北京德和衡律师事务所

律师视点

辛小天、杨雪娇:案例分析——欧盟个人数据跨境传输SCC的适用

2024-05-11

  案例场景:中国数据处理者受美国客户委托处理收集欧盟境内个人数据,是否适用欧盟个人数据跨境传输标准合同条款(“SCC”)。

  根据 GDPR第4(7)条,控制者是指“单独或与他人共同决定个人数据处理目的和方式的自然人或法人、公共当局、机构或其他机构”。根据GDPR第4(8)条,处理者是“代表控制者处理个人数据的自然人或法人、公共机构、机构或其他机构”。如果中国公司不对个人数据的处理目的和方式有决定权,则可以视为受托数据处理关系。本次案例场景判断的涉及三个主要问题:1. 中国公司是否属于受GDPR直接管辖的实体;2. 双方合作是否可以使用欧盟 SCC;3. 中国公司在GDPR下的主要义务和责任要求。

  1. 判断是否构成受GDPR直接管辖

  根据 欧盟数据保护委员会(“EDPB”)颁布的《关于GDPR适用的地域范围(第3条)的指南》(Guidelines 3/2018 on the territorial scope of the GDPR (Article 3) , Version 2.1, 12 November 2019)(“指南”):

  1.1.是否落入GDPR第3(1)条的“欧盟境内存在”的标准 – “设立”标准

  Article 3(1) of the GDPR provides that the “Regulation applies to the processing of personal data in the context of the activities of an establishment of a controller or a processor in the Union, regardless of whether the processing takes place in the Union or not.”

  根据以上条款,EDPB认为需要考虑(1)是否有“欧盟境内设立”的链接 (2)是否基于“欧盟境内设立”而有”处理个人数据”的活动(无论是否发生在欧盟境内)。

  (1)是否有“欧盟境内设立”的链接

  GDPR前言第22条澄清“设立意味着通过稳定的安排有效和真实地开展活动。此类安排的法律形式,无论是通过分支机构还是具有法人资格的子公司,不是决定性因素。”

  示例:

  a.非欧盟实体在欧盟有雇员,并通过欧盟雇员进行数据处理活动。

  b.总部设在美国的汽车制造公司有一个全资子公司位于布鲁塞尔,负责监督其在欧洲的所有业务,包括营销和广告。比利时分支机构可以被认为是一种稳定的安排,它行使了真正有效的职能。

  (2)是否基于“欧盟境内设立”而有”处理个人数据”的活动(无论是否发生在欧盟境内)——密不可分的链接关系( 应排除“远端”链接情况)

  EDPB认为需要的判断要素:a.确定是否正在处理个人数据b. 正在处理数据的活动与该组织在欧盟境内设立的潜在联系 (是否为密不可分的联系)。 通常需要考虑欧盟境外数据控制者或处理者与其在欧盟境内设立的关系;以及是否存在密不可分的欧盟境内的收入。

  示例:一家中国公司运营电子商务网站。该公司的个人数据处理活动仅在中国进行。这家中国公司在柏林设立了欧洲办事处,负责领导和实施面向欧盟市场的商业前景和营销活动。在这种情况下,可以认为柏林欧洲办事处的活动与中国电子商务网站对个人数据的处理有着密不可分的联系,因为针对欧盟市场的商业前景和营销活动尤其有助于使电子商务网站提供的服务有利可图。这家中国公司处理与欧盟销售有关的个人数据确实与柏林欧洲办事处在欧盟市场的商业前景和营销活动密不可分。

  (3) 需要注意在委托处理情形下,GDPR下数据控制者与数据受托处理者的法定责任是独立存在的。不能仅以存在数据受托处理管理,而将数据受托方视为委托方的“在欧盟境内的设立”。

  结论:

  在题述场景中,美国数据控制者的集团关联公司在欧盟境内有实体,并且从事欧盟个人信息收集,虽然具体关联性无法判断,但是存在被认定可能落入GDPR第3(1)条的风险。但对中国公司而言,其不存在欧盟境内设立,因此不受 GDPR第3(1)条的直接管辖。

  1.2.是否落入GDPR第3(2)条的“欧盟境内数据主体”的标准——“目标”标准

  Article 3(2) of the GDPR provides that “this Regulation applies to the processing of personal data of data subjects who are in the Union by a controller or processor not established in the Union, where the processing activities are related to: (a) the offering of goods or services, irrespective of whether a payment of the data subject is required, to such data subjects in the Union; or(b) the monitoring of their behaviour as far as their behaviour takes place within the Union.”

