个人信息跨境提供中的企业合规

谢登科

(吉林大学 理论法学院研究中心，吉林长春 130012)

随着信息技术和数字经济的不断发展，在国际数字贸易、金融投资等业务中不可避免地涉及个人信息境外流动。个人信息境外流动不仅涉及自然人个人信息权益保护，也涉及国家主权、公共安全等重大问题。企业在实施个人信息境外提供行为时，须建立完善的专项合规计划，否则不仅无法完成正常跨境业务，还可能因违法违规而遭受行政监管处罚甚至刑事追诉。2021年7月，刚刚在美国挂牌上市的“滴滴出行”公司被国家网信办予以安全审查，并通知应用商店下架该公司APP，主要原因就是个人信息跨境流动涉嫌违规。(1)参见张宁：《“滴滴被查”事件折射数据安全责任之重》，载《中国城乡金融报》2021年7月23日，第A04版。对于处理个人信息的企业而言，个人信息保护专项合规不仅是其履行法定义务、避免处罚的重要手段，也是免受商誉损失、保障持续经营的重要途径，因为违规经营将面临罚款或罚金等处罚，更将面临声誉损失、特定经营的限制或剥夺。(2)参见陈瑞华：《企业合规基本理论》，法律出版社2021年版，第9页。我国《个人信息保护法》已初步建立了个人信息跨境提供规则，这为规范企业个人信息跨境行为提供了依据。为了兼顾企业持续经营和个人信息保护，企业在个人信息境外提供中应遵循《个人信息保护法》的各项规则，否则就可能出现与“滴滴出行”公司类似的个人信息跨境流动合规风险。因此，本文拟以《个人信息保护法》的现有规定为视角探讨个人信息跨境提供企业合规的四个要件。

一、境外提供的前提条件：个人信息的有效甄别

在个人信息境外提供中，企业首先需甄别跨境流动的数据是否属于个人信息，这是其开展个人信息跨境提供专项合规计划的前提条件。若企业将非个人信息的数据作为个人信息而纳入专项合规计划，则会不当提高企业实施跨境数据流动相关业务的成本；若将个人信息数据没有纳入个人信息而排除在专项合规计划之外，则可能让企业在个人信息跨境提供中面临行政监管处罚风险。因此，个人信息有效甄别是企业开展专项合规计划建设的重要前提。

我国《个人信息保护法》第4条对个人信息予以界定和明确，(3)《个人信息保护法》第4条第1款：“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。”但其并没有采取“可识别性”的判断标准，而是采取了“相关性+可识别性”的判断标准，即只要是与已识别或可识别自然人相关的信息都属于个人信息。从“可识别性”到“相关性”的转变，不仅改变了个人信息的认定标准，也改变了个人信息的认定路径和范围。从个人信息的认定路径来看，“可识别性”标准主要遵循“从信息到个人”的路径，即根据现有信息能单独识别或结合其他信息识别出特定自然人，该信息就属于个人信息；若现有信息不能直接或间接识别出特定自然人，则不属于个人信息。“相关性”主要遵循“从个人到信息”的路径，只要与已识别或可识别自然人相关的信息，就都属于个人信息；若与已识别或可识别自然人无关的信息，则不属于个人信息。从“个人到信息”的认定路径更符合个人信息生产的事实逻辑，在权利正当性方面也更具说服力。(4)参见曹博等：《个人信息保护案例评析》，上海人民出版社2021年版，第12页。从个人信息的认定范围来看，从“可识别性”标准到“相关性+可识别性”标准的转变会导致个人信息范围更加宽泛，因为某些信息虽然无法直接或间接识别出特定个人，但会因该信息与特定个人具有某种相关性而被认定为个人信息。在司法实践中，按照“可识别性”标准可能无法被认定为个人信息的某些新型数据，也会因与特定自然人有关而被认定为个人信息。比如在朱某诉百度公司cookie隐私权纠纷案中，二审法院就主要依据“可识别性”标准，认为百度网站基于cookie所记录的网页浏览信息不属于个人信息，因为依据此信息无法识别该网页浏览器使用者的网络用户身份。(5)参见丁翔宇：《个人信息保护纠纷理论解释与裁判实务》，中国法制出版社2021年版，第16-17页。不过，按照“相关性”的认定标准，网页浏览记录显然属于个人信息，因为它是特定自然人浏览网页中产生的行为信息，它与特定自然人具有关联性，此种信息与其他信息结合也可以识别特定自然人。但是，“关联性”标准较为注重自然人与信息之间的关系，可能会忽略个人信息的功能和作用，由此导致对个人信息认定范围的扩大。

