欧洲法院判定向美国传输数据的依据无效：这对未来意味着什么？

欧洲法院（ECJ，案号 C-311/18）已裁定关于所谓“隐私盾”（Privacy Shield）的欧美协议无效。该协议规定了确保将欧盟公民或居民的个人数据传输至美国符合《欧洲通用数据保护条例》（DSGVO）要求的条件。为此，美国公司作为受保护数据的接收方必须获得相应认证。欧洲法院此项判决的后果是，将个人数据传输至美国失去了核心法律依据。欧洲法院认为“隐私盾”所包含的保护措施和法律救济途径不足，以此证明其观点的合理性。特别是由于美国法律允许对境外外国人实施电子监控措施。该裁决源于数据保护活动家 Max Schrems 对爱尔兰数据保护专员发起的诉讼程序。Max Schrems 曾就 Facebook Ireland 将其个人数据传输给其美国母公司 Facebook, Inc. 一事提出投诉。

向美国传输数据还有另一个法律依据，即所谓的标准合同条款。欧洲委员会（欧盟的执行机构）认为这些示范条款适用于与数据出口相关的协议。特别是，标准合同条款是与设立在未提供符合欧盟法律的数据保护的第三国的数据进口方订立的。目前仅有12个国家被视为所谓的安全第三国，因此这些国家的数据保护无需采取额外措施即可达到欧盟标准。美国也一直不属于安全第三国。“安全港”（Safe Harbour）以及自2016年起的“隐私盾”仅是政府间协议，旨在这些协议各方之间的关系中，使美国的数据保护达到安全第三国的地位。

在新裁决中，欧洲法院还对标准合同条款发表了意见。这些条款包含在 Facebook 与 Max Schrems 之间的协议中。然而，它们仅在合同双方之间产生效力，对相关监管机构没有约束力。其中包括关于数据进口方必须向出口方提供的信息（例如潜在的政府干预）以及双方责任的详细规定。原则上，双方必须审查进口国的数据保护程度。不过，监管机构也可以介入，并在必要时禁止数据传输。

欧洲法院认为，根据接收国数据保护的形式，必须采取额外措施，使进口国的数据保护符合欧盟标准。遗憾的是，法院并未就针对美国具体需要采取哪些措施做出解释。在其最新裁决中，欧洲法院认为美国当局对外国人的监控措施尤为令人担忧。诚然，如果数据进口方知悉国家机关采取的控制措施，双方协议中的标准合同条款可以补充额外的告知义务。此类情况随后可赋予终止合同或取消数据传输的权力。然而，这并未改变根本问题。根本问题在于，从欧盟的角度来看，可能会发生未经授权的数据保护干预（例如通过监控措施）。在大多数情况下，数据传输协议的参与方无法提前预见这些情况。

只有考虑到欧洲法院保留意见的欧美新协议才能提供长久的解决办法。不过，欧洲委员会也打算在近期提交标准合同条款的修订版。这将为各方就欧洲法院认定的关键方面提供更为明确的指引。

对于企业集团内部进行的跨境数据传输，可以考虑将约束性企业规则（BCR）作为合法性基础。这些规则必须事先获得主管数据保护机构的批准。随后，它们将构成分向非安全第三国进行合法数据传输的基础。欧洲法院的裁决并未对此类规则的有效性提出质疑。

强烈建议企业作为欧洲法院此项裁决的应对举措，集中记录并核实向非 EEA 及非安全第三国传输的所有个人数据。欧洲法院对标准合同条款有效性所表达的限制，其影响很可能超出针对对美数据传输的具体范畴。根据欧洲法院的裁决，跨境数据传输协议的各方（即出口方和进口方）均有义务审查标准合同条款中规定的义务和保证在具体情况下是否足以使数据接收方法律下的数据保护符合欧盟标准。

加密传输数据也是可行的。然而，这种传输形式并不像最初设想的那样可靠。在许多情况下，解密密钥可以被监管机构获取。

拟向非安全第三国传输个人数据的实体对接收国数据保护法的具体影响进行审查时，应明确以下问题：

1. 公司将个人数据传输至哪些相关国家，即 EEA 以外且不属于安全第三国的国家？

2. 根据数据进口国的法律，当局出于什么原因可以调取相关个人数据？如果当局在法律形式上有权出于维护公共安全、预防和追诉犯罪之外的原因控制个人数据，则各方必须制定额外的保障措施，以达到与欧盟标准相当的数据保护水平。在此背景下，欧洲法院提及了 FISA 第 702 条（情报部门监听法案，于 2008 年生效），认为该条款导致了对美国数据保护水平低于欧盟标准的评估。第 702 条允许美国联邦政府对美国境外的外国人员实施针对性监控。在此过程中，可以强迫电子通信服务提供商提供协助以获取外国情报信息。1981 年发布的 Executive Order 1233 进一步加强了上述法律基础，该命令涉及同一主题，且是根据 Sec. 702 的前身条款制定的。

在欧洲法院判决之后，在签署取代“隐私盾”的新协议之前，与美国的数据传输存在巨大的不确定性。不过，预计欧盟与美国当局已经在朝该方向协调努力。

Hermann Knott 博士（LL.M.）是德国科隆 Andersen 事务所的 rechtsanwalt、执业律师兼合伙人。Fritjof Börner 博士是 Andersen 事务所的 rechtsanwalt 兼顾问律师。
图片： TheDigitalArtist，Pixabay 许可。