境外動態
一、美國司法部發布數據跨境傳輸最終規定
【預警資訊】
當地時間2024年12月27日,美國司法部發布《關于防止受關注國家或相關人員獲取美國敏感個人數據和政府相關數據的規定》(以下簡稱《規定》)(Provisions Pertaining to Preventing Access to U.S. Sensitive Personal Data and Government-Related Data by Countries of Concern or Covered Persons),禁止和限制與特定國家、人員進行數據交易,以防止有關國家獲取和利用美國公民的大量敏感數據和政府相關數據。(資訊來源:美國司法部)
【要點提示】
建議相關企業關注以下要點:一是《規定》所規制的數據范圍包括美國人的批量敏感數據,即《規定》明確涵蓋的個人標識符、精準地理數據、生物識別符、人類基因組數據、個人金融數據、個人健康數據,以及美國政府相關數據,即有關美國政府機構位置及美國政府職員的相關數據,受《規定》限制的數據交易方式包括涉及披露前述數據的數據經紀交易、供應商協議、聘用協議、投資協議;二是《規定》明確了通過獲取許可證以授權開展被禁止或限制的交易的規則,許可證包括一般許可證(general license)與特定許可證(specific license);在取得許可證、履行CISA規定的安全保護要求的情況下,美國主體也可繼續從事相關交易;三是《規定》對進行限制交易的美國人員提出了盡職調查要求,包括了解數據交易類型、交易方身份和數據最終用途等,還要求其保存的交易記錄至少10年,包括交易相關的政策、安全措施情況、審計結果、盡調文檔等,以便監管機構檢查。
二、土耳其發布《個人數據跨境傳輸指南》
【預警資訊】
當地時間2025年1月2日,土耳其個人數據保護局(Ki?isel Verileri Koruma Kurumu,KVKK)發布《個人數據跨境傳輸指南》(Ki?isel Verilerin Yurt D???na Aktar?lmas? Rehberi,以下簡稱《指南》),旨在規范土耳其數據責任人(veri sorumlular?)和數據處理者(veri i?leyenler)的數據跨境傳輸活動,確保個人數據在跨境傳輸過程中的合法性與安全性。(資訊來源:土耳其個人數據保護局)
【要點提示】
建議相關企業關注以下要點:一是《指南》明確個人數據跨境傳輸定義及條件,規定數據處理受土耳其法律約束,適用法律前提為個人數據被傳輸或可被境外方獲取,且數據接收方處于境外;二是《指南》構建了數據跨境傳輸三步流程,首先判斷是否有充分性決定,即目的國、行業或國際組織是否已獲得KVKK做出的關于數據保護充分性的認定,若不存在則尋求國際合同等適當保障措施,前兩者均不滿足時則依例外情形進行數據臨時傳輸;三是《指南》詳細規定了多種保障措施,如非國際合同、約束性公司規則、標準合同、承諾書等,并對每種保障措施的具體要求和適用條件進行詳細說明,以確保數據傳輸規范性、保護數據安全與數據主體的權益。
三、荷蘭數據保護局因某企業違規使用COOKIE對其處以罰款
【預警資訊】
2024年12月24日,荷蘭數據保護局因某企業在2020年的非法個人數據處理行為而對其處以4萬歐元的罰款。該公司在沒有獲取在線商店訪客明確同意時,默認用戶同意接受cookie并收集其個人數據。荷蘭數據保護機構指出,此舉違反了《通用數據保護條例》(GDPR),主動詢問用戶并經其明示同意后收集此類數據才是合規的做法。(資訊來源:荷蘭數據保護局)
【要點提示】
建議相關企業關注以下要點:一是在Cookie政策中明確說明使用目的,包括用于定向廣告、數據分析等,區分絕對必要的Cookie和可供選擇的第三方Cookie,向顧客提供詳細的Cookie列表信息;二是設置Cookie前獲得用戶的明確同意,可以通過彈窗等簡潔明了的呈現方式告知用戶Cookie的使用目的、處理方法等信息,并給予客戶選擇接受與拒絕的權利;三是注意保存證明Cookie設置合規性的必要文件信息以應對數據保護機構的調查,在受到指控時積極配合機構、主動提供資料文件。
【聲明】
1.本期信息內容由深圳市司法局編輯發布,由深圳市鵬城法律合規研究院提供技術支持,轉載請注明以上信息;
2.本期信息僅做分享與交流之用,不構成任何法律意見或建議;
3.任何主體均不應當以本期信息及所載內容作為分析和判斷的基礎;
4.企業在做出任何可能影響經營管理的決定前,建議咨詢合規專業人士。