对个人信息的甄别与判断，需要从其四个构成要素予以分析：(1)自然人。个人信息的主体仅限于自然人，法人等组织的相关信息则不属于个人信息，比如企业的生产数据、排污数据、企业微信公众号阅读次数等。个人信息保护立法主要是为了保护自然人的个人信息自决权和人格尊严，法人等组织并不存在人格尊严和人格自由。(6)参见程啸：《个人信息保护法理解与适用》，中国法制出版社2021年版，第59-60页。因此，法人等组织的相关信息并不属于个人信息，对于此类信息的跨境提供并不属于《个人信息保护法》调整范围，其可能会受到《反不正当竞争法》《保密法》等法律法规的调整。(2)可识别性。“已识别”与“可识别”是依据特定自然人是否已经被识别而作的分类，前者是指特定自然人已经被识别出来，后者是具有识别特定自然人的可能性。相关信息若无法识别出特定自然人，则对此类信息的处理通常不会侵害或危及特定自然人权益。因此，个人信息应当具有可识别性。对于特定个人的识别，既可以是直接识别，也可以是间接识别。前者是单独通过该信息就可以识别特定自然人，比如身份证号码、指纹等信息。后者是单独通过该信息无法识别特定自然人，须将该信息与其他信息结合才能识别特定自然人，比如性别、出生日期等信息，仅有上述信息无法单独实现对特定自然人的识别，因为同性别、同出生日期的自然人很多，但这些信息与其他信息结合起来仍然可以识别特定自然人。可以直接识别或间接识别出特定自然人的信息，都具有可识别性。(3)相关性。“有关”意为关系到、涉及到，它通常是事实描述或判断，而并不涉及对背后价值功能的判断，当信息是关于某自然人的，则认为此信息与该自然人具有相关性，该信息可以从内容、目的、结果等方面呈现出相关性。(7)参见[荷]玛农·奥斯特芬：《数据的边界：隐私与个人信息保护》，曹博译，上海人民出版社2020年版，第130页。自然人有意识或无意识实施各种活动中产生的信息都与该自然人有关，但它们并非都属于个人信息，只有该关联信息能够直接或间接识别特定自然人时才属于个人信息。(4)形式要件。个人信息的载体可以是电子或其他形式。个人信息的载体形式相对灵活，既可以是电子数据记载的个人信息，也可以是传统纸质文本记载的个人信息，还可以是图片、音频、视频等方式记载的个人信息。

对于匿名化处理的个人信息，由于无法通过其来识别特定自然人，《个人信息保护法》对匿名化处理后的信息不予调整和保护，其中就包括对匿名化处理后个人信息的境外提供。作为规避《个人信息保护法》中现有个人信息跨境提供规则的方式之一，企业可以对个人信息作匿名处理后再向境外提供。但是，在匿名化处理中需注意两个关键要素，即“无法识别”和“不能还原”，前者是指采取相关技术方法来“切割”信息与自然人的关联性，使无法通过其来直接识别或间接识别特定自然人；后者是指匿名化处理需要维持其处于不可识别的状态，且无法逆转地改变此种状态。(8)参见龙卫球主编：《中华人民共和国个人信息保护法释义》，中国法制出版社2021年版，第17页。在实践运行中，较为常见的匿名化处理方法就是删除姓名、身份证号等显著性识别信息，通过数字或字母等符号予以替换，从而消除个人信息被暴露的风险。但是，匿名处理也比较脆弱，匿名化处理个人信息可能通过更多数据或更强大信息处理技术实现“去匿名化”，主要是通过将匿名处理后个人信息中含有的相关细节信息映射到其他数据源上从而实现对特定个人的识别。(9)参见[美]雪莉·大卫独夫：《大数据泄露：隐私保护危机与数据安全机遇》，马多贺等译，机械工业出版社2021年版，第45页。比如Google公司就曾利用其用户检索数据库对某网络购物的公共数据库实现“去匿名化”处理，利用医学术语检索实现对公共健康数据的“去匿名化”处理。(10)参见[美]布鲁斯·施奈尔：《数据与监控：信息安全的隐性之战》，李先奇、黎秋敏译，金城出版社2018年版，第57页。匿名化处理后的个人信息被逆向采取“去匿名化”处理后，仍然有可能实现对特定自然人的识别。对于此种“去匿名化”的合规风险，企业需要在技术层面对个人信息予以有效匿名化处理，尽可能删除与企业跨境业务无关的个人信息数据，防止残留信息数据带来的去匿名化处理风险；在法律层面，企业需要通过完善相关合同内容或条款来防范匿名化个人信息跨境提供中的“去匿名化”合规风险，在合同中设置专门条款禁止个人信息的境外接收方将匿名化个人信息映射到其他数据来识别特定自然人。

个人信息甄别具有较强的专业性，相关信息是否可以识别特定自然人和地域、技术水平、投入时间、信息数量等因素有关。(11)参见程啸：《个人信息保护法理解与适用》，中国法制出版社2021年版，第63-64页。在实践运行中，很多新型、边缘性信息是否属于个人信息往往存在较大争议。为保障个人信息数据境外提供的合规性，企业需设立个人信息保护负责人(Personal Information Protection Officer, PIPO)。虽然《个人信息保护法》第52条对个人信息保护负责人制度的适用条件和范围予以限定，(12)《个人信息保护法》第52条：“处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人，负责对个人信息处理活动以及采取的保护措施等进行监督。个人信息处理者应当公开个人信息保护负责人的联系方式，并将个人信息保护负责人的姓名、联系方式等报送履行个人信息保护职责的部门”其仅要求处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人。但是，个人信息跨境提供涉及法律关系复杂、环节众多，企业在个人信息跨境提供合规计划中应当任命专门的个人信息保护负责人，将其纳入企业合规管理部门。(13)参见陈瑞华：《企业合规基本理论》，法律出版社2021年版，第10页。完善涉及个人信息处理的企业内部合规治理结构，个人信息保护负责人可以组织企业内部负责涉外业务的员工开展个人信息保护培训，这将有利于个人信息有效甄别、保障个人信息跨境提供的合规性。

