王 婷
(上海政法學院 國際法學院,上海 201701)
當前,我國正處于轉(zhuǎn)變經(jīng)濟發(fā)展方式、優(yōu)化經(jīng)濟機構(gòu)的關(guān)鍵階段,國務(wù)院印發(fā)的《“十四五”數(shù)字經(jīng)濟發(fā)展規(guī)劃》提出構(gòu)建數(shù)據(jù)要素市場體系,以數(shù)據(jù)要素驅(qū)動產(chǎn)業(yè)轉(zhuǎn)型升級和變革,推動我國數(shù)字經(jīng)濟的發(fā)展。數(shù)據(jù)要素市場化是形成由市場配置的數(shù)據(jù)資源體系的動態(tài)過程,這個過程中不可忽視的便是關(guān)于數(shù)據(jù)安全和數(shù)據(jù)紅利的平衡。數(shù)據(jù)資源作為基礎(chǔ)性的戰(zhàn)略資源,本身具有復雜性和多樣性,為保障本國的數(shù)字經(jīng)濟和國民利益,各國和地區(qū)采取相應(yīng)措施規(guī)制數(shù)據(jù)的市場化流動??紤]到金融行業(yè)的特殊性以及其對國家經(jīng)濟發(fā)展的重要性,我國對金融行業(yè)的監(jiān)管力度一直較為大。跨境金融業(yè)務(wù)數(shù)字化的迅速發(fā)展下,金融數(shù)據(jù)的跨境流動需求愈發(fā)增加,相關(guān)金融監(jiān)管部門和國家網(wǎng)信部門近年來一直致力于完善金融數(shù)據(jù)的市場監(jiān)管體系,為金融業(yè)機構(gòu)提供具有操作價值的合規(guī)指引。
1980 年OECD 頒布的《關(guān)于隱私保護和個人數(shù)據(jù)跨境流動的指南》首次提出了數(shù)據(jù)跨境流動(Crossborder Data Flow)的概念,不過目前各國對于跨境的界定尚未形成統(tǒng)一的認識。一般普遍理解為數(shù)據(jù)以點到點的方式,跨越國家或地區(qū)、進行數(shù)字化傳遞。[1]其中以境外實體的接觸作為跨境的標準,可表現(xiàn)為三種方式:第一種是數(shù)據(jù)真實直接地從一國或地區(qū)轉(zhuǎn)移到境外,接收者在境外獲取數(shù)據(jù),包括跨境傳輸以及直接跨境進行數(shù)據(jù)采集;第二種是以跨境訪問的方式進行間接轉(zhuǎn)移,即境外的組織、機構(gòu)或個人等主體能夠直接訪問儲存于境內(nèi)的數(shù)據(jù);第三種方式是直接向在本國或本地區(qū)境內(nèi),但不屬于其司法管轄范圍或并沒有在境內(nèi)注冊的主體轉(zhuǎn)移數(shù)據(jù)。數(shù)據(jù)性質(zhì)的不同使得數(shù)據(jù)跨境流動的監(jiān)管合規(guī)要求存在差異,故探討金融數(shù)據(jù)的跨境流動,首先應(yīng)當厘定金融數(shù)據(jù)的內(nèi)涵,以便對標專門的監(jiān)管合規(guī)要求。
金融數(shù)據(jù)是全面概述金融行業(yè)所有數(shù)據(jù)的大的集合概念,既包括金融機構(gòu)收集的原始數(shù)據(jù),也包括其處理加工后的信息。[2]其跨境流動的監(jiān)管起源于保護個人隱私的需求,因為個人金融信息不僅具有須監(jiān)管的金融屬性,而且兼具個人屬性。但隨著各國深度挖掘數(shù)據(jù)背后的潛在價值,金融數(shù)據(jù)在國際經(jīng)貿(mào)中成為極具競爭力的優(yōu)勢資源,金融數(shù)據(jù)跨境流動保護的內(nèi)涵已超過僅就個人金融信息進行保護的內(nèi)涵。根據(jù)相關(guān)法律規(guī)定以及國家金融行業(yè)標準,目前我國將金融數(shù)據(jù)定義為:金融業(yè)機構(gòu)在開展金融業(yè)務(wù)、提供金融服務(wù)以及日常經(jīng)營管理時所需或產(chǎn)生的各類數(shù)據(jù)。