标题：【国企改革观象台】：出海避险行之有道：国企应对数据安全及隐私合规风险（上）
在“一带一路”政策推动下，国有企业不断深化“走出去”战略，拓展以数字化为依托的涉外业务，享受着大数据、人工智能、云计算、5G应用所带来的技术红利。与此同时，数据安全及隐私保护立法节奏加快，围绕数据保护形成了国家安全审查、出口管制等的数字竞争态势，海外数据合规环境日益复杂。尤其受制于新冠疫情对经济发展的负面影响，以欧盟为首的出海地不仅在数据资源主导权问题上暗自角力，也纷纷“慢下脚步”狠抓数据安全及隐私合规问题，国企出海正受到海外数据监管空前严苛的新型挑战。2020年9月8日，国务委员兼外长王毅在“抓住数字机遇，共谋合作发展”研讨会别会议上提出《数据安全倡议》，明确要求企业应尊重出海地法律，反对利用信息技术破坏他国关键基础设施或窃取重要数据，反对滥用信息技术非法采集他国公民个人信息，不得要求企业将境外产生、获取的数据存储在境内等，意味着数据合规风险防控不仅是企业出海安全中不可缺少的一环，也已成为数据安全治理的重要命题。因此，如何规避因数据合规问题引致业务受阻的风险，打造海外合规经营的核心竞争力，已然成为国企出海过程中需要持续投入资源解决的重要问题。
数据安全及隐私保护立法节奏加快，监管力度加大自GDPR生效以来，海外相继出台或修订数据合规相关立法。据统计，在194个国家中，已有132个国家完成数据合规相关立法，还有部分国家正在立法中，可见数据合规立法已成为合规监管的主流趋势。以为例，自《网络安全法》于2017年实施以来，相继出台《数据安全管理办法（征求意见稿）》、《个人信息出境安全评估办法（征求意见稿）》、《数据安全法（草案）》等数据安全及隐私保护专门立法，在加强数据安全监管的同时，进一步与接轨。
本地化存储与促进数据流动并存在数据自由流动的大环境下，部分国家及区域也在推动数据“本地化”，以保障国家安全及信息安全。海外一系列限制数据出境的动态表明其正收紧对跨国巨头企业向其所在国传输欧盟用户数据的监管，比如：爱尔兰数据保护委员会明确要求某知名社交软件公司停止向美国传输欧盟用户数据。
今年7月16日，欧盟通过SchremsII案判决认定美欧隐私盾协议无效，引起极大热议。
印度也着手在数字支付、电子商务等领域推进个人数据本地化立法。
美国早在2019年出台的《外国投资风险审查现代化法》明确将涉及投资收集、存储美国公民敏感个人数据的企业纳入重点审查范围，严格限制外国企业收集美国公民数据。
可见，本地化存储要求早已非新命题，且将随着国家安全需求增加而成为数据监管的重要趋势。
国企出海面临的数据安全及隐私合规风险和应对策略
风险1：对出海地网络安全及数据监管要求预判不足
各国对数据安全及隐私合规审查呈现收紧态势，而海外审查标准不明确、程序欠透明，享有广泛的裁量权，导致企业因信息不对称产生合规“盲区”。
具体表现在：
对海外法律法规适用范围把握不足。包括欧盟、印度、印尼、泰国等在内的国家及地区数据保护法律具有域外效力，即不仅适用在当地设立实体的企业，也适用于设立在境外但向当地可识别数据主体提供服务的企业。大部分企业对适用范围不确定，误以为不在当地设立法律实体，即可不受当地管辖。
对海外监管差异感知不明显。虽然非欧盟地区为与数据合规实践接轨，在顶层架构和基本原则上向GDPR靠近，但在授权同意机制、个人数据分类、数据主体权利请求响应、儿童及雇员隐私保护、罚则及救济方式存在较大差异。
应对策略：