  根据以上条款,EDPB认为需要满足数据主体在欧盟境内;境外实体的数据处理行为与为欧盟境内数据主体提供商品或服务或监控数据主体在欧盟境内的行为相关。

  (1) 数据主体是否在欧盟境内

  需要考虑在处理行为发生时的状态,以及针对的是有意而非无意或偶然的活动。

  示例:美国初创公司通过其城市地图应用程序,专门针对欧盟境内的个人,在这些人旅欧期间向他们提供服务。根据GDPR第3(2)条a的规定,处理与提供服务相关的欧盟境内的数据主体的个人数据属于GDPR的管辖范围。

  (2) 针对欧盟境内主体提供商品或服务,无论是否支付对价

  A.行为必须以提供商品或服务的目的

  示例:公司内部员工报销系统(包括针对欧盟差旅)与向个人提供服务无关,而是雇主履行其合同义务和与个人就业相关的人力资源职责所必需的处理的一部分。

  B.数据控制者或处理者有明显向一个或多个欧盟国家境内主体提供商品或服务的目的

  判断要素示例,包括:

  •使用一个或多个成员国通常使用的语言或货币;提及在欧盟的客户或用户;

  •所提供的商品或服务的名称中包括至少一个成员国的名称;

  •数据控制者或处理者向搜索引擎运营商支付互联网指引服务的费用,以方便欧盟消费者访问其网站;

  •控制者或处理者针对欧盟国家受众发起了营销和广告活动

  •所涉活动的国际性质,例如某些旅游活动;

  •提及欧盟国家的专用地址或电话号码;

  •使用除建立控制者或处理者的第三国以外的顶级域名,例如“.de”,或使用中性顶级域名,如“.eu”;

  •从一个或多个其他欧盟成员国到提供服务地点的旅行说明;

  •提及由居住在不同欧盟成员国的客户组成的国际客户,特别是通过出示这些客户的书面账目;

  •使用贸易商所在国以外的语言或货币,尤其是一个或多个欧盟成员国的语言或币钟;

  •数据控制者在欧盟成员国交付商品。

  示例:苏黎世的一所瑞士大学正在启动其硕士学位选拔程序,提供了一个在线平台,考生可以在该平台上传简历、求职信以及联系方式。任何具备足够德语和英语水平并拥有学士学位的学生都可以参加选拔过程。该大学没有专门向欧盟大学的学生做广告,只接受瑞士货币付款。由于在该硕士学位的申请和选拔过程中没有对来自欧盟的学生进行区分或说明,因此无法确定瑞士大学有意针对特定欧盟成员国的学生。以上述情况,无法判断瑞士大学针对欧盟境内主体提供商品或服务的目的性。

  C.监控数据主体行为

  EDPB认为必要条件是被监控的数据主体在欧盟且被监控的行为在欧盟境内,此处需要澄清EDPB对于“监控行为”的界定范围:

  i. 确定是否在互联网、智能设备、可穿戴设备上跟踪自然人,包括随后可能使用的个人数据处理技术,包括对自然人进行分析,特别是为了做出与自然人有关的决定,或分析或预测自然人的个人偏好、行为和态度。

  ii. 只是收集或分析个人数据并不等同于监控,有必要考虑控制者处理数据的目的,特别是涉及该数据的任何后续行为分析或分析技术(例如可能使用的特征分析技术)。

  iii. 典型包括:

  •行为广告;

  •地理定位活动,特别是出于营销目的;

  •通过使用cookie或指纹等其他跟踪技术进行在线跟踪;

  •在线个性化饮食和健康分析服务;

  •CCTV;

  •基于个人资料的市场调查和其他行为研究;

  •监测或定期报告个人健康状况。

  (3) 数据受托处理者不在欧盟的情况

  EDPB认为,如果控制者的处理活动与提供商品或服务的或监控欧盟境内的个人行为有关(“目标”),则根据GDPR第3(2)条的规定,任何被指示代表控制者进行处理活动的处理者都会因为该处理活动而属于GDPR的直接管辖范围。因此,判断数据受托处理者是否落入GDPR第3(2)条的范围,需要审查处理者的处理行为是否与控制者的目标行为相关。

  示例:一家美国公司开发了一款健康和生活方式应用程序,允许用户与该美国公司记录他们的个人指标(睡眠时间、体重、血压、心跳等)。该应用程序随后为用户提供关于食物和运动建议的每日建议。该处理由美国数据控制者执行。出于数据存储的目的,美国公司使用在美国设立的处理者(云服务提供商)。在美国公司监控欧盟个人行为的范围内,在运营健康和生活方式应用程序时,它“针对”欧盟个人,其对欧盟个人数据的处理将属于GDPR第3(2)条规定的适用范围。在根据美国公司的指示并代表其进行处理时,云提供商/处理者正在进行与其控制者针对欧盟个人的“相关”处理活动。处理者代表其控制者进行的这种处理活动属于GDPR第3(2)条规定的适用范围。(仅就云平台存储功能而言的判断,这个例子非常严格了。)