監(jiān)管對象為包括銀行業(yè)金融機構(gòu)在內(nèi)的所有受監(jiān)督管理的持牌金融機構(gòu),諸如保險機構(gòu)、金融租賃機構(gòu)以及信托機構(gòu)等,此外,諸如提供基礎(chǔ)技術(shù)服務(wù)的信息技術(shù)服務(wù)商、支付機構(gòu)等接受委托的第三方,在金融數(shù)據(jù)保護領(lǐng)域,也被視為產(chǎn)生金融數(shù)據(jù)的金融機構(gòu)。
金融數(shù)據(jù)跨境流動的需求主要是基于金融業(yè)機構(gòu)業(yè)務(wù)經(jīng)營和境外法律監(jiān)管兩個方面。在經(jīng)濟全球化趨勢下,金融業(yè)迅速拓展海外業(yè)務(wù),并轉(zhuǎn)向混業(yè)經(jīng)營模式,各金融企業(yè)紛紛在海外設(shè)立子公司、分支機構(gòu)和分公司等,金融控股公司的數(shù)量逐年增加,這類公司在集團的統(tǒng)一籌劃下開展跨境投融資業(yè)務(wù),建立囊括保險、信貸、融資租賃等多種業(yè)務(wù)領(lǐng)域的集團業(yè)務(wù)網(wǎng)絡(luò),形成跨國金融集團或涉及金融展業(yè)的跨國綜合性集團,諸如具有代表性的銀行業(yè)機構(gòu),我國的工商銀行、中國銀行農(nóng)業(yè)銀行、中國平安集團等,以及保時捷、梅賽德斯奔馳等為代表的汽車集團布局下的汽車金融行業(yè)。從業(yè)務(wù)經(jīng)營管理的角度來看,金融數(shù)據(jù)跨境流動主要表現(xiàn)為以下四類場景:
第一,針對特定客戶的展業(yè)需求。一國的子公司或分公司在開展跨境業(yè)務(wù)時,因業(yè)務(wù)辦理的必要,將數(shù)據(jù)傳輸至母公司和總公司。諸如境內(nèi)公司參與投資并購等業(yè)務(wù)時,將相關(guān)交易數(shù)據(jù)向境外公司傳輸。
第二,基于全球業(yè)務(wù)的風險管理與評估,以及用戶畫像和服務(wù)改進等客觀需求,金融數(shù)據(jù)的跨境共享和流通成為必要,主要包括包括母公司和子公司之間、各子公司之間以及各關(guān)聯(lián)公司之間的共享和流通。金融業(yè)務(wù)的本質(zhì)和關(guān)鍵在于進行全面的風險管控,數(shù)據(jù)的共享不僅有利于防范金融風險,而且能夠優(yōu)化交易程序和結(jié)構(gòu)。以金融控股的汽車融資租賃公司為例,隨著智能移動出行的流行,各類車企紛紛搶占汽車融資租賃市場。融資租賃業(yè)務(wù)中的風險防控的核心要點之一是對承租人的資格審查,其中涉及承租人的信用和財務(wù)狀況等金融信息。融資租賃公司往往會通過共享其集團公司收集、儲存的關(guān)于客戶的金融信息,對承租人進行風險等級評估,用以設(shè)計和調(diào)整交易結(jié)構(gòu),降低交易風險,尤其是在提供B2B 產(chǎn)品的過程中。
第三,與境外獨立第三方服務(wù)機構(gòu)的合作,主要是指境內(nèi)金融機構(gòu)委托非關(guān)聯(lián)的第三方機構(gòu)對其數(shù)據(jù)進行處理、分析,諸如審計。
第四,基于境外民事訴訟或仲裁等爭議解決的需求,金融數(shù)據(jù)作為民事證據(jù)的傳向境外。如在境內(nèi)交易中,境外一方參與者因內(nèi)幕交易等遭受損失,其在境外提起訴訟或仲裁,境內(nèi)公司可能需要將相關(guān)金融數(shù)據(jù)作為民事證據(jù)在境外提交。
