司凯合规 | 合规与诉讼：证据出境的数据监管

近年来，中国大陆对数据信息出境的监管日趋严格，主要体现在以下几个方面：

1. 安全评估机制：根据《数据出境安全评估办法》和《促进和规范数据跨境流动规定》，关键信息基础设施运营者、重要数据处理者、大量个人信息（当年1月1日起累计向境外提供100万人以上个人信息）处理者或者大量敏感个人信息（当年1月1日起累计向境外提供1万人以上敏感个人信息）处理者向境外提供数据或个人信息，需向网信办申请安全评估。

2. 标准合同与保护认证机制：对于非关键信息基础设施运营者和非重要数据处理者，即关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供10万人以上、不满100万人个人信息（不含敏感个人信息）或者不满1万人敏感个人信息的，企业可通过签署标准合同或通过保护认证方式进行个人信息出境。

3. 个人信息的相对自由流动：关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）的，无需申请安全评估或者通过标准合同或保护认证机制。同时，存在以下情况下确需向境外提供个人信息的，无需实施上述机制，具体包括：

   （1）为订立、履行个人作为一方当事人的合同；

   （2）按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理；

   （3）紧急情况下为保护自然人的生命健康和财产安全。

4. 自贸试验区的数据跨境流动监管优化：自由贸易试验区有权制定数据负面清单以便利数据跨境流动，促进日常业务发展。自由贸易试验区内的数据处理者向境外提供负面清单外的数据，可以免予申请安全评估、订立个人信息出境标准合同、或通过个人信息保护认证。但是，数据处理者仍然应当按照法律、行政法规的规定履行告知、取得个人单独同意、进行个人信息保护影响自评估等义务。同时，涉及金融、医疗、地理位置等敏感领域的数据出境，可能需要进行更严格的合规审查。

数据信息的定义非常宽泛，导致现实中大部分向境外提供的用于诉讼或仲裁的证据中都包含数据信息内容，而这些数据信息又会受到数据信息出境监管的约束，这在很多跨境诉讼或仲裁中可能成为影响案件顺利进行甚至改变其结果的重要因素。

除以上数据信息出境的监管约束可能影响向境外提供证据外，在跨境诉讼或仲裁中，向境外法院或仲裁机构提供证据还涉及多重法律考量：

1. 诉讼法律的一般要求：根据《民事诉讼法》第283条、第284条以及司法部发布的“国际民商事司法协助常见问题解答”，跨境取证必须通过正式渠道：

   （1）外国法院或个人不得直接在中国境内取证，包括通过电话、视频等方式询问证人。

   （2）取证请求需通过：与中国签订双边司法协助条约，可直接向中国司法部提出；未签订条约的国家，需通过外交部渠道提出。

2. 数据信息保护法律的特殊要求：在跨境诉讼或仲裁中，更为常见的是国内当事人主动向境外法院或仲裁机构提供证据。关于中国企业或个人主动向境外提供证据，《民事诉讼法》未明确禁止，但《数据安全法》和《个人信息保护法》就此设定了重要限制。

   《数据安全法》第36条规定，未经主管机关批准，任何组织或个人不得向外国司法或执法机构提供存储于中国境内的数据。《个人信息保护法》第41条规定，向外国司法或执法机构提供个人信息，需经主管机关批准。

   实际上，数据和个人信息的外延非常广，特别是数据的定义，即指任何以电子或者其他方式对信息的记录，理论上可以涵盖一切证据。这无疑给中国企业或个人主动向境外提供证据施加了实质限制。

   然而，从“国际民商事司法协助常见问题解答”中，我们似乎看到可供进一步讨论和澄清的空间。司法部就“数据信息出境应通过哪些部门审批”答复称：“根据《数据安全法》《个人信息保护法》，数据信息确需向境外提供的，应当通过国家网信部门组织的安全评估、认证后方可向境外提交。”

   该答复表明，作为证据的数据信息出境需要安全评估、认证后方可向境外提交。这似乎意味着，提交的证据中包含的数据信息没有达到安全评估、认证标准的情况下，中国企业或个人可在未经审批的情形下直接向境外提供；对于已达到安全评估、认证标准的数据信息也只需要依据数据信息出境的监管机制办理即可。这一点在近期实践中已有体现，但其确定性仍有待未来实践的进一步检验。