  结论:

  1. 由于美国数据控制者有明显面向欧盟用户提供服务或产品的可能性,作为其数据处理者中国公司可能被视为落入GDPR第3(2)条的范围。2.中国数据处理者自身未有向欧盟用户提供服务或产品,且仅涉及个人信息收集也不应被视为存在监控欧盟数据主体的行为。但由于中国公司的受托处理的地位,按照EDPB的解释,很有可能因为美国数据控制者落入GDPR第3(2)条的管辖,而被“牵连”落入管辖范围。

  但若境外的数据控制者的既没有面向欧盟的数据主体提供商品或服务,也没有对欧盟境内的数据主体实施监控行为,例如美国AI模型研发公司委托中国公司采集欧盟境内数据主体的人脸信息用作训练数据,根据GDPR以及EDPB指南,不管是AI模型研发公司还是中国数据处理者都可能不涉及GDPR的直接管辖。

  2. 判断是否适用欧盟数据出境SCC?

  根据《欧盟委员会有关新标准合同条款的问答概览》(New Standard Contractual Clauses - Questions and Answers overview)[1]:

  (1) 基础适用:SCC适用于由受GDPR约束的EEA控制者或处理者将个人数据传输给欧洲经济区以外且活动不受GDPR约束的非EEA控制者和处理者。

  (2) 扩展适用:SCC也可以扩展使用到由那些非EEA控制者和处理者(因为他们通过向个人提供商品或服务专门针对欧洲经济区市场)用于将与这些处理操作相关的数据传输到非EEA实体,特别是:

  •由处理受GDPR约束的欧洲经济区以外的处理者向不受GDPR影响的次受托处理者或欧洲经济区之外的控制者(代表其处理数据)传输数据。

  (3) 排除适用:如果数据传输双方都受GDPR的约束,不应使用SCCs作为数据跨境传输方式。因为SCC是为了确保在向不受GDPR约束的数据进口商传输数据时保护的连续性。根据第3条,它们不适用于数据处理操作受GDPR约束的进口商,因为它们会重复并在一定程度上偏离GDPR已经直接遵循的义务。欧盟委员会正在为这种情况开发一套额外的SCC。

  (4) 参考援引:问答也建议,也可能存在不需要用于数据传输的SCC的情况,例如,如果处理者或次受托处理者位于从充分性决策中受益的国家。在这种情况下,数据出口方可以将SCC(模式2控制者向处理者传输或模式3处理者向次受托处理者传输)用于控制者和处理者之间的关系界定援引,以确保符合GDPR第28条的规定(因为模式2以及模式3已经将GDPR第28条的要求融入协议中)。

  结论:

  •基础适用:本次咨询中的双方都未非EEA实体,不应属于SCC的基础适用情况。

  •综合扩展适用以及排除适用情况:如上分析美国数据控制者很有可能因为GDPR第3(1)以及3(2)条被视为受GDPR管辖,按照EDPB针对GDPR第3(2)条的数据受托处理者的情况看,中国数据处理者很有可能被视为受GDPR约束,因此严格上讲,没有完全匹配欧盟SCC的适用范围。

  •参考援引:本次案例中美国客户依然在其与中国公司的商业合同中援引SCC(模式2控制者向处理者传输或模式3处理者向次受托处理者传输),很有可能是美国客户为了确保GDPR第28条的规定,已满足自己在GDPR下的控制者责任的履行以及对中国受托处理者的监控约束的商业目的所需。

  3. 数据受托处理者在GDPR下的义务和责任要求

  3.1.如果直接受GDPR约束管辖

  数据受托处理者应当承担GDPR规定的法律义务和责任,主要包括:

  (1) 根据GDPR第28条第2款和第4款规定,根据控制者的指示处理个人数据,未经数据控制者的书面或特别授权不得转委托;如转委托的,应确保控制者和处理者之间的合同或其它法律条款所规定的数据保护责任通过合同等形式同等适用于次受托处理者。当次受托处理者无法完成其数据保护职责时,处理者应当完全承担次受托处理者的责任。