配合境外監(jiān)管部門對金融行業(yè)的特別監(jiān)管是金融數(shù)據(jù)的第二類出境需求。境外的監(jiān)管部門出于審計、反恐怖融資與反洗錢監(jiān)管、打擊金融犯罪等司法目的,通常會要求上市公司提交其跨境經(jīng)營的金融控股公司的相關(guān)金融數(shù)據(jù),包括交易記錄、資金流進流出、關(guān)聯(lián)交易信息,以及披露相關(guān)財務(wù)信息等。
我國對于金融數(shù)據(jù)的跨境流動采取雙軌制的方式進行監(jiān)管。金融數(shù)據(jù)的跨境流動既要遵守法律法規(guī)對于數(shù)據(jù)跨境流動的一般性規(guī)定,也要符合金融監(jiān)管部門作出的專門性規(guī)定。
2017 年起施行的《網(wǎng)絡(luò)安全法》,2021 年9 月起施行的《數(shù)據(jù)安全法》,以及2021 年11 月起施行的《個人信息保護法》,共同構(gòu)成了我國數(shù)據(jù)保護的“三架馬車”,對數(shù)據(jù)跨境流動作出最基本的要求。
《網(wǎng)絡(luò)安全法》重視保護關(guān)鍵信息基礎(chǔ)設(shè)施產(chǎn)生的數(shù)據(jù),金融行業(yè)作為此類基礎(chǔ)設(shè)施,原則上要求其運營者在我國境內(nèi)收集、產(chǎn)生的個人信息和重要數(shù)據(jù)實現(xiàn)本地化存儲,不得向境外傳輸。例外的,基于業(yè)務(wù)的需求,可在通過安全評估后進行跨境流動?!稊?shù)據(jù)安全法》沿用了《網(wǎng)絡(luò)安全法》關(guān)于金融業(yè)數(shù)據(jù)跨境流動的規(guī)定,并進一步豐富了數(shù)據(jù)跨境流動的規(guī)制框架。
其次,《數(shù)據(jù)安全法》要求對影響或可能影響國家安全的特定數(shù)據(jù)處理行為開展安全審查,而金融數(shù)據(jù)的跨境流動屬于須審查的范疇。再者,該法還從出口管制的角度限制金融數(shù)據(jù)的跨境流動,類似于有些國家對于科技數(shù)據(jù)的出口管制,主要也是為了維護國家安全和利益。
《個人信息保護法》設(shè)專章規(guī)定了個人信息跨境流動的基本規(guī)則,除前述兩個法案規(guī)定以安全評估形式實現(xiàn)數(shù)據(jù)跨境流動外,增設(shè)了另外兩個合法性基礎(chǔ),一是境內(nèi)數(shù)據(jù)傳輸方取得專門的個人信息保護認證;二是與境外接收方訂立標準合同。在此基礎(chǔ)之上,該法對境內(nèi)數(shù)據(jù)傳輸方提出了數(shù)據(jù)出境的四個具體要求:1.取得相關(guān)個人的單獨同意,并向其披露數(shù)據(jù)跨境流動的必要信息,包括境外接收者的主體信息和相關(guān)信息跨境目的、處理方式等;2.確保境外接收者處理相關(guān)信息達到該法的同等保護標準;3.開展事前個人信息保護影響評估,包括從合法性、正當性和必要性三方面評估信息處理目的和方式,分析對當事人個人權(quán)益的影響等;4.對于金融業(yè)等有特殊監(jiān)管要求的數(shù)據(jù),還應(yīng)符合相關(guān)的特別規(guī)定。
上述都是關(guān)于數(shù)據(jù)保護普遍適用的規(guī)定,并沒有單獨就金融數(shù)據(jù)的跨境流動作出特別要求。金融監(jiān)管部門和網(wǎng)信部門以上述法律規(guī)定為基本內(nèi)核,制定專門規(guī)制金融數(shù)據(jù)跨境流動的法律體系。
金融數(shù)據(jù)跨境流動的規(guī)制始于金融監(jiān)管部門的特別性規(guī)定,其監(jiān)管從嚴格的本地化存儲逐漸轉(zhuǎn)變?yōu)楫斍暗母綏l件的跨境轉(zhuǎn)移。[3]