二、境外提供的目的条件：因合法业务所必需

个人信息处理者对个人信息处理行为应具有正当目的，对个人信息的境外提供亦不例外。《个人信息保护法》第6条确立了目的限定原则，(14)《个人信息保护法》第6条：“处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。”企业开展个人信息跨境提供合规建设也应遵循目的限定原则，这是企业实施个人信息跨境提供的目的条件；因缺乏特定目的而实施个人信息境外提供，很容易导致跨境流动中的个人信息被滥用而产生合规风险。《个人信息保护法》第38条将个人信息跨境提供的目的限定为“因业务等需要”。这就意味着企业仅能为了业务等需要而实施个人信息跨境提供。目的限定原则是《个人信息保护法》中的“帝王条款”，也是个人信息保护的重要基石和其他规则的首要条件。(15)参见程啸：《个人信息保护法理解与适用》，中国法制出版社2021年版，第85页。因为处理目的可以反映出信息主体对其个人信息处理状况的合理期待，个人信息处理应当为信息主体所能够合理预见，而不得超出其合理预期。(16)参见梁泽宇：《个人信息保护中目的限制原则的解释与适用》，载《比较法研究》2018年第5期。企业在实施个人信息跨境提供时也应适用目的限定原则，其正当目的就是“因业务等需要”。在个人信息跨境提供专项合规计划建设中，企业也应围绕“因业务等需要”的目的限定原则来合理限定个人信息跨境流动范围。

首先，企业实施个人信息跨境提供是为其业务所需要。开展与其设立宗旨相关的各种业务活动是企业得以存续的正当基础，个人信息跨境提供自然也应与企业的业务相关，即为了更好保障企业各项业务的顺利开展，或者个人信息境外提供本身就是跨境业务的主要内容。企业在运行过程中可能会开展各种业务，比如产品开发业务、市场推广业务、行政管理业务等。企业的业务通常可分为内部业务和外部业务，前者比如跨国集团公司因人事、财务等内部管理而开展的各项业务，较为常见的是跨国集团公司因其内部人力资源管理，而对其员工个人信息实施跨境传输或提供；后者是企业与其他企业、组织或个人之间开展的各种交易或服务，比如企业为开展跨境金融、贸易等业务而向其他组织或个人实施的跨境个人信息提供。在实践中，企业通常较为重视外部业务中的个人信息跨境提供专项合规建设，但企业内部业务所开展的个人信息跨境提供也可能会侵犯个人信息权益，此时也可能产生企业合规风险。比如在德国，H&M公司就曾因大范围收集员工病假、就医、诊断等个人信息，将家庭状况、宗教信仰等个人信息作为员工考评任用的参考依据，而被德国数据保护部门开出3530万欧元罚单。(17)参见王倩、顾雪莹：《GDPR下涉欧企业的员工个人数据合规管理》，载《德国研究》2021年第2期。因为企业内部业务中的个人信息跨境提供，不仅涉及企业内部组织管理，也涉及其员工个人信息权益保护。我国《个人信息保护法》第38条并没有区分内部业务和外部业务，现有规则对企业内部和外部业务中实施的个人信息跨境提供行为都应当适用。考虑到企业内部业务具有日常性、持续性等特点，对于此类业务中的个人信息跨境提供若采取标准合同，可能会大幅增加企业运营和管理成本，故可以考虑采取个人信息保护认证方式(后文将详细阐述)。

其次，企业的业务需要本身应具有合法性。一般来说，境内企业在设立时会进行工商登记，工商部门对其业务范围予以登记审查，从而保障其相关业务范围的事前合法性。但是，在开展个人信息境外提供时，企业不仅需要关注个人信息跨境提供是否属于自身业务范围，也应考察境外接收方是否将个人信息用于合法业务范围，否则也很容易产生个人信息跨境提供中的合规风险。这里的“合法业务”不仅要关注境外接受方利用个人信息开展的业务在其所在地区或国家是否具有合法性，也需要关注国内法律法规对该业务的合法性评价。比如英国咨询机构剑桥分析公司(Cambridge Analytica)在获取Facebook用户个人信息数据后，将相关数据分析结果用于影响和操纵他国总统选举，存在损害他国国家安全和国家主权之嫌。(18)参见谢登科：《论数据跨境流动的安全与自由原则》，载《中国信息安全》2021年第5期。该公司对个人信息数据处理和分析在英国当地可能具有合法性，但却因损害了他国国家安全和公共利益而不具有合法性。又比如私人侦探、赏金猎人等业务在美国等国家属于合法业务范围，但我国现有法律法规则禁止私人侦探，若境内企业出于配合境外公司私人侦探业务而实施了个人信息境外提供行为，则仍然不属于合法业务，此种个人信息境外提供行为也不具有合法性。为了保障目的正当性与合法性，企业在开展个人信息境外提供时也应关注接收方是否将个人信息用于合法业务；在与境外接收方签订合同时，应设置专门条款来限制接收方对跨境接收个人信息的用途和目的。