  (2) 根据GDPR第28条第3款,控制者通过合同要求对受托处理者进行约束。

  (3) 应根据第30(2)条的规定,保存代表控制者进行的所有类别数据处理的记录。

  (4) 根据第31条的规定,处理者应根据要求配合欧盟监管机构。

  (5) 根据第32条的规定,处理者应实施技术和组织措施,以确保与风险相适应的安全级别。

  (6) 根据第33条,处理者在意识到个人数据泄露后,应立即通知控制者。

  (7) 处理者应根据第37条和第38条指定一名数据保护官;根据第27条指定一名欧盟境内代表。

  (8) 第五章关于向第三国或国际组织转移个人数据的规定。

  3.2.如果不直接受GDPR约束管辖

  即使数据处理者不属于受GDPR的直接管辖的实体,但若控制者本身属于受GDPR直接管辖,为了确保自己遵守了第28条第1款规定的责任一—只能选用有充分保证的、可采取合适技术和组织措施的、其处理方式符合GDPR要求并且保障数据主体权利的处理者,则控制者需要通过合同或其他法律行为确保处理者根据GDPR第28条处理数据,必须和处理者签署符合第28条第3款所有要求的合同。因此受托处理者仍然会间接受到数据控制者通过合同施加的GDPR下的责任义务。此外,GDPR第五章关于向第三国或国际组织转移个人数据的规定可能适用。

  3.3.中国数据处理者是否应该指定欧盟当地代表

  根据GDPR第27条,在适用第3条第(2)款的情况下,控制者或处理者应以书面形式指定一名欧盟代表,但以下情况除外:

  (1) 偶尔的处理,不包括大规模处理第9条第(1)款所述的特殊类别数据或处理与第10条所述的刑事定罪和犯罪有关的个人数据,并且考虑到处理的性质、背景、范围和目的,不太可能对自然人的权利和自由造成风险;或。

  (2) 公共当局或机构。

  因此“高风险”和“大规模”是是否需要指定境内代表的判断指标,其中大规模阈值在很多欧盟国家的个人数据保护机构已经进行明确:

  •爱沙尼亚规定在处理特殊类别的个人数据和/或与刑事定罪和犯罪有关的数据的情况下,门槛为5,000人。如果处理与金融和支付服务相关的数据,电子签名等数字信任服务;以及通信数据;实时地理位置数据;以及与具有法律效力的分析相关的数据,这一门槛将翻倍至10,000人。爱沙尼亚DPA认为这些数据具有较高的风险。对于所有其他数据,大规模阈值设置为50,000人。

  •荷兰DPA在医疗保健领域发布了关于大规模加工的指南。医院、药房、全科医疗中心和护理小组的数据处理总是被认为是大规模的。对于小型全科诊所或单独工作的药剂师,以及专科医疗中心,如果超过10,000名患者在诊所注册或超过10,000名患者接受一般治疗,并且所有患者档案都维护在一个单一的归档系统中,则数据处理是大规模的。

  •捷克《数据协议》规定了处理超过10,000个数据主体数据被视为大规模。但是,由20个以上的加工分支机构或20名以上的员工进行加工也被认为是大规模的。最后,各组织需要考虑数据处理是在区域层面还是在(国际)国家层面,后者更有可能是大规模的。

  •德国联邦数据保护专员发布了受 DPIA 约束的数据处理操作概述。在本文件中,它将大规模处理定义为覆盖超过 500 万人或覆盖至少 40% 正在处理的数据类型以及处理操作中涉及的数据主体。

  •波兰的数据保护机构GIODO发布了关于其认为大规模的指南,但选择未明确规模发布数字。取而代之的是,给出了应被视为大规模的数据处理操作的示例,包括医疗记录的处理;员工文件;处理者处理来自多个数据控制者的数据的系统;以及收集有关浏览网页、完成购买和/或观看/收听的电视或广播节目的广泛数据的数据库。

  •英国信息专员办公室(ICO)也没有给出大规模处理的数字。ICO在其指南中解释说,大规模包括数据处理活动的持续时间或持久性,涉及的数据主体的数量或比例,数据量和/或正在处理的不同数据项的范围以及处理活动的地理范围。示例,包括医院的数据处理,使用城市公共交通系统跟踪个人以及银行,保险公司以及电话和互联网服务提供商对客户数据的处理。

  目前看来,GDPR、欧盟委员会的SCC问答指引以及EDPB等相关规定,针对于案例情况仍有些冲突与不确定性,在实践中尤其作为控制者方,为避免相关风险,通常会要求最严密的防护。建议中国企业作为数据受托处理者,在合同谈判以及评估自身法律责任范围时,多要素全面判断和论证GDPR以及SCC对自身的约束和适用范围,确保合规以及成本效率的平衡。

  注释:

  [1]//commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/new-standard-contractual-clauses-questions-and-answers-overview_en