其他
葡语国家数据跨境|巴西发布《个人数据国际传输条例》草案,开放数据跨境国际合作
在数字经济全球化的背景下,我国积极推进高水平对外开放、构建开放型经济新体制,鼓励促进数据安全有序自由流动。2023年8月13日,《国务院关于进一步优化外商投资环境加大吸引外商投资力度的意见》发布,支持粤港澳大湾区等地探索便利化的数据跨境流动安全管理机制。
巴西是中国最大的葡语国家贸易伙伴,同时中国是巴西最大的贸易伙伴。澳门作为“中葡商贸合作服务平台”,长期以来一直发挥着连接中国和葡语国家的作用。随着数据要素在全球经济发展中的重要性持续增长,数据跨境流动或成为充分发挥澳门独特桥梁作用,深入推进中葡数字经济交往的关键抓手。
1.巴西数据跨境传输的法律机制
巴西《通用数据保护法》(以下简称“LGPD”)是巴西针对个人数据保护的主要法规,由ANPD负责实施。
LGPD第33条明确了巴西个人数据跨境传输的法律机制:
(1)第三国或国际组织提供的个人数据保护水平达到了LGPD规定的充分性程度。
(2)当控制者提供和证明符合LGPD规定的原则、数据主体权利和数据保护制度的保证文件时,其形式为:用以传输的具体合同条款; 标准合同条款(以下简称“SCC”); 全球性的公司规则(类似于欧盟有约束力公司规则,即BCR); 定期发布的印章、证书和行为准则。
2.《条例草案》是对现有数据跨境传输机制的细化
《条例草案》明确其适用于两类数据跨境传输方式,一类是提供符合LGPD充分保护水平的国家或国际组织;一类是“提供并保证遵守LGPD规定的原则、权利和数据保护制度”,包括标准合同条款、全球性企业规则等。
现行立法的一般规则和部门规则; 数据的性质; 遵守LGPD中规定的保护个人数据和数据主体权利的一般原则; 采取适当的安全措施,尽量减少对持有人(holder)公民自由和基本权利的影响; 是否存在尊重个人数据保护权的司法和制度保障; 与跨境传输有关的其他具体情况。
跨境传输的形式、期限和具体目的; 传输数据的目的地国家; 控制者的身份和联系方式; 控制者对数据的共享使用及其目的; 进行处理的代理人的责任; 数据主体的权利及其行使方式,包括易于访问的渠道以及向ANPD对控制者提出控告的权利。
在数据主体权利方面,《条例草案》标准合同没有像欧盟标准合同条款一样限制过度请求。此外,数据主体有权通过在巴西提起司法索赔来寻求个人或集体损害赔偿,如果举证责任对于数据主体来说过于繁重,法院可以酌情将举证责任转移给控制者。
依据《个人资料保护法》,个人资料原则上仅在遵守本法规定且转移地达到适当保护程度的情况下方可转移到特区以外的地方。一国或地区是否达到“适当保护程度”由澳门公共当局决定。这种途径与欧盟的“充分性保护认定决定”相似。
通常采用的方法,是根据互惠的原则把已经达到适当保护水平的国家/地区名单列入“白名单”。而直至目前为止,澳门未将任何国家或地区列入“白名单”。
如资料转移的目的地对个人资料没有适当保护程度,则在符合以下法律规定的前提下,实体仍可以将个人资料转移,但须通知公共当局,即使不确定资料转移的目的地是否对个人资料有适当保护程度,也可以选择直接作出通知:
1. 当资料当事人明确同意转移;转移是执行资料当事人和负责实体间的合同所必需,或是应资料当事人要求执行订定合同的预先措施所必需者;
2. 转移是执行或订定一合同所必需,而该合同是为了资料当事人的利益由负责实体和第三人之间所订立或将要订立者;
3. 转移是保护一重要的公共利益,或是在司法诉讼中宣告、行使或维护一权利所必需的或法律所要求者;
4. 转移是保护资料当事人的重大利益所必需者;
5. 转移自作出公开登记后进行。根据法律或行政法规,该登记是为着公众资讯和可供一般公众或证明有正当利益的人公开查询之用者,只要在具体情况下遵守上述法律或行政法规订定的查询条件。
当转移的目的地对个人资料没有适当保护程度,且有关转移不符合上述第1-5点的规定,则实体在确保有足够的保障他人的私人生活、基本权利和自由的机制,尤其透过适当的合同条款确保这些权利的行使的情况下,可申请许可,在获公共当局许可后方可将个人资料转移。(《个人资料保护法》第二十条第二款)
如当个人资料的转移成为维护公共安全、预防犯罪、刑事侦查和制止刑事违法行为以及保障公共卫生所必需的措施时,个人资料的转移如由专门法律或适用于特区的国际法文书以及区际协定规范,则无需向公共当局申请许可。(《个人资料保护法》第二十条第三款)
前瞻研究
01
02
中心动态
03