù)處理活動進(jìn)行分類，并在內(nèi)部記錄處理數(shù)據(jù)的方式、原因、地點(diǎn)和時間。例如，公司可以進(jìn)行數(shù)據(jù)映射工作，全面了解不同層次的數(shù)據(jù)，并對跨系統(tǒng)和流程的數(shù)據(jù)進(jìn)行分類。他們還可以遵循一般的《通用數(shù)據(jù)保護(hù)條例》原則、目的限制原則、透明度原則和披露原則。

數(shù)據(jù)傳輸領(lǐng)域在過去幾年發(fā)展迅速，幾乎無法預(yù)測未來幾年歐盟/英國-美國的數(shù)據(jù)傳輸情況。新的SCCs的推出為跨大西洋數(shù)據(jù)傳輸提供了新的選擇。這與是否會引入新的“隱私盾”無關(guān)（目前還不確定），也與數(shù)據(jù)本土化日益增長的趨勢無關(guān)。數(shù)據(jù)本土化與自由貿(mào)易和數(shù)據(jù)流量增加的概念基本上是矛盾的，而《通用數(shù)據(jù)保護(hù)條例》本身就是基于這些概念起草的。