中國人民銀行(以下簡稱“央行”)在2011 年發(fā)布的《關(guān)于銀行業(yè)金融機構(gòu)做好個人金融信息保護工作的通知》(以下簡稱“17 號文件”)是我國關(guān)于金融數(shù)據(jù)跨境流動的第一個規(guī)范性文件。2011 年5 月,央行上海分行發(fā)文就17 號文件規(guī)定例外情形作出解釋,在銀行業(yè)金融機構(gòu)以辦理業(yè)務(wù)的為目的需跨境傳輸個人金融信息的情形下,取得客戶的書面授權(quán)或同意,接收對象僅為銀行機構(gòu)的總行、分行或母行,且接收對象對相關(guān)信息保密等四大條件均滿足時,允許完成跨境轉(zhuǎn)移的動作。這也是金融數(shù)據(jù)嚴格本地化要求到附條件跨境轉(zhuǎn)變的開始。
2016 年,央行發(fā)布了《金融消費者權(quán)益保護實施辦法》(第314 號文件),該辦法擴大了產(chǎn)生金融數(shù)據(jù)的金融機構(gòu)的范圍,除銀行業(yè)機構(gòu)以外,將征信機構(gòu)以及提供金融產(chǎn)品和服務(wù)的其他金融機構(gòu)、非銀行類支付機構(gòu),都作為受約束的金融機構(gòu)。在堅持個人金融信息原則上不出境的要求上,進一步明確了允許出境的例外條件:1.業(yè)務(wù)所需;2.經(jīng)當事人授權(quán);3.境外接收者應(yīng)當是辦理業(yè)務(wù)所必需的關(guān)聯(lián)機構(gòu),包括母子公司、總公司和分公司等;4.以協(xié)議和現(xiàn)場檢查等措施約束接收對象予以保密。但央行2020 年9 月發(fā)布的修訂版刪除對例外情形的描述。2020 年修訂版與原辦法關(guān)于金融數(shù)據(jù)的來源主體的規(guī)定有所區(qū)別,修訂版本主要是規(guī)制銀行業(yè)金融機構(gòu)以及支付類機構(gòu),但在附則部分列舉了其他應(yīng)參照適用該辦法的金融相關(guān)機構(gòu),包括信托公司、汽車金融公司等,對與金融機構(gòu)的類型更明確,但其實際范圍小于原文件的金融數(shù)據(jù)來源主體范圍。
在“一般性規(guī)定+特別規(guī)制”的雙軌法律基礎(chǔ)上,我國實際上形成了“法律+法規(guī)+國家標準”的三位一體數(shù)據(jù)保護和監(jiān)管模式。法律法規(guī)關(guān)于金融數(shù)據(jù)跨境流動的規(guī)定是原則性的規(guī)定,國家網(wǎng)信部門聯(lián)合其他單位和機構(gòu)制定了數(shù)據(jù)保護的國家標準。實踐中,監(jiān)管部門和網(wǎng)信部門主要還是以這類標準作為監(jiān)管和保護數(shù)據(jù)的重要參考和依據(jù)。這類推薦性國家標準兼具可操作性和可預測性,也是金融業(yè)機構(gòu)用以設(shè)計企業(yè)數(shù)據(jù)合規(guī)制度的重要指引。
2020 年2 月,央行發(fā)布了《個人金融信息保護技術(shù)規(guī)范》(JR/T 0171-2020),該國家標準沿用前文第314 號文件對境外接收者的限制性要求,允許個人金融信息在集團內(nèi)部進行跨境流動。《數(shù)據(jù)安全分級指南》則以數(shù)據(jù)安全性遭遇破壞后的所影響的對象,以及相應(yīng)造成的影響程度為定級依據(jù),將金融數(shù)據(jù)劃分為5 個安全級別。其中,5 級數(shù)據(jù)主要是指其安全性破壞后,對國家或公眾權(quán)益造成重大影響的重要數(shù)據(jù)。而2021年4 月發(fā)布的《金融數(shù)據(jù)安全數(shù)據(jù)生命周期安全規(guī)范》(JR/T 0223-2021)(以下簡稱《數(shù)據(jù)生命周期安全規(guī)范》)規(guī)定,在我國境內(nèi)產(chǎn)生的5 級數(shù)據(jù)僅可在我國境內(nèi)存儲。不過,關(guān)于數(shù)據(jù)出境安全評估以及個人信息保護影響評估的規(guī)范性文件目前仍處于征求意見稿階段,有待相干部門進一步研究發(fā)布。
