刍议个人信息出境标准合同的适用范围 – BlawgDog

2022年6月30日，国家互联网信息办公室（下称“网信办”）公布了《个人信息出境标准合同规定（征求意见稿）》（下称“《征求意见稿》”）以及《个人信息出境标准合同》模板（下称“《标准合同》”）。

关于征求意见稿的内容要点总结，可点击此处查阅我们发表的文章。本文则围绕《标准合同》的适用范围问题，作一些专门的讨论。

《征求意见稿》所规定的《标准合同》适用范围

根据《征求意见稿》第四条，境内的个人信息处理者（下称“境内传输方”）需要同时符合以下四种情形，才可以采用《标准合同》实现个人信息的跨境提供：

(1) 非关键信息基础设施运营者；

(2) 处理个人信息不满100万人的；

(3) 自上年1月1日起累计向境外提供未达到10万人个人信息的；

(4) 自上年1月1日起累计向境外提供未达到1万人敏感个人信息的。

对CIIO的限制符合《个保法》原意

上述第（1）项可以看作是对《个人信息保护法》（下称“《个保法》”）第四十条的延伸。根据该条，关键信息基础设施运营者（下称“CIIO”）所控制的个人信息原则上不能被传输到中国境外。如果确实需要传输，则“应当通过国家网信部门组织的安全评估”。因此，第（1）项限制总体上符合《个保法》的立法原意。

按此标准，如果境内传输方被认定为CIIO，则其便无法借助《标准合同》实现个人信息的跨境传输。但参考网信办2021年发布的《数据出境安全评估办法（征求意见稿）》第6条，数据出境安全评估的申报要求境内传输方提供和境外接收方拟定的合同。如果这两个征求意见稿最终都得以颁行，则对确有个人信息跨境需求的CIIO来说，需要事先与境外接收方签订合同，再进行数据出境安全评估的申报。尽管这种合同理论上并不需要使用《标准合同》的文本，但实践中《标准合同》很可能成为数据传输双方拟定合同的模板。

用人数来限制对《标准合同》的适用有失笼统

除了CIIO外，《个保法》第四十条中还提及了一种CIIO之外仍需要通过网信办的网络安全评估的情况，即“处理个人信息达到国家网信部门规定数量”。据此，网信办使用“100万人”这个标准似乎未超出其法定权力的范围。

不过在实践中，这个“100万人标准”还缺乏具有说服力的实证、统计或科学依据。《个保法》语境中的“处理”是一个含义颇广的概念，包括了对个人信息的收集、存储、使用、加工、传输、提供、公开、删除等各种使用方式。因此，如果按照《征求意见稿》的表述，以下例子都不能采用《标准合同》的形式获得个人信息出境的合法性：

一家直接服务于消费者（To C）的跨国化妆品公司在中国的子公司收集、存储了超过一百万消费者的个人信息，但其向境外总公司输出的仅是其在中国聘用的数十名员工的部分个人信息——之所以要传输这些信息，是为了让中国的员工与各国员工获得平等的晋升机会和员工福利。
一间中国的旅行社为了完成旅游项目，需要频繁地向众多不同的境外旅行社、酒店、运输服务提供者提供游客的个人信息；尽管每次向特定境外机构提供的信息的数量有限，而且该旅行社的绝大部分顾客接受的也仅是中国内地的旅游服务，但其接待过的游客总数超过一百万人。
生产销售小家电或者装修装饰材料的企业，为了售后服务或保修目的收集消费者的姓名和联系方法等信息。该公司的产品也出口到其他国家。为了保证消费者在国外的专卖店也获得同等品质的售后服务，需要让其在各国委托的维修代理得到消费者的部分个人信息。
一个网络游戏平台运营者，其用户来自世界各地，总数超过了一百万人。为了满足在中国运营网络游戏的牌照要求在中国境内设立了主体并以该主体名义收集个人信息。为了使国内用户与国外用户共同在线游戏，必需将一些有限的个人信息（例如用户账号、设备指纹等）传输给同集团在国外的子公司所控制的服务器。
一间主要以境外市场作为收入来源的电子商务企业，其几乎所有客户都来自境外而且所有IT系统也都部署于境外的服务器。但由于人力成本等原因，其技术开发团队和办公场所均设在中国内地。中国内地的办公场所必然收集员工和访客的部分个人信息。为了管理方便，需要将这些信息统一传送到IT系统中。

类似的例子还可以举出很多。可以说，如果按照《征求意见稿》的表述，很多有一定规模且涉及跨境业务的公司都可能因为其“处理”过的个人信息超过一百万人而不符合《标准合同》的适用要求。