3. 仲裁机构提供证据的可能豁免：另外值得注意的是，以上数据信息出境限制的提交对象是外国司法或执法机构。而仲裁机构一般被视为民间机构，并不属于司法或执法机构，因此在向外国仲裁机构提交数据信息（证据）的时候，理论上并不需要依据数据信息保护法律的要求事先获得主管机关批准。

1. 对于拒绝出示证据的当事人，仲裁庭会在该证据有关的案情上作出对该方不利的推定：例如《IBA证据规则》第9条第6款规定：“如果一方当事人对某出示请求未及时提出异议，在未能作出合理解释的情况下，也未能出示该出示请求中所要求出示的任何文件材料，或者未出示仲裁庭要求出示的任何文件资料，则仲裁庭可以推断此文件资料与该方当事人的利益相悖。”
2. 证据缺失也可能影响法庭正常审理案件：例如，根据《美国联邦民事诉讼规则》，法庭可能：全部或部分删除其诉状；暂停进一步诉讼程序，直到命令被遵守为止；全部或部分驳回该诉讼或程序等。甚至，相关当事人可能被视为藐视法庭。

面对这样的两难局面，中国企业或个人可考虑限制或豁免提供证据，或者以变通形式提供证据：

1. 主张境外法律中的豁免：如美国民商事诉讼中，主张律师-当事人保密特权或工作成果豁免原则，以申请豁免提供证据。

2. 主张法律冲突：中国企业或个人可以主张提供证据会违反中国数据信息保护法律而请求豁免；或者主张应当通过《海牙取证公约》获得境外证据而避免违反数据信息保护法律关于向境外提供的限制。

   美国最高法院在Société Nationale Industrielle Aérospatiale v. U.S. District Court 一案中提出所谓的国际礼让分析（comity analysis），即美国法庭将会考虑所请求信息的重要性、美国与外国之间的利益权衡、因外国法律导致的履行困难等一系列因素以后，决定是否要求外国当事人提供相关证据或者是否应该通过替代方式包括《海牙取证公约》的取证途径获取证据。

   在Cadence Design Sys., Inc. v. Syntronic AB一案中，中国当事人主张，根据《个人信息保护法》，其不得在未经所涉员工同意的情况下向境外提供包含员工个人信息的证据，但是美国法庭驳回了此项主张。美国法庭认为，《个人信息保护法》中规定的“履行法定职责或者法定义务所必需”这一同意例外，应解释为同样涵盖当事人在美国法下所承担的法定义务。因而，法庭认定本案中获取员工同意并非必要，并据此驳回了中国当事人的主张。

   但这并不意味着中国数据信息法律不能作为主张法律冲突的基础。其他相似案例已表明，当事人若希望成功获得法庭支持，重要的是必须提供充分证据，向法院证明存在冲突的外国法律对证据开示构成了严重障碍。

3. 请求以变通形式提供证据：

   （1）遮盖监管数据信息：通过技术手段屏蔽向境外提供的证据中包含的个人信息。

   （2）摘要或删减版本：向境外提供不含监管数据信息的证据摘要。

   （3）第三方中介处理：通过境内外律师或仲裁秘书等进行证据筛选与处理，只向境外提供不包含监管数据信息的证据。

为成功应对跨境证据挑战，中国企业与个人需具备多维度法律理解与证据梳理能力，具体包括以下几个方面：

1. 理解中国数据保护法律和实践：需明确数据出境的合规边界与风险点，定期更新数据信息出境实践的认知。相应地，企业应当在日常运营中做好数据信息整理和分类以及实施数据合规，以便在出现纠纷并需要提供证据的情况下，企业能够有效和准确的识别数据信息，获得必要的监管批准和有效率地实施合规动作，为顺利向境外提供证据奠定基础。

2. 了解诉讼或仲裁地法律：需掌握外国法院或仲裁机构的证据规则与程序要求，特别是限制或豁免证据提供的法律规定和适用要求，及其是否在程序或者实质上可能会对诉讼或仲裁造成不利影响。

3. 界定与分类证据：在发生境外诉讼或仲裁时，对证据进行法律属性分析，区分敏感与非敏感、受限与非受限内容，制定出境策略。

在数据出境与向境外提供证据的交叉点上，中国企业或个人与法律人需以专业、审慎与创造力，构建合规与诉讼或仲裁之间的桥梁。唯有如此，才能在全球法律舞台上稳健前行。

***