再次，个人信息跨境提供涉及的企业相关业务范围应当明确、具体。目的限定原则要求在处理个人信息之前应具有明确具体的目的，而不能是笼统性、概括性目的，否则也将不利于保护信息主体的合理预期。企业在设立和营运中通常都会有具体明确的经营范围，其实施的个人信息跨境提供行为通常也会在其经营范围之内。企业在向自然人告知个人信息跨境提供的相关情况时，应当详细告知个人信息跨境提供是为了实现本企业哪些具体业务。若对处理目的或相关业务的告知过于模糊或弹性，则会导致自然人对个人信息跨境流动中相关情况认识和预期的不确定性。从行政监管层面来看，若企业在实施个人信息跨境提供中，仅是笼统、概括地向自然人告知其所涉业务情况，行政监管机构会认为企业对个人信息处理目的情况的告知缺乏透明性，则可能会对企业给予警告、罚款，甚至可能会给予责令暂停相关业务或停业整顿等处罚。2019年7月，Facebook公司与美国司法部、联邦贸易委员会达成行政处罚和解协议，按照该协议Facebook公司需缴纳50亿美元罚款，主要原因就是其未向其用户充分披露个人信息数据用途和风险。(19)参见陈瑞华：《企业合规基本理论》，法律出版社2021年版，第173页。为了防止因缺乏透明度而产生的合规风险，企业在开展个人信息境外提供时，需要明确、具体告知相关个人信息将用于何种业务。

最后，个人信息跨境提供应限于企业实现相关业务所需要的最小范围。企业在实施个人信息境外提供时，仅能提供实现其业务所需提供个人信息的最小范围，而不得跨境提供与其业务无关的个人信息，否则就存在过度提供个人信息之嫌。过度或超范围的个人信息境外提供，不仅无助于提升企业跨境业务，也会让其个人信息跨境提供行为丧失正当性与必要性，损害自然人对其个人信息的自主权和控制权。因此，个人信息跨境提供也应遵循目的限定原则中的最小范围限制，企业跨境提供个人信息应限于其开展业务所需的必要范围之内。对于目的限定原则中的最小范围限制，企业在个人信息跨境提供中通常需遵循以下要求：(1)个人信息跨境提供应当与企业的相关业务具有直接关联性，若缺乏个人信息的跨境提供，则企业相关业务可能就无法开展；(2)个人信息跨境提供的频率应当限于实现企业正常业务的最小频率，尽量减少对信息主体的侵扰次数；(3)个人信息跨境提供的数据应当限于实现企业特定业务所必需的最小范围。(20)参见龙卫球主编：《中华人民共和国个人信息保护法释义》，中国法制出版社2021年版，第25页。企业在实施个人信息跨境提供中遵循目的限定原则所要求的最小范围，需要全面权衡业务有效运营和个人信息权益保护，选择对个人信息权益影响最小的方式来进行个人信息跨境流动，将数据跨境流动对个人信息权益的影响降至最低。

三、境外提供的内部条件：自然人“知情-同意”

个人信息涉及自然人人格尊严和自由，它是自然人人格利益的重要体现和载体。任何组织和个人在未经自然人授权情况下原则上无权处理个人信息，这就要求企业对个人信息的处理应遵循“知情-同意”规则。个人信息保护中的“知情-同意”规则，既是尊重和保障自然人个人信息自决权的核心内容，也是企业在个人信息处理中最容易出现合规风险的领域，比如未经有效同意而处理个人信息、超范围处理个人信息、告知不符合法定标准等。2019年1月，法国国家信息与自由委员会就依据《通用数据保护条例》(General Data Protection Regulation，GDPR)对Google公司处以5000万欧元罚款，主要理由就是Google公司处理其用户个人数据缺乏透明度、对用户告知信息不充分、用户缺乏有效同意等。(21)参见申晓雨、吴雅涵：《从谷歌被罚看GDPR数据隐私保护》，载《法人》2019年第4期。2021年11月，我国工信部通报了在个人信息保护方面存在各种违规问题的38款APP名单，其中半数以上涉及超范围收集个人信息、强制收集个人信息、信息告知不到位等问题。(22)参见吴斯旻：《APP违规收集个人信息为何屡禁不止》，载《第一财经日报》2021年11月12日，第A07版。这些不合规问题主要都是违反个人信息保护中的“知情-同意”规则。个人信息跨境提供属于个人信息处理行为之一，其自然也应遵循“知情-同意”规则。《个人信息保护法》第39条确立了个人信息跨境提供中的“知情-同意”规则。(23)《个人信息保护法》第39条：“个人信息处理者向中华人民共和国境外提供个人信息的，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意。”企业在实施个人信息跨境提供中应遵循该规则，这是个人信息境外提供企业合规的内部条件，因为该条件要求企业从自然人处取得对其个人信息向境外提供的有效授权，是企业实施个人信息境外提供行为的内在合法性基础。有学者将其称为个人信息跨境的“必要性条件”。(24)参见张凌寒：《个人信息跨境流动制度的三重维度》，载《中国法律评论》2021年第5期。其实，个人信息境外提供的内部条件和外部条件都属于必要性条件，因为无论缺少内部条件还是缺少外部条件，都将导致企业个人信息境外提供行为的不合规。相比于个人信息的一般处理行为，个人信息跨境流动对自然人权益影响更大，它会导致对个人信息的监管场域、法律适用、维权成本等方面的巨大变化，会导致自然人对个人信息控制弱化、维权难度和成本上升等不利后果。因此，《个人信息保护法》对个人信息跨境提供中的“知情-同意”规则设置了更加严格的标准，这就对企业个人信息跨境提供提出了更高的合规要求：