事实上，简单使用“一百万人”、“十万人”甚至是“一千万人”或者更大/更小的数字作为标准，都失之笼统。一家企业收集处理的信息，与这家企业可能向境外提供的信息是两个完全不同的概念。一家企业在正常业务经营过程中与境外进行信息交互，与恶意向境外提供信息也是完全不同的概念。

批量个人信息不等于“重要数据”

可能有观点认为，上述《征求意见稿》中的第（2）、（3）、（4）项限制，是基于《个保法》第四十条所赋予网信办的“处理个人信息达到国家网信部门规定数量”的职权作出的规定，因此对《标准合同》的适用条件不违反《个保法》。

但是，“规定数量”也必须有其合理性和可行性，而不能是任意规定的数字。

可行性是一个事实问题，需要科学、系统和可重复的论证，这里不再赘述。不过，批量处理个人信息并不意味着一定会比处理个别人士的个人信息更容易危及国家安全或者社会公共秩序——个人信息主体的身份、对其个人资料的收集深度乃至处理的目的、方式都会影响数据安全事件的发生概率以及后果的严重程度。

从合理性角度看，当个人信息的数量被作为区分不同合规要求的标志时，其逻辑起点建立在“批量个人信息就当然属于重要数据”的假定之上。事实上，只有当一个数据集被认为是“重要数据”时，对其采取不同于其他数据集的监管要求才具有正当性。

可是，即便在现行法的框架下，“批量个人信息”并不当然属于“重要数据”。按照《数据安全法》第二十一条，“重要数据目录”需要由“国家数据安全工作协调机制”来“统筹协调有关部门制定”，而“国家数据安全工作协调机制”由“中央国家安全领导机构”负责建立（《数据安全法》第五条）。“中央国家安全领导机构”一般应指“中央国家安全委员会”或其办事机构。也就是说，即使网信办希望简单使用跨境传输所涉及的个人信息主体的数量来限制对《标准合同》的适用，也需要首先获得以上有权机关对此类数据集就必然属于“重要数据”的确认。

将选择《标准合同》的权利留给企业

根据《个保法》第三十八条的规定，企业需要向境外接收方提供个人信息时，应当采取以下三种途径之一：（1）通过国家网信部门组织的安全评估；（2）通过指定机构的个人信息保护认证；（3）依照网信部门制定的标准合同与境外接收方订立合同。

从规范解释的角度看，《标准合同》是个人信息处理者向境外提供个人信息的合规途径“之一”。也就是说，《个保法》将选择权交给了境内传输方。他们可以根据自己的实际情况，在上述三种方式中选择最适合自己的合规路径。

但是，《征求意见稿》的思路似乎并非如此，它尝试对《标准合同》的适用范围作出严格但又十分笼统的限制。这种思路将选择权收回到了监管手中：由监管者来决定什么情况下采用哪种方式完成对个人信息的保护。企业只要不符合监管者脑海中的“市场秩序”框架，就必须改变自己的经营模式，而不是选择最合适的行为方式。

然而，市场是丰富多元和流动的，剥夺市场主体的选择权，只会让市场主体在法律规定之外进行选择。对市场的直接干涉往往会让市场主体采取种种操作，在花费大量资源从形式上合规的同时，忽略或者不再有资源追求实质上的立法目的。而政府机关为了平衡市场活力或者受限于执法资源，又可能在实践中提供种种“变通”，甚至出现选择性执法，导致现实中（而非纸面上）的法律环境处于不确定的状态。滥觞多年的所谓“VIE架构”就是一个例子。

当企业发现自己无法满足适用《标准合同》的条件，他们自然会采取种种规避动作，甚至还可能选择放弃在中国设立子公司，直接从境外收集所有个人信息。如果这种选择成为主流，就可能直接影响国内数字经济的繁荣和数字化治理的发展。

从监管的角度看，一旦将“批量处理个人信息”作为《标准合同》的前设条件，行政机关将不得不在未来的监管中花费大量的成本去识别企业的这些操作，并且制订更多的具体标准去“规范”这些操作。

《个保法》的立法的目的是为了保障个人信息主体的基本权利。无论是企业花费大量成本在形式上符合监管要求，还是监管花费过多精力去识别企业的所谓“合规动作”，都必然侵蚀本来可被用于增强数据安全、防止数据泄露和教育大众尊重隐私的资源。

当手段影响了目的的时候，我们可能需要对手段本身作出反思。从立法原意出发，让企业根据自身情况选择使用《标准合同》或其它法定的合规途径，可以更好地达到标准合同制度保障个人信息权益的本来目的，或许也是一种更加符合现实、更能拥抱未来的思路。

* * * *
作者系大陆法和普通法双博士、香港大学SPACE企业研究院客座教授、中国和美国纽约州执业律师、国际隐私从业者协会（IAPP）认证信息隐私管理人（CIPM）。

Donnie