《促进和规范数据跨境流动规定》于2024年3月22日出台并生效，在新规出台的背景下，针对数据出境，近期Cách chơi casino Roulette数字经济团队收到不少与之相关的咨询与提问，借此机会，我们将常见问题整理成文，以供企业在实施出境合规工作时参考。

当然，其中不乏部分问题在实践之中可能仍无一个统一或者明确的解决方案，我们在这里暂先给出一个倾向性的回复与建议。

本文的上部内容请参见新规视角下数据出境合规难点Q&A（上）。

不一定，需满足豁免的前提条件，即“依法制定的劳动规章制度和依法签订的集体合同，且确有必要”。下一个问题将展开介绍。

关于and/or的问题，我们理解，对于企业而言，同时满足两个条件难度较大，且无必要，按照实践的做法，我们理解满足其一即可。

关于何为“依法制定的劳动规章制度”，其包含两个要点，一是针对该劳动规章制度，企业应履行民主程序，二是企业需向劳动者履行公示义务；

关于何为“依法签订的集体合同”，其涉及五个要点，一是制定集体合同草案，即企业职工一方与用人单位通过平等协商，可以就劳动报酬、工作时间、休息休假、劳动安全卫生、保险福利等事项订立集体合同；二是登记备案（即集体合同或专项集体合同签订或变更后，应当自双方首席代表签字之日起10日内，由用人单位一方将文本一式三份报送劳动保障行政部门审查）；三是公布（即生效的集体合同或专项集体合同，应当自其生效之日起由协商代表及时以适当的形式向本方全体人员公布）。

《促进和规范数据跨境流动规定》 第五条 数据处理者向境外提供Cách chơi casino Roulette，符合下列条件之一的，免予申报数据出境安全评估、订立Cách chơi casino Roulette出境标准合同、通过Cách chơi casino Roulette保护认证：

实践之中，似乎暂未得到一个统一的定论。我们倾向于认为，考虑到跨境购物、跨境寄递、跨境汇款、跨境支付、跨境开户、机票酒店预订、签证办理、考试服务场景下，一般均为涉及到经销商、代理商，如果要求（Cách chơi casino Roulette处理者）与个人均为合同的当事人，则该条豁免情形运用的场景就比较狭窄。

按照我们对于该条的理解，个人作为一方当事人，另一方当事人可以为出境方的经销商、代理。但是该经销商、代理商需与出境方有明确的合作关系，在这种场景下即可适用该条的豁免情形。

第一，值得注意的是，《Cách chơi casino Roulette出境标准合同备案指南（第二版）》的Cách chơi casino Roulette保护影响评估报告（模板）删除了Cách chơi casino Roulette处理者的数据安全能力。

那么，关于Cách chơi casino Roulette处理者的数据安全能力评估是否需要纳入“遵守Cách chơi casino Roulette保护相关法律法规的情况”范围，我们理解是必要的，因为根据《Cách chơi casino Roulette保护法》第五十一条，Cách chơi casino Roulette处理者应采取相应的管理与技术措施保障Cách chơi casino Roulette安全性。

图为Cách chơi casino Roulette保护影响评估报告（模板）截图

从实践经验来看，这两者是先后进行的。考虑到PIA可较为便捷与快速的推动，企业可先进行PIA，识别出目前企业现存的合规风险，并总结相应的风险处置措施，且落地实施。之后再针对数据出境情况进行全面的数据出境风险自评估。

企业对于员工对外沟通行为的监管核心在于公司利益（如商业秘密等系列权益）与员工隐私权益之间的平衡。所以，如企业希望对于员工的对外沟通行为进行管控，需要采取的措施如下：

以跨境购物为例，例如用户A通过B购物平台，购买了一个全球购商品。在该种情形下，当且仅当用户A向境外提供收货地址时，才可以收到自己购买的商品，那么这一场景就符合“确需向境外提供Cách chơi casino Roulette”。

在此情形下，B购物平台不仅需要通过隐私协议告知用户存在这一数据跨境场景，还需要履行其他的合规义务，如取得Cách chơi casino Roulette主体的单独同意（如弹窗告知）等，其他仍需履行的合规义务如下：

（1）《Cách chơi casino Roulette保护法》第三十九条，针对数据跨境事项根据取得Cách chơi casino Roulette主体的单独同意；

（2）与数据接收方签署《Cách chơi casino Roulette出境标准合同》（以下或称“SCC”）；

（3）根据《Cách chơi casino Roulette保护法》第五十五条人信息保护影响评估（以下或称“PIA”），并在PIA之中论证企业所涉及的数据出境场景落入豁免情形；

（4）根据《Cách chơi casino Roulette保护法》第五十五对所涉及的Cách chơi casino Roulette出境情形进行记录。

在该种情形下，企业需要考虑的数据合规风险有二：

（1）是否满足中国大陆、中国香港、日本、新加坡现行Cách chơi casino Roulette保护相关法律下的数据处理合规要求（如处理否具有合法性基础，履行告知义务等）；

（2）中国大陆、中国香港、日本关于数据出境有哪些合规要求与合规措施，可结合企业业务场景、Cách chơi casino Roulette类型等综合判断确定最终的数据跨境流动合规方案。

《Cách chơi casino Roulette保护法》第五十五条规定，有下列情形之一的，Cách chơi casino Roulette处理者应当事前进行Cách chơi casino Roulette保护影响评估，并对处理情况进行记录：

（一）处理敏感Cách chơi casino Roulette；

（二）利用Cách chơi casino Roulette进行自动化决策；

（三）委托处理Cách chơi casino Roulette、向其他Cách chơi casino Roulette处理者提供Cách chơi casino Roulette、公开Cách chơi casino Roulette；

（四）向境外提供Cách chơi casino Roulette；

（五）其他对个人权益有重大影响的Cách chơi casino Roulette处理活动。

由此可见，PIA的主要适用情形是针对一些具体的Cách chơi casino Roulette处理场景，而并非对组织整体进行PIA。

对于组织整体进行数据合规评估有两个情形，一个是按照《Cách chơi casino Roulette保护法》第五十四条进行的合规审计，或者是说从企业数据合规部门（或者相关部门）自行或者联合外部机构（如律所、咨询机构等）发起的针对企业整体的数据合规项目。

此外，关于隐私问题，通常情形下，建议不同产品需要有不同的隐私政策，一般不建议用总的隐私政策。

这一问题可拆分为两个问题。