我國目前允許附條件出境的金融數(shù)據(jù)為個人金融信息和重要金融數(shù)據(jù)兩類。綜合來看,個人金融信息的出境需滿足以下條件:1.完成業(yè)務(wù)所必需;2.境外接收對象限于總分公司、母子公司以及完成業(yè)務(wù)所必需的關(guān)聯(lián)機構(gòu);3.獲得個人信息主體的明示同意,并向其披露必要信息,包括境外接收者基本信息、跨境處理目的以及方式等;4.通過出境安全評估;5.開展事前個人信息保護影響評估;6.采取一定措施,確保境外接收者達到與我國同等的數(shù)據(jù)保護水平。重要金融數(shù)據(jù)出境的條件則規(guī)定得比較簡單,僅明確要求兩點,一是基于業(yè)務(wù)的必需,二是須通過安全評估。
金融數(shù)據(jù)的跨境流動是為了更好的利用數(shù)據(jù)價值,規(guī)制金融數(shù)據(jù)的跨境流動則是為了驅(qū)動數(shù)據(jù)跨境流動向善,平衡金融效益和數(shù)據(jù)安全?;诂F(xiàn)有監(jiān)管模式,筆者提出如下建議:
“業(yè)務(wù)需求”當前金融數(shù)據(jù)出境的前提性條件,而具化金融數(shù)據(jù)跨境轉(zhuǎn)移中“業(yè)務(wù)需求”的認定條件,對金融數(shù)據(jù)跨境流動場景進行定義和劃分,有助于增加數(shù)據(jù)跨境合規(guī)的條件或情形。[4]可將金融數(shù)據(jù)在集團內(nèi)部以及向第三方機構(gòu)的跨境轉(zhuǎn)移的客觀需求作為合規(guī)的場景,并根據(jù)不同業(yè)務(wù)需求下跨境流動的風險度和安全性,調(diào)整數(shù)據(jù)轉(zhuǎn)移方和接收方具體的權(quán)利和保護義務(wù)。
分類分級管理是我國數(shù)據(jù)保護的基本思路和理念。金融市場的核心競爭力之一是捕獲變化的金融信息,金融機構(gòu)通過信息數(shù)據(jù)的流通和共享及時調(diào)整金融風險處置方案和業(yè)務(wù)經(jīng)營管理,其對金融數(shù)據(jù)時效性的要求高于一般行業(yè)。[5]規(guī)制金融數(shù)據(jù)的跨境流動影響著金融數(shù)據(jù)的時效性。正當、合理的規(guī)制機制應(yīng)當是通過規(guī)制手段避免的潛在損失或因此取得的利益,大于監(jiān)管規(guī)制所投入的成本。[6]為平衡金融效益和數(shù)據(jù)安全,應(yīng)將分類分級的數(shù)據(jù)管理理念貫徹到金融數(shù)據(jù)的跨境流動規(guī)制中?!秱€人金融信息保護技術(shù)規(guī)范》以信息敏感度為劃分標準,將個人金融信息劃分為C3,C2,C1 三個類別,《數(shù)據(jù)安全分級指南》則以數(shù)據(jù)破壞后所影響的對象,以及其造成的影響結(jié)果作為依據(jù),劃分為1 到5 共五個等級,并將個人金融信息的劃分標準與其5 個等級標準一一對應(yīng)。
在此基礎(chǔ)上,監(jiān)管部門可將《數(shù)據(jù)安全分級指南》的分級標準和分級結(jié)果與金融數(shù)據(jù)的跨境流動聯(lián)動,對標數(shù)據(jù)安全等級具化出境安全評估的要求,構(gòu)建合理高效、差異化的審查評估機制。一方面,針對安全等級和風險等級均較小的金融數(shù)據(jù),可以監(jiān)管部門日常監(jiān)管狀況作為出境安全評估的參考要素,對于日常監(jiān)管狀況良好的金融業(yè)機構(gòu),可簡化評估流程和內(nèi)容。另一方面,對于安全等級較高的金融數(shù)據(jù),嚴格執(zhí)行現(xiàn)有監(jiān)管要求,但可允許其通過數(shù)據(jù)脫敏或其他安全加工處理等方式降低安全等級,使得出境安全評估更具層次化。