其一，告知事项的合规要求。在个人信息处理中，对相关事项的全面告知是自然人有效同意的重要基础，若缺乏对个人信息处理事项的充分告知，则很难保障自然人作出的同意是其理性选择。我国《个人信息保护法》对个人信息处理的重要环节和关键节点采取了“原则+一般规则+特殊规则”的三重告知规则，其在公开透明原则中要求明示个人信息处理的目的、方式和范围；(25)《个人信息保护法》第7条：“处理个人信息应当遵循公开、透明原则，公开个人信息处理规则，明示处理的目的、方式和范围。”在一般规则中对告知的方式、内容、标准等予以规定。(26)《个人信息保护法》第17条：“个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：(一)个人信息处理者的名称或者姓名和联系方式；(二)个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；(三)个人行使本法规定权利的方式和程序；(四)法律、行政法规规定应当告知的其他事项。前款规定事项发生变更的，应当将变更部分告知个人。个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的，处理规则应当公开，并且便于查阅和保存。”而个人信息跨境提供就属于个人信息处理的重要环节和关键节点，其除了需要遵循公开透明原则中对告知的原则性要求和一般告知规则的具体性要求之外，还需要遵守《个人信息保护法》第39条确定的特殊规则。在就个人信息境外提供的相关事项征得自然人同意之前，需要就个人信息跨境流动事项向自然人履行告知义务。告知的具体内容包括境外接收方名称或姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使法定权利的方式和程序等事项。特殊规则对告知内容的扩大化，将更有利于保障个人知情权，也将有助于自然人行使其各项个人信息权利及发生信息安全事件后的有效维权，但这也给个人信息跨境提供中的企业合规提出了更高标准和要求。

为了防止个人信息跨境提供中的合规风险，企业履行告知义务应符合以下要求：(1)从告知时间上看，企业应在实施个人信息跨境提供之前告知相关自然人，而不得在跨境提供行为完毕之后才告知。(2)从告知方式上看，企业应当采取显著方式，使用清晰易懂的语言，真实、准确、完整地向相关自然人告知个人信息跨境提供的情况。在实践中，企业通常采取个人信息处理规则或政策的方式来履行其告知义务，即通过企业内部制定的个人信息保护或隐私保护政策来告知。此种告知方式虽然比较快捷高效，但《个人信息保护法》在个人信息跨境提供中设置了“单独同意”规则，即个人信息跨境提供应取得个人的单独同意，而“单独同意”重在突出告知义务，强调企业应在告知方式上引起个人重视；(27)参见龙卫球主编：《中华人民共和国个人信息保护法释义》，中国法制出版社2021年版，第66页。“单独同意”意味着不能通过个人信息保护或隐私保护政策等蕴含的个人信息境外流动规则的方式来履行告知义务，因为基于个人信息保护或隐私保护政策的告知属于概括性或综合性告知，个人基于此种告知方式而作出的同意表示，会让其对个人信息境外提供的同意丧失独立性、单独性，此种同意是依附于对个人信息其他处理事项内容的同意。因此，个人信息跨境提供中的告知不应采取隐私政策或个人信息处理政策方式告知。(3)从告知内容上看，个人信息跨境提供的境内企业，既需要告知企业名称、负责人姓名、联系方式等信息，也需要告知境外接收方名称或姓名、联系方式，还需要告知个人信息跨境提供的目的、处理方式、个人信息种类、保存期限、个人向境外接收方行使法定权利的方式和程序等内容。

其二，同意方式的合规要求。个人信息跨境提供中的同意规则，是为了保护信息主体对其个人信息处理的选择权或决定权。企业实施的个人信息跨境提供行为，在客观上会干预或侵犯自然人个人信息权，其具有推定的非法性，而个人同意可以排除此种非法性，让个人信息跨境提供行为获得内在的正当性与合法性。我国《个人信息保护法》对个人信息处理中的同意采取“一般规则+特殊规则”的立法模式。在个人信息跨境提供中，企业除了要遵守《个人信息保护法》第14条规定的一般同意规则外，(28)《个人信息保护法》第14条：“基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。”还应遵守《个人信息保护法》第39条确定的特殊规则。具体来说，个人信息跨境提供中个人同意主要应符合以下要件：(1)同意的自愿性。自由选择是同意规则的核心内容，这要求自然人具有自由选择是否同意的可能性。企业不得以拒绝服务或其他不合理条件来限制自然人的选择权，只有自然人在拒绝对其个人信息处理而仍可获得相关服务的情况下，其作出同意的选择决定才具有自愿性。同意的自愿性，要求企业在个人信息跨境提供中不能通过欺诈、胁迫或误导等方式取得自然人同意。(2)同意的明确性。从理论上看，同意可以分为“明示同意”和“默示同意”。《个人信息保护法》中“知情-同意”规则要求处理个人信息须取得个人明确同意，不得以默示方式推定个人同意。明确同意要求信息主体通过肯定性动作对其个人信息处理作出明确的授权行为。在个人信息跨境提供上，企业也应取得自然人明确同意，此种明确同意可以通过书面同意、主动勾选、主动点击等方式作出。(3)同意的单独性。个人信息处理者向境外提供个人信息时，须征得个人“单独同意”，即个人信息处理者应采取“一对一”方式取得个人同意。单独同意更容易引起自然人对其个人信息处理行为的警惕和重视，可以强化其个人信息保护意识，让其在作出是否“同意”的选择时更加谨慎、理性。(29)参见丁晓东：《个人信息保护原理与实践》，法律出版社2021年版，第92-93页。对于“单独同意”的表示形式则相对灵活，既可以采取书面同意，也可以口头同意或电子数文式同意。实践中一般采取单独弹窗、单独协议等方式告知，个人可以通过在线勾选、点击确认等方式表示单独同意。

