让东盟企业的跨境数据流动更便捷

对于在亚细安运营的公司而言，增长往往等同于跨越国界——这不仅是为了触达客户，也是为了管理运营。

一家总部设在新加坡的企业，可能在新加坡管理其人力资源，同时在马尼拉雇佣员工，将交易记录和客户数据存储在雅加达的服务器上，并通过吉隆坡的共享服务中心处理付款。这种区域性模式看似高效稳健，但一旦遭遇各国日益零散拼凑的数据保护法，便会面临挑战。

每个亚细安主要经济体都对公司如何收集、存储和共享个人数据进行了规定。对企业而言，这意味着一种新型的贸易壁垒：通常情况下，个人数据不能再自由跨境流动，除非接收方能保证提供同等或充分标准的保护。

例如，一家新加坡公司若要与马来西亚子公司共享客户或员工数据，必须确保其马来西亚办事处在法律上有义务为传输来的个人数据提供至少与新加坡《个人数据保护法》相当的保护标准。

由于亚细安各国的个人数据保护法规不尽相同，企业在应对这些合规要求时，面临着更高的成本和更大的法律风险。在该地区，已经存在一些机制来简化这一过程。

亚细安示范合同条款（Asean Model Contractual Clauses, 简称 MCCs）已获得新加坡、马来西亚、菲律宾和泰国监管机构的认可。它为亚细安地区内无关联公司之间的跨境个人数据共享提供了标准化条款。尽管 MCCs 对于外部商业关系（例如企业与其服务提供商之间）非常实用，但它并非专为同一企业集团内部的数据流动而设计。

欧洲模式

在欧洲，公司可以采用约束性企业规则（Binding Corporate Rules, 简称 BCRs）作为跨境数据流动的法律依据。一套 BCRs 是一个具有法律强制力的框架，用以规范一个企业集团的成员如何处理内部的跨境个人数据传输。它以一套共同的责任约束所有集团成员，包括确保数据安全的措施。

除了 BCRs，一个企业集团还可以制定一份集团数据保护政策，其中包含该集团应遵守的操作标准和保障措施。虽然这类政策规定了集团的数据保护实践内容，但 BCRs 确保了这些实践具有法律约束力。

BCRs 框架在欧洲的《通用数据保护条例》下已经相当成熟。相比之下，亚细安目前没有一个共同的跨境数据保护框架，这类机制的建立有待各成员国自行决定。

不同成员国认可的跨境个人数据传输法律依据各不相同，不过新加坡、马来西亚和泰国等国已承认 BCRs 是跨境传输的有效依据，尽管各国对 BCRs 应包含的内容有不同的要求。

亚细安的解决方案

中小企业（small and medium-sized enterprises, 简称 SMEs）是亚细安经济的支柱，但要跟上整个地区不断变化的数据保护法规可能是一项挑战。一些中小企业没有内部法务团队，也没有预算在每次区域办事处之间转移个人数据时都聘请律师事务所起草新协议。

由亚洲商业法律研究所（Asian Business Law Institute）制定并公开发布的《集团内部个人数据跨境传输协议》填补了一项重要空白。该协议旨在帮助企业集团更顺畅地管理跨境个人数据共享，其中包含一套模板条款，供这些公司用以制定自己的 BCRs。

该工具专为那些拥有共享人力资源、财务或 IT 系统的企业集团而设计，这些系统可能是基于云端的。在这种安排下，集团内的各成员公司需要将个人数据传输给处理这些共享服务的实体。

这类个人数据的例子包括：用于记录保存或市场研究的客户记录和购买历史；用于售后或客服支持的客户联系方式；以及用于薪资管理的员工联系方式和付款信息。

这份《集团内部协议》可以帮助中小企业履行其数据保护义务，让他们更有信心进行跨境扩张，因为他们知道自己的数据实践能够跟上业务增长的步伐。

随着数字贸易的深化，安全地跨境转移个人数据的能力将影响亚细安经济体之间连接的紧密程度。像 MCCs 和《集团内部协议》这样的框架为企业提供了实用的支架，帮助它们在履行复杂的法律义务的同时，加强自身的数据保护实践。

本文作者来自 Asian Business Law Institute，这是一家总部位于新加坡、旨在促进亚洲商法融合的智库。Mark Fisher 担任执行董事，Michelle Chua 担任高级助理董事。