利于金融業(yè)機構(gòu)對標建立合規(guī)體系,相關(guān)監(jiān)管部門評估工作也更層次化。
數(shù)據(jù)保護義務(wù)原本主要是公法層面的義務(wù),而標準化合同則是通過合同的方式將其轉(zhuǎn)化為私法層面的義務(wù),將數(shù)據(jù)保護的方式標準化。[7]在個人信息的跨境流動規(guī)制中,我國法律已規(guī)定以網(wǎng)信部門制定的標準合同作為個人信息出境的合法性基礎(chǔ),金融數(shù)據(jù)的跨境流動可參考該做法,制定對應(yīng)的標準合同以簡化出境評估內(nèi)容。關(guān)于數(shù)據(jù)出境的安全評估辦法,我國先后公布了四份征求意見稿。盡管各版本在規(guī)制的數(shù)據(jù)對象、以及評估內(nèi)容和評估時間上存在差異,但其均要求評估時重點審查與境外接收者訂立的合同,關(guān)注對境內(nèi)外雙方關(guān)于金融數(shù)據(jù)保護的權(quán)利義務(wù)和責任的規(guī)定,以及合同條款對金融數(shù)據(jù)主體的保護狀況和權(quán)利救濟方式等。故可分類整合出境安全評估的內(nèi)容,將可通過合同條款規(guī)制的數(shù)據(jù)保護要求,結(jié)合主管部門對金融數(shù)據(jù)的特別監(jiān)管要求,制定兼具風險可控和金融效率的金融數(shù)據(jù)出境標準合同。既可為金融業(yè)機構(gòu)提供規(guī)范性的合規(guī)指導,也有利于分散出境安全評估階段的審查壓力,進一步優(yōu)化評估流程和時長。
金融監(jiān)管部門采取日常監(jiān)管為主,出境備案為輔的跨境合規(guī)模式,減少金融數(shù)據(jù)跨境流動的壁壘。鼓勵在內(nèi)部建立有完善的數(shù)據(jù)跨境流動合規(guī)體系的企業(yè)或組織,向監(jiān)管部門申請白名單認證,尤其是集團內(nèi)的金融控股公司。因為集團內(nèi)部一般擁有非常完善成熟的數(shù)據(jù)保護機制,部分跨國集團可能還符合歐盟GDPR 中所指的有約束力的企業(yè)規(guī)則(BCRs)。其次,從數(shù)據(jù)安全的角度來看,集團內(nèi)部跨境傳輸金融數(shù)據(jù)時,其風險暴露程度和安全等級遠小于對非關(guān)聯(lián)第三方的跨境流動。目前,歐盟的GDPR,美國、韓國等國家和地區(qū)的法律規(guī)定,對于以集團內(nèi)部主體為境外接收對象的金融數(shù)據(jù)跨境流動,如有獲數(shù)據(jù)保護機關(guān)批準的BCRs,則可直接在集團內(nèi)實現(xiàn)數(shù)據(jù)的跨境流通。
監(jiān)管部門可就申請企業(yè)內(nèi)部的合規(guī)體系及其具體執(zhí)行情況進行審查,包括數(shù)據(jù)的日?;颈Wo狀況以及數(shù)據(jù)安全事件的頻次等,并結(jié)合現(xiàn)場檢查和訪談等方式核定企業(yè)是否達到我國關(guān)于金融數(shù)據(jù)安全跨境流動的要求。此外,借鑒金融局開展年度監(jiān)管評級的基本模式,在金融數(shù)據(jù)跨境流動領(lǐng)域,同樣以“非現(xiàn)場監(jiān)管+現(xiàn)場檢查”的思路監(jiān)測調(diào)整出境評估企業(yè),保障金融數(shù)據(jù)跨境流動的可控性和安全性。