企业在个人信息跨境提供中应遵循“知情-同意”规则，这是该行为内在合法性的重要基础。需要注意的是，在个人信息跨境提供中，企业仅能依据自然人“知情-同意”获得内在合法性基础，这与企业在境内对个人信息处理行为的合法性基础存在较大差别。对于个人信息的境内处理行为，《个人信息保护法》第13条规定了多元化合法性基础，(30)《个人信息保护法》第13条：“符合下列情形之一的，个人信息处理者方可处理个人信息：(一)取得个人的同意；(二)为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；(三)为履行法定职责或者法定义务所必需；(四)为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；(五)为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；(六)依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；(七)法律、行政法规规定的其他情形。依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。”并非只能依据个人“知情-同意”获得合法性。比如企业为订立履行合同、新冠疫情防控等原因而收集处理必要的个人信息，就无需取得个人同意。但是，个人信息跨境提供行为的合法性基础具有唯一性，其仅能基于自然人“知情-同意”而获得合法性。此种单一合法性基础体现了我国立法者对个人信息跨境流动的审慎态度。(31)参见龙卫球主编：《中华人民共和国个人信息保护法释义》，中国法制出版社2021年版，第186页。这就决定了企业无论基于何种目的或业务而实施个人信息跨境提供行为都必须征得个人单独、明确同意，否则就可能会产生合规风险。

四、境外提供的外部条件：个人信息保护的多元价值

企业开展个人信息数据境外提供时，除了需征得自然人同意授权外，还应遵守《个人信息保护法》设立的外部条件。这些外部条件通常不属于自然人个人信息自决权范畴，是自然人“知情-同意”以外的其他法定条件。这些外部条件有些间接关涉自然人个人信息权益保护，比如个人信息保护认证，有些是为了实现个人信息权益保护以外的其他法律价值，比如安全评估中所承载的国家安全、公共利益等法律价值。《个人信息保护法》第38条第1款设置了个人信息跨境提供的外部条件。(32)《个人信息保护法》第38条第1款：“个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一：(一)依照本法第四十条的规定通过国家网信部门组织的安全评估；(二)按照国家网信部门的规定经专业机构进行个人信息保护认证；(三)按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；(四)法律、行政法规或者国家网信部门规定的其他条件。”这些外部条件体现了对个人信息保护、国家主权和安全等因素的考虑，企业开展个人信息数据境外提供时，也必须符合这些法定外部条件，否则就可能因损害个人信息权益、国家安全、公共利益等而产生合规风险。具体来说，企业开展个人信息数据境外提供时，应符合下列条件之一：

第一，安全评估。所谓“安全评估”是对个人信息跨境提供是否存在损害个人信息权益、危害国家安全和公共利益等情况所作的分析和评判。在个人信息跨境流动中，一国可能利用大数据分析技术和海量个人信息对他国社会状况予以精准画像，从而实施危害他国国家安全和国家主权的活动。(33)参见马光：《FTA数据跨境流动规制的三种例外选择适用》，载《政法论坛》2021年第5期。因此，安全评估成为个人信息跨境提供中的法定外部要件之一。这意味着若无法通过安全评估，则不能实施个人信息跨境提供。安全评估虽然有利于维护国家安全和公共利益，但可能会阻碍个人信息跨境自由流动。(34)参见许多奇：《个人数据跨境流动规制的国际格局及中国应对》，载《法学论坛》2018年第3期。为平衡国家安全利益和个人信息合理流动，就需要对安全评估的适用范围予以适当限定。我国《个人信息保护法》对安全评估适用的限定主要有以下方面：(1)适用对象特定化。安全评估仅适用于两类特定主体实施的个人信息跨境提供行为，即关键信息基础设施运营企业和处理个人信息达到法定数量的企业。前者是公共通信、信息服务、能源、交通、水利、金融等重要行业和领域关键信息基础设施的运营企业，后者是处理个人信息达到一百万人的企业，累计向境外提供超过十万人以上个人信息或一万人以上敏感个人信息的企业。(35)《数据出境安全评估办法(征求意见稿)》第4条：“数据处理者向境外提供数据，符合以下情形之一的，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估。(一)关键信息基础设施的运营者收集和产生的个人信息和重要数据；(二)出境数据中包含重要数据；(三)处理个人信息达到一百万人的个人信息处理者向境外提供个人信息；(四)累计向境外提供超过十万人以上个人信息或者一万人以上敏感个人信息；(五)国家网信部门规定的其他需要申报数据出境安全评估的情形。”比如前文所提“滴滴公司”就属于后者，其向境外提供个人信息时就应当予以安全评估。(2)适用方式强制性。前述两类特定主体实施的个人信息跨境提供行为，只能通过安全评估方式来满足外部条件的要求，它们无法通过个人信息保护认证、订立标准合同等方式来替代安全评估。因此，安全评估的适用对此两类特定主体而言具有法定性。因为此两类特定主体的个人信息境外提供行为会对国家安全、公共利益等产生较大的影响，它们实施个人信息跨境提供行为必须经过安全评估，除非相关法律、行政法规或国家网信部门另有规定其可以不用安全评估。(36)《个人信息保护法》第40条：“关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的，应当通过国家网信部门组织的安全评估；法律、行政法规和国家网信部门规定可以不进行安全评估的，从其规定。”安全评估适用方式的法定性和强制性，有利于防范个人信息跨境提供中出现危害国家安全、公共利益等风险。

