跨境數據管理：粵港澳大灣區的個人信息跨境流動（李沛陞）

本文作者李沛陞 (Shing Lee)，為數據素養協會資深創會會員，為《EJTech》撰寫專欄

跨境數據管理在全球範圍內成為一個重要議題。粵港澳大灣區（內地、香港）作為一個經濟發展迅速的區域，其個人信息跨境流動標準合同引起了廣泛關注。

粵港澳大灣區橫跨中國內地、香港和澳門，是一個經濟蓬勃發展的區域。香港作為金融和科技中心，與內地之間的數據流動需求日益增加。在合規合法的基礎上，要讓數據真正「活」起來 ，我們有以下值得注意的地方：

粵港澳大灣區個人信息跨境流動標準合同

粵港澳大灣區個人信息跨境流動標準合同是指為促進粵港澳大灣區內個人信息的跨境流動，保護個人信息主體權益，規範數據處理行為，制定的合同標準。

• 目的：粵港澳大灣區個人信息跨境流動標準合同旨在確保個人信息的安全和合規性。
• 合同內容：標準合同涵蓋合同的適用範圍、數據保護要求、數據流動的程序等，例如：
  • 數據流動規則：明確了個人信息的跨境流動規則，包括數據傳輸、存儲、處理等環節。
  • 隱私權保護：規定了個人信息的收集、使用、披露等方面的隱私權保護措施。
  • 責任和義務：明確了數據處理方和個人信息主體的責任和義務。

這些合同旨在促進粵港澳大灣區內的數據流動，同時保護個人隱私權益。

標準合同適用於哪些行業？

粵港澳大灣區個人信息跨境流動標準合同通常適用於各行各業，包括但不限於金融、科技、醫療、教育、零售、製造等領域。無論是跨境數據傳輸、雲服務提供商，還是其他涉及個人信息的業務，都可以參考這些合同標準來規範數據流動和保護個人隱私。

法規和指引

近期有關數據的法規陸續出台及更新，例如：

• 歐洲：歐盟的《通用數據保護條例》（GDPR）為跨境數據流動提供指引。
• 美國：美國的《隱私盾牌》協議和《加州消費者隱私法》（CCPA）涉及跨境數據流動。
• 亞洲：日本的《個人信息保護法》和韓國的《個人信息保護法》也值得關注。

香港和內地的情況又有什麼要注意?

隨著香港和內地之間的個人信息跨境流動日益頻繁， 除了標準合同實施指引已在2023年12月正式公佈，我們也要了解一下數據自貿港及負面清單的實施。

數據自貿港：

• 數據自貿港是指在自由貿易試驗區（自貿區）內，允許數據跨境流動的特定區域。這些區域可以自行制定區內的「負面清單」，即列出不需要申報數據出境安全評估的數據類別。只有在負面清單以內的數據才需要完成相應的前置監管程序。

• 數據自貿港的設立旨在促進數據跨境流動，強化自貿區在資料跨境流動領域的集聚力。

數據跨境流動新規允自貿區制定負面清單：

• 2024年3月22日，國家互聯網信息辦公室公布了《促進和規範數據跨境流動規定》。根據這一規定，自由貿易試驗區（自貿區）具有制定「負面清單」的權利。
• 自貿區可以根據國家數據分類分級保護制度框架，自行制定區內的負面清單。經省級網絡安全和信息化委員會批准後，報國家網信部門、國家數據管理部門備案。
• 在負面清單以外的企業數據，自貿區內的數據處理者可以免予申報數據出境安全評估、訂立個人信息出境標準合同、通過個人信息保護認證。

我們建議企業在落實有關指引時，可考慮以下一些建議，以確保合規性：

1. 數據分類和標記：確保您的數據按照敏感性和法規要求進行分類和標記。例如，區分個人身份信息、醫療記錄和金融數據。
2. 數據加密：使用強大的加密算法保護數據，特別是在跨境傳輸過程中。確保數據在傳輸和存儲時都處於加密狀態。
3. 合規性審查：定期審查法規和指引，以確保您的數據管理流程符合最新的標準。這包括內地的一些標準, 歐洲的GDPR、美國的CCPA等。
4. 數據存儲位置：了解您的數據存儲在哪個地理位置。某些法規要求數據必須存儲在特定區域內。
5. 數據流動合同：如果您的數據需要跨境流動，請與相關方簽署合規的數據流動合同，明確規定數據的使用和保護。

更多李沛陞文章：

• AI 的數據治理: 跨越交叉點

支持EJ Tech

如欲投稿、報料，發布新聞稿或採訪通知，按這裏聯絡我們。