歐美數據跨境的啟示

歐盟委員會通過《歐盟—美國數據私隱框架的充分性決定》，意味着基於歐盟認可的歐盟—美國數據私隱框架（DPF）內，若美國組織能夠提供與歐盟相當的數據保護水平，歐盟個人數據可以毋須額外調整數據保護措施，自由安全地傳輸至參與該框架認證的美國組織。 DPF是基於自我認證程序展開。在框架下，美國公司自願向美國商務部申請DPF認證，承諾遵守美國商務部發布的DPF原則，包括告知、選擇、再轉移責任、安全性、數據完整性、目的限制、問責制等。美國商務部會公開獲得認證的美國組織名單，當被列入《數據私隱框架名單》後，組織便可借助DPF數據跨境傳輸。至於參與認證的美國組織需要每年重新認證，對未能遵守商務部規定的組織，可把其移出《數據私隱框架名單》外，還可能面臨聯邦貿易委員會基於不公平或欺騙商業行為的起訴。 歐美之間的數據法律保護框架其實存在重大差異，從安全港協定到私隱保護盾協定，再到私隱框架。美國致力消除歐盟對其境內數據保護水平的質疑，繼而為跨大西洋數據自由流動提供法律確定性。 歐美之間就此分歧數度博弈，也充分展現了數據跨境流動機制充滿政治色彩。當然框架還需要接受歐盟委員、歐盟數據保護委員會、美國當局等共同定期審查，以判定是否有效運作，首次審查將在《充分性決定》生效後一年內進行，歐美之間博弈還是充滿變數。 隨着DPF的實施，符合該框架要求的美國組織在歐盟市場上可能會獲得競爭優勢，相反這可能對中國企業在歐盟市場上的競爭地位帶來一定挑戰。雖然DPF對中國沒有直接影響，但它可能對地區之間的數據資料保護法規發展和完善產生一定示範作用。世間事情總是合久必分、分久必合，目前還未知中美歐在數據的跨境互通上能否及早取得共識，抑或成為另一場博弈，但答案應該不會很遙遠。至於香港，箇中角色是非常微妙，可能是新機遇。