第二，个人信息保护认证。个人信息保护认证是由专门的认证机构以相关技术标准为依据，对信息处理者的管理体系、运行状况、产品服务等是否达到个人信息保护标准要求而出具的意见。(37)参见龙卫球主编：《中华人民共和国个人信息保护法释义》，中国法制出版社2021年版，第183页。与安全评估相比，它们两者虽然都是由相关部门或机构经审查后出具的意见材料，但二者也存在本质差别：(1)从功能上看，安全评估虽然客观上也具有保护个人信息权益的功能，但其主要目的是防止个人信息跨境提供中出现危害国家安全、公共利益的风险；在个人信息保护认证中，虽然也会考察个人信息处理行为中危害国家安全的风险，但其主要是通过第三方机构的专业审查认定来消除信息主体和信息处理者之间的信息鸿沟，从而更好地实现对个人信息的有效保护。(2)从内容上看，安全评估具有专项性特征，即其主要考察、评估个人信息跨境提供中危害国家安全、公共利益的风险；个人信息保护认证则具有综合性特征，其需要对个人信息处理者是否达到个人信息保护技术标准和法律法规的要求予以全面、综合审查认定。(3)从主体上看，安全评估的受理审查主体比较单一，它是由国家网信部门受理，组织行业主管部门、国务院有关部门、省级网信部门、专门机构等进行安全评估。(38)《数据出境安全评估办法(征求意见稿)》第10条：“国家网信部门受理申报后，组织行业主管部门、国务院有关部门、省级网信部门、专门机构等进行安全评估。涉及重要数据出境的，国家网信部门征求相关行业主管部门意见。”评估之后，由国家网信部门出具通过或不通过的评估结果。个人信息保护认证的主体则相对多元，其可以是任何具有个人信息保护认证资质的第三方专业机构。比如2018年国家市场监督总局下属“中国网络安全审查技术与认证中心”曾开展个人信息安全认证，给支付宝、腾讯、百度等公司颁发认证书。(39)参见程啸：《个人信息保护法理解与适用》，中国法制出版社2021年版，第309页。(4)从适用方式来看，安全评估的适用具有法定性和强制性，上述两类特定企业实施个人信息跨境提供时，都必须事前申请安全评估，否则将面临行政监管责任或刑事追诉风险；个人信息保护认证的适用则具有自愿性和选择性，上述两类特定主体以外的企业在实施个人信息跨境提供时，可以选择申请个人信息保护认证，也可以选择订立标准合同或符合法律、行政法规规定的其他条件。当然，个人信息保护认证并不能免除或减少个人信息处理者的义务和责任，(40)参见原浩：《网络安全法律解析2020》，华中科技大学出版社2020年版，第53页。企业在个人信息跨境提供中仍然需要履行法定义务；若在个人信息跨境提供过程中，违反了个人信息保护法规，国家网信部门仍然可以给予行政制裁。

第三，订立标准合同。标准合同是从提供者与接收者之间的契约关系来实现跨境流动中的个人信息权益保护。在个人信息跨境提供中，个人信息主体并不参与个人信息跨境流动合同的协商订立，通常是由个人信息跨境提供者与接收者来协商订立，但合同处理对象并非合同订立者自己的个人信息，而是其他主体的个人信息，这就很容易出现规避法律条款、侵犯个人信息权益等违法情形。标准合同是将《个人信息保护法》对个人信息保护的法定义务转化为相关合同条款，通过对合同中权利义务内容的标准化、固定化来实现跨境流动中的个人信息保护。从法律性质上看，标准合同本质上也是一种格式合同，但其与普通格式合同存在重大差别。普通格式合同通常是由合同一方或单方主体所预先制定，该方主体可能会利用其经济优势、垄断地位来免除己方义务或加重对方责任。标准合同则是由国家网信部门制定，其所具有的超然地位和监管职责决定了标准合同更具公正性和权威性，也有利于在合同条款中贯彻个人信息保护、国家安全、公共利益等法律价值。个人信息跨境流动的标准合同，主要包括个人信息出境目的、存储地区或国家、提供方和接收方权利义务、准据法等内容。通过对标准化条款设置可以让个人信息跨境提供规则得到有效落实和执行，也可以倒逼个人信息跨境流动双方保障个人信息权益。(41)参见张新宝、葛鑫：《个人信息保护法(专家建议稿)及立法理由说明书》，中国人民大学出版社2021年版，第171页。标准合同比较适合企业外部经营业务的个人信息跨境提供，比如在国际货物或服务贸易中订立个人信息保护的标准合同。对于跨国集团公司的日常性、持续性内部业务，由于会涉及频繁、大量个人信息境外提供，若每次个人信息的境外提供都订立标准合同，则会导致公司营运成本上升，增加跨国集团公司负担。另外，标准合同义务的履行状况，不仅受到合同订立方的日常监管，也会受到国家网信部门的持续监管，相关信息主体都可以申请国家网信部门对标准合同义务履行情况予以审查和监督，这将导致企业在个人信息跨境提供中面临很多不确定性风险。因此，跨国集团公司日常性、持续性内部业务并不适合选择订立标准合同来实现个人信息跨境提供的外部要件。此时，跨国集团公司可以通过制定符合个人信息保护的专项合规计划，在符合法定标准和要求的情况下申请个人信息保护认证。在取得第三方机构认证后，跨国集团公司向其境外公司直接传输个人信息就可以无需订立标准合同，这降低了跨国集团公司的营运成本。对于单独性、临时性跨境业务而言，企业通过订立标准合同来实施个人信息跨境提供的成本更低、时间更短。但是，企业在订立标准合同之后，须严格遵守标准合同的各项条款，尤其是定期或不定期检查督促境外接收方恪守标准合同义务，审查监督接收方是否按标准合同充分履行其个人信息保护义务，否则也很容易出现个人信息跨境提供中的合规风险。

