全球数据合规法律观察报告-垦丁律师事务所

全球数据合规法律观察报告总结

核心内容概览

本报告由垦丁律师事务所王捷律师团队于2023年7月10日发布，旨在为出海企业提供全球数据合规方面的法律观察与建议。报告涵盖美洲、欧洲、亚洲太平洋、中东及非洲五大地区的数据隐私保护立法与执法情况，并对各地区的主要立法、监管机构及执法概况进行了详细分析。

---

主要观点与关键信息

一、全球立法执法概览

• 全球已有137个国家对数据和隐私进行立法，其中欧洲44个国家立法，仅1个国家未立法。
• 美洲35个国家中，26个已立法，9个正在制定中。
• 亚洲太平洋地区立法情况较为复杂，34个国家已立法，15个国家尚未立法。
• 中东地区数据立法尚不成熟，部分国家如沙特阿拉伯和阿联酋已出台初步立法。
• 非洲地区立法进展缓慢，仅南非和埃及有相关立法。

---

各地区立法与执法分析

（一）美洲

1. 美国

• 主要立法：
  • 《美国数据隐私和保护法案（ADPPA）》草案正在讨论中，若通过将优先于多数州法律。
  • 现行有效法律包括《健康保险可携带性和负责性法案》（HIPAA）、《儿童在线隐私保护法案》（COPPA）等。
• 监管机构：
  • 联邦层面：联邦贸易委员会（FTC）。
  • 州层面：各州检察长负责综合隐私法的执行。
• 执法概况：
  • FTC在2022-2023年处理了18起隐私相关案件，涉及Facebook、Meta、Amazon等公司。
  • 加州设有专门的隐私保护局（CPPA）。

2. 巴西

• 主要立法：
  • 《巴西通用数据保护法》（LGPD）于2020年8月生效，借鉴GDPR，但罚款金额较低。
  • 其他相关法律包括《联邦宪法》、《民法典》、《消费者保护法》等。
• 监管机构：
  • 巴西数据保护机构（ANPD）。
• 执法概况：
  • ANPD于2023年7月6日首次对违反LGPD的行为开出罚款。
  • 执法倾向于渐进和平衡，注重数据主体权利的实现。

---

（二）欧洲

1. 欧盟

• 主要立法：
  • 《通用数据保护条例》（GDPR）于2018年5月25日生效，是全球数据保护的标杆。
  • 《数字服务法》及《数字服务法实施条例》、《数字市场法》等新法也在推进中。
• 监管机构：
  • 欧洲数据保护委员会（EDPB）及各成员国数据保护机构。
• 执法概况：
  • EDPB发布多部指引和意见，确保GDPR一致适用。
  • 欧盟各国监管机构加强了对数据处理活动的监管，重点关注数据泄露、自动化决策等。

2. 英国

• 主要立法：
  • UK GDPR（与欧盟GDPR一致）。
  • 《数据保护和数字信息法案》（DPDI）草案于2022年提交议会，预计对数据保护法进行修订。
• 监管机构：
  • 英国信息专员办公室（ICO）。
• 执法概况：
  • ICO在2021-2022年处理了多起数据保护案件，包括Facebook、Netflix等。
  • 执法计划中将重点转向教育和规范，以促进合规。

---

（三）亚洲太平洋

1. 日本

• 主要立法：
  • 《个人信息保护法》（APPI）及其修正案，每三年审查一次。
• 监管机构：
  • 日本个人信息保护委员会（PPC）。
• 执法概况：
  • PPC在2022年处理了4217起个人信息泄露相关报告，实施了若干行政命令和建议。

2. 韩国

• 主要立法：
  • 《个人信息保护法》（PIPA）2023年2月通过修正案，加强数据主体权利。
• 监管机构：
  • 韩国个人信息保护委员会（PIPC）。
• 执法概况：
  • PIPC在2021年已对Facebook、Netflix等企业实施了高额罚款。

