车企出海数据合规实践分享.pdf

1、车企出海数据合规实践分享2024/9/19北京大成数字业务中心O1全球数据合规要点浅析全球数据合规要点浅析2世界各国世界各国隐私法规环境一览 瑞典于1973年推出全球首部个人信息保护法律瑞典数据法(Data Act of 1973)。欧盟于2018年5月25日出台通用数据保护条例(GDPR)，被称为史上最严格的个人数据保护法案，更是将对个人数据与隐私保护的关注推向新的高潮。全球目前已经有超过130个立法体建立或修订了个人信息保护法律、法规且呈加速趋势。3应对不同市场的法律法规欧洲市场欧盟、英国数据传输至非欧盟国家需采取适当的保护措施，如标准合同条款、企业内部规则、合适的国际数据保护协议等（第4

2、4-50条）对于跨境数据传输，英国GDPR与欧洲GDPR的要求保持一致，而英国DPA则更加侧重于英国境内的数据处理。通用数据保护条例（GDPR）英国数据保护法与英国GDPR东盟市场新马泰马来西亚个人数据保护法不得将个人数据传输到马来西亚以外的司法管辖区，除非该司法管辖区已由部长指定。例外情况包括：获得数据主体同意、履行合同或保护数据主体切身利益的情况下；数据使用者已采取一切合理措施（尽职尽责）以确保个人数据处理不会违反个人数据保护法。泰国个人数据保护法允许在同一集团内的不同组织之间传输个人数据，而无需获得数据主体的明确同意。需符合以下条件：跨境传输是为了联合业务运营或履行合同的目的；接收组织已

3、被指定为集团内部数据的数据控制者；数据传输受到监管机构的批准或符合其他规定；确保跨境传输的个人数据受到足够的数据保护标准，以保护数据主体的权益和隐私。个人数据不得跨泰国边界传输，除非监管机构认为接收国拥有足够的个人数据保护标准，且符合监管规定。满足下列情况之一可豁免：获得数据主体同意、履行合同或保护数据主体切身利益的情况下；在同一集团或关联企业内，为了联合业务运营的数据传输，并经过监管机构的批准。新加坡个人数据保护法中东市场以色列、阿联酋个人数据只能在以下范围内转移到国外（满足以下条件之一）：数据目的地国家/地区的法律规定的数据保护级别不低于以色列；数据主体已同意传输；数据被转移到由传输数据的

4、数据库所有者控制下的公司，前提是该公司在转移后保证保护隐私；数据向公众提供或由法律当局开放供公众查阅；必须与数据接收者签订数据传输协议，接收方需承诺采取适当措施确保数据主体的隐私，并保证数据不会进一步转移给任何第三方。阿联酋个人数据保护法数据跨境传输需数据主体同意。数据跨境传输前，数据控制者必须确保目标国家或地区具有足够的数据保护水平，这可能需要进行合规性评估。数据本地化要求：储值支付工具条例客户数据（包括客户身份和交易记录）卫生领域信息通信技术法健康信息以色列隐私保护条例（向国外数据库传输数据）北美市场美国、加拿大美国除了一些政府记录和信息的存储外，在美国一般没有地域转移限制。加拿大通用要求

5、：当组织将个人信息转移给第三方服务提供商时，转移组织有责任利用合同或其他手段保护个人信息并确保遵守适用法律，且必须在隐私政策和程序中提及在加拿大境内外使用第三方服务提供商的情况。艾伯塔个人信息保护法特别要求：在隐私政策和程序中纳入“境外国家”等信息在收集或转让个人信息时提供通知，并说明“通知方式”“负责人”等信息魁北克隐私法特别要求：组织必须采取合理措施，确保转让给魁北克以外服务提供商的个人信息不会被用于其他目的，也不会在未经同意的情况下传达给第三方4不同国家与政府沟通的必要不同国家与政府沟通的必要要求欧盟GDPR美国加州隐私法马来西亚个人数据保护法泰国个人数据保护法中国个人信息保护法阿联酋个

6、人数据保护法备案/认证成员国、监督当局、理事会和委员会应特别鼓励在欧洲范围内建立数据保护认证机制和数据保护印章和标志，以表明控制者和处理者遵守本法规的规定。暂无特定要求或建议马来西亚PDPA规定了在商业交易中特定类型的数据使用者必须履行注册义务。必须注册的公司仅限于属于以下数据用户群体的公司：通信、银行与金融机构、保险、健康、旅游与酒店业、交通、教育、直销、服务、房地产、公用事业、典当、借贷机构。暂无特定要求或建议向中华人民共和国境外提供个人信息应当具备下列条件之一：1.依照本法第四十条的规定通过国家网信部门组织的安全评估；2.按照国家网信部门的规定经专业机构进行个人信息保护认证；3.按照国家