从《个人信息保护法》第38条第1款对个人信息数据境外提供外部条件的现有设置和立法表述来看，其采取了可供信息处理者选择的多元化机制，即信息处理者只要符合上述外部条件之一，且在符合其他法定条件基础上，就可以向境外提供个人信息。有学者将这些外部条件称为“选择性条件”，(42)参见张凌寒：《个人信息跨境流动制度的三重维度》，载《中国法律评论》2021年第5期。但这不意味着所有类型的企业在实施个人信息境外提供中都有选择的权利和空间，因为该条款针对信息处理者的不同类型设置了不同外部条件，由此就限制了特定企业的选择空间。在个人信息跨境提供中，作为个人信息处理者的企业都应遵循“目的限定”“知情-同意”等其他条件，但在外部条件的选择和适用上则可能存在差异：(1)基于企业类型的外部条件合规选择。企业需要结合自身类型或状况来选择适用何种外部条件。对于关键信息基础设施运营的企业和处理个人信息超过法定数量的企业，只能选择通过安全评估方式来符合外部条件，若此两类企业选择订立标准合同或个人信息保护认证，则会产生合规风险。对于上述两类特定主体之外的其他企业，则可以根据业务类型或个人信息类型选择订立标准合同或第三方认证来满足个人信息境外提供的外部条件。(2)基于业务类型的外部条件合规选择。对于上述两类特定主体以外的其他企业，虽然可以选择订立标准合同或第三方认证，但实现不同外部条件的成本并不相同，其可以根据自身业务类型来选择适用何种外部条件。对于日常性、持续性涉外业务，企业可以选择保护认证方式来满足外部条件要求；而对于单一性涉外义务，企业可以通过订立标准合同方式来实施个人信息跨境提供。(3)基于个人信息类型的外部条件合规选择。有些企业虽然本身不属于上述两类特定企业，但其对境外提供的个人信息比较敏感或重要，这些个人信息可能会间接涉及国家安全，则仍然需要通过安全评估来满足外部条件的要求。比如美军使用某健身APP被发现可保留使用者日常锻炼记录，包括其锻炼路线、位置、日期、时间等信息，而这些信息可以准确找到美国特工处、国家安全局等组织成员活动地点而存在危害国防安全的较大风险。(43)参见魏岳江、丁莉莎：《防止因泄露位置信息对部队安全构成威胁，美军禁用手机地理定位功能》，载《解放军报》2019年2月1日，第11版。对于此类个人信息的境外提供，企业仍然需要取得安全评估。因此，对于个人信息境外提供的外部条件，需要结合企业状况、业务类型、个人信息类型等因素予以选择。

结语

我国《个人信息保护法》已初步建立了个人信息跨境提供规则，这为规范企业涉外业务中的个人信息跨境提供行为提供了依据，也要求企业建立个人信息跨境提供的专项合规计划。企业合规不仅仅是企业在经营过程中遵循相关法律法规，其更是需要通过建立识别、防范和应对违法违规行为的企业内部治理结构，在企业内部形成依法经营的自我监管机制和文化。(44)参见陈瑞华：《企业合规基本理论》，法律出版社2021年版，第19页。对于相关业务涉及个人信息跨境流动的企业而言，需要在其公司治理结构中建立合规组织体系，将现有个人信息跨境提供规则转化为其内部商业行为准则。企业需要以前提条件、目的条件、内部条件和外部条件四个方面为主体内容，来构建企业个人信息跨境提供的企业专项合规计划，将其纳入企业数据保护合规计划之中。设置个人信息保护负责人(PIPO)，将其纳入企业合规管理部门。个人信息保护负责人可以组织企业内部负责涉外业务的员工开展个人信息保护培训，制定个人信息跨境流动的企业政策和规则，监督企业员工和境外接受方在个人信息跨境提供活动的合规性。