3. 新加坡

• 主要立法：
  • 《个人信息保护法》（PDPA）及2021年修正案。
• 监管机构：
  • 新加坡个人数据保护委员会（PDPC）。
• 执法概况：
  • PDPC在2023年已做出10项执行决定，重点在数据安全和隐私保护方面。

4. 印度尼西亚

• 主要立法：
  • 《个人数据保护法》（PDPL）于2022年生效，是印尼首部数据保护法。
• 监管机构：
  • 印尼通信与信息部（KOMINFO）。
• 执法概况：
  • PDPL生效后，尚未有明确的执法案例，但已有明确的行政和刑事制裁机制。

5. 越南

• 主要立法：
  • 《个人数据保护法》（PDPD）于2023年7月1日生效。
• 监管机构：
  • 越南公安部。
• 执法概况：
  • PDPD生效后，执法力度预计加强，重点关注数据泄露和跨境传输。

6. 泰国

• 主要立法：
  • 《个人数据保护法》（PDPA）于2022年6月1日实施。
• 监管机构：
  • 泰国个人数据保护委员会（PDPC）。
• 执法概况：
  • PDPC计划在第一年侧重教育，之后转向执法。

7. 马来西亚

• 主要立法：
  • 《个人数据保护法》（PDPA）2010年生效，配套多个附属法规。
• 监管机构：
  • 马来西亚通信和多媒体部下属的个人信息保护部门（PDPD）。
• 执法概况：
  • PDPD已开始调查数据泄露和非法出售数据的行为，未来将加强执法。

8. 印度

• 主要立法：
  • 《个人数据保护法案（草案）》于2023年7月5日获内阁通过，预计提交议会审议。
  • 《信息技术法》及《敏感个人数据或信息规则》（SPDI Rules）等。
• 监管机构：
  • 电子和通讯技术部（MeitY）及印度计算机应急小组（CERT）。
• 执法概况：
  • SPDI Rules中规定了罚款和监禁等处罚措施，但尚未设立统一监管机构。

---

（四）中东

1. 沙特阿拉伯

• 主要立法：
  • 《个人数据保护法》（PDPL）于2023年9月14日生效，设有过渡期。
• 监管机构：
  • 沙特数据和人工智能管理局（SDAIA）。
• 执法概况：
  • PDPL尚未生效，预计执法优先级将在生效后明确。

2. 阿联酋

• 主要立法：
  • 《个人数据保护法》（PDPL）于2021年9月20日发布，执行时间尚未明确。
  • DIFC和ADGM各自有独立的数据保护法规。
• 监管机构：
  • 阿联酋数据办公室及各区域的监管机构。
• 执法概况：
  • 执行条例尚未发布，执法重点尚未明确。

---

出海企业合规要点

（一）基础性合规建议

1. 自查企业数据合规现状。
2. 快速掌握本国及目标国家/地区数据立法。
3. 规范履行“告知-同意”义务。

（二）重点性合规建议

1. 需重点关注的个人信息类型包括儿童信息、医疗信息等。
2. 需重点关注的行业包括金融科技、数字娱乐、云计算等。
3. 需重点关注的环节包括数据收集、传输、存储、共享等。

（三）体系性合规建议

1. 构建整体合规框架。
2. 建立内部合规治理机制。

（四）发展性合规建议

1. 赴境外上市前关注数据合规。
2. 建立全球统一数据合规体系。

（五）补救性合规建议

1. 配合监管调查。
2. 采取系列补救措施，如数据删除、安全升级等。

---

垦丁W&W国际法律团队简介

垦丁律师事务所成立于2017年，专注于网络法服务，服务客户包括腾讯、华为、小红书、特斯拉等知名企业，涵盖平台治理、网络安全、数据合规、商业模式合规等领域。团队成员包括王捷、黄琼、邱世贸、常孝雯、梁佩盈等，感谢林颖、叶影的贡献。