建立数据风险监测与处置机制。通过技术手段数据合规监管库，在Zui短时间内完成企业内部的解读及分发。
建设海外数据合规团队或派驻代表，及时跟踪当地立法动态及监管事件，与当地监管机构保持密切沟通，提前摸清监管思路，尤其在局势不稳定的出海
地，更要防范风险做好备案。
聘请第三方机构对出海地或投资并购的目标公司进行充分尽职调查，重点关注涉及国家安全、敏感信息、用户隐私合规审查相关风险，做好应对预案。
1、 外汇登记，odi登记是什么，需要多长时间，代办贵吗 2、 有很多成功案例，37号文登记全套代办可以吗 3、我们16年就开始做了,税务问题托管，后续的维护成本，金额多少合适,证书办理背景 关于境内企业对外投资，必须满足哪些条件，给出回复如下:1、对外投资，其境内企业必须成立满一年; 2、个人37号文,返程投资备案的款项不能大于境内企业注册资本;3、境外设立的企业，必须与境内企业的行业有关联;4、对外设立机构成立后，从第2年起，每年的6月30日前，必须向外汇管理局提交年检报告;5、境内企业对外投资，必须前往企业所在地的商务部对外合作处，办理投资备案证书;接着又到市商务部及发改委咨询了办理个人37号文,返程投资备案备案证书的流程及细节终协助该公司拿下了商务部发改委的两个对外投资的批文6、在整个咨询过程中，没有一个部门可以统一详细的解答全部流程，每个部门只负责自己的那部分环节，无论从精力还是时间来说都给企业增加了不少的负担。对于整个环节而言，办理对外投资备案证书是前置的环节，特别是投资项目情况说明，是批准备案项目的关键。37号文登记,返程投资，外汇登记，odi登记证书7、公司介绍我司是一家的跨境商务咨询公司，主要从事跨境投资（ODI）设计及落地、红筹和VIE设计及落地、返程投资设计及落地、进出囗咨询等方面的团队。8、经过多年在这一领域的深耕，我们已为上百家企业的海外投资和并购、红筹和VIE设计的审批环节提供了咨询方案，为众多的企业架设起从境内到境外，从境外到境内的合法的资金通道。9、我们这部分客户中的15%是上市企业。让资金的进出境合法、合规，为企业的“走出去”保驾护航，是我们的理念。在咨询项目中，我们往往能提供独到观点及真知灼见，这也是我们为客户服务的过人之处。这些真知灼见的背后，是企业每年数亿美元的跨境投盗项目。业务范围： 1、公司构架规划，境司设立、跨境税收筹划、离岸豁免 2、ODI（企业个人37号文,返程投资备案）备案办理3、FDI（境外融资及返程投资个人odi备案直接投资）备案办理 4、37号文境外融资VIE架构搭建"风险2：跨境规则复杂，海外节点选址挑战大
数据跨境如今已是除、物流、资金流意外的“第四流”，也是存在数据安全泛化趋势的国家及地区在国家安全审查中的重点问题。比如德国、俄罗斯、印度、印尼等国通过立法明确数据本地化存储要求，同时对数据跨境流动设立极高门槛。哪些数据禁止出境，哪些数据在满足一定条件可出境的同时仍需本地化存储，存在较大差异，极大增加了海外业务节点部署的难度。
应对策略：
首先需考虑当地是否有数据本地化存储要求，是否足够覆盖范围区域合规，以实现降本及合规的双赢。因提供税收优惠、交通便利、气候适宜、靠近监管机构等利好因素，爱尔兰、德国、比利时、瑞典、新加坡等地备受出海企业青睐。
其次需考虑海外数据存储方式及供应商的选择，是采用租用服务器还是服务器
托管的方式，前者在操作上更方便快捷，后者在安全性上略胜一筹。很多国企在海外部署节点时会考虑购买云服务，建议按照当地数据监管要求制定供应商合规准入清单，保证引入的云服务商可信、安全、合规。
