受邀于上海市企业法律顾问协会，本所合伙人、国际业务部负责人袁颖律师作为任课老师于2019年11月21日参加了上海银行总行“法律风险管理能力提升特训营”，就“银行跨境业务法律风险防范”专题进行分享和探讨。

讲座主要分为两个部分，第一部分为跨境并购信贷业务中的法律风险，第二部分为跨境业务数据保护合规。本文系对讲座第二部分跨境业务数据合规内容的归纳整理。

跨境业务在此指我国向外国消费者提供商业服务；以金融机构为例，其一般商业服务类型基本包括两类：一是在境外为境外消费者提供服务，如在当地建立经营实体，或借助网络、通过手机银行apps、小程序，提供针对境外消费者的服务或产品；一是在我国境内为入境的境外消费者提供专属的商业服务。

在这两类服务中，基本都会涉及到三层监管法律规范的适用：

根据数据保护监管的三个层次，跨境业务数据合规也应当包括三个层次。

在我国现行的法律规范、各种部门规章（包括意见稿）、各种相关国家推荐标准（包括意见稿）的规定来看，企业的境内数据保护合规，主要包括以下几个方面：

从体系上看，企业境外数据保护合规的要素与境内合规的要素是相类似的。虽然国外没有我国的网络安全等级保护制度，但在关键信息基础设施上，欧盟和美国都制定了特别的规范，即欧盟2016年的《网络和信息体系指令》（NIS Directive）、美国2002年《国土安全法》、2013年第21号总统令。但与境内合规相比，境外数据保护监管呈现出以下特点：

企业出境合规的成本与其提供跨境服务国家的国家政策密切相关。在数据出境方面，美国为鼓励商业而采取了较自由的态度；与之相反，欧盟GDPR则采取了较严格的态度。鉴于GDPR在世界范围的影响力，可以预见，其他国家在数据出境的态度将受GDPR规定的影响。

依照GDPR的相关规定，个人信息出境时，企业之间需签订欧盟专门订做的标准合同条款，确认各方业务；或者企业制定有明确的内部规则，该规则经监管当局评估审核合格；或者个人信息输出的国家是欧盟认定的白名单国家（安道尔、阿根廷、加拿大、法罗群岛、根西岛、以色列、马恩岛、日本、泽西岛、新西兰、瑞士、乌拉圭）。

隐私政策是企业主动向消费者披露信息的流程，是消费者行使信息权、企业履行信息义务的具体表现。举例手机银行app隐私政策中向消费者告知收集信息的内容来看，具体有如下要求：

从隐私政策仅是数据合规浅层次的要求来看，银行在从事跨境业务时需要紧扣合规要点，跟进境内外数据保护新规范要求，做到完全的三层次数据合规。