apac-transfers

管理亚太跨境传输

概述

亚太地区涵盖多种数据保护制度，跨境传输机制各不相同。与 GDPR 的统一框架不同，亚太地区的传输需要应对多个相互交叠的体系：APEC 跨境隐私规则（CBPR）、东盟示范合同条款（MCC），以及日本《个人信息保护法》（APPI）、韩国《个人信息保护法》（PIPA）、泰国《个人数据保护法》（PDPA）和新加坡《个人数据保护法》（PDPA）下的各国特定机制。本技能按司法管辖区提供指南，帮助管理亚太地区的跨境数据流动。

APEC 跨境隐私规则（CBPR）体系

框架

APEC CBPR 体系是一种自愿、基于问责的机制，使参与组织能够证明其遵守国际认可的隐私保护要求，以管理 APEC 区域内的跨境数据流动。

参与经济体（截至 2026 年 3 月）：澳大利亚、加拿大、日本、韩国、墨西哥、菲律宾、新加坡、中华台北、美国。

主要特点：

• 组织自行认证其遵守 APEC 隐私框架原则
• 认证由 APEC 认可的问责代理机构执行（例如，美国的 TRUSTe/TrustArc、日本的 JIPDEC）
• CBPR 认证仅涵盖特定认证组织的数据流动，不涵盖整个经济体
• 全球 CBPR 论坛（成立于 2022 年 4 月）旨在将该体系扩展至 APEC 成员之外

CBPR 原则

原则	说明
防止损害	认识到个人在保护其信息方面的利益
告知	提供清晰且易于查阅的数据处理实践声明
收集限制	将个人信息的收集限制在相关范围内
个人信息的使用	仅将个人信息用于符合个人预期的目的，或法律授权的目的
选择权	赋予个人对信息收集、使用和披露的选择权
个人信息完整性	保持个人信息的准确性、完整性和时效性
安全保障措施	通过适当的安全保障措施保护个人信息
访问与更正	允许个人访问其信息，并更正不准确的数据
问责	对遵守落实这些原则的措施承担责任

CBPR 与欧盟的互操作性

• 根据 GDPR 第五章，CBPR 认证不被认可为充分保障措施。
• 即使亚太地区的接收方已获得 CBPR 认证，从欧盟向亚太地区传输数据仍需使用欧盟 SCC。
• 不过，在 TIA 评估中，CBPR 认证可作为接收方数据保护成熟度的证明。

东盟示范合同条款（MCC）

框架

东盟示范合同条款于 2021 年由东盟电信和 IT 部长采纳，旨在促进东盟经济共同体内部的跨境数据流动，同时维持数据保护标准。

东盟成员国：文莱、柬埔寨、印度尼西亚、老挝、马来西亚、缅甸、菲律宾、新加坡、泰国、越南。

主要特点：

• 提供控制者对控制者、控制者对处理者传输的示范条款
• 属于非约束性指南——成员国可采纳或调整 MCC
• 旨在与其他国际传输机制兼容（欧盟 SCC、APEC CBPR）
• 各成员国的实施情况各不相同；新加坡和菲律宾是较早采纳的国家

MCC 结构

章节	内容
第 1 条	与《东盟个人数据保护框架》一致的定义
第 2 条	数据出口方的义务
第 3 条	数据进口方的义务
第 4 条	数据主体的权利
第 5 条	责任与赔偿
第 6 条	管辖法律与争议解决
第 7 条	终止及数据返还／删除
附表 1	传输说明（各方、数据、目的）
附表 2	技术和组织措施

日本 — APPI 跨境传输条款

《个人信息保护法》（APPI）— 2022 年修订

第 28 条（跨境传输）：

• 向外国的第三方传输个人数据，须满足以下条件之一：
  1. 同意：在向个人提供有关外国数据保护制度、接收方隐私保护措施及其他相关信息（根据 PPC 规则第 17 条）后，取得个人同意
  2. 充分保护国家：外国已获 PPC 认可，确认其提供同等的数据保护标准（目前包括欧盟／欧洲经济区国家和英国）
  3. 等效措施：接收方已建立符合 APPI 标准的个人信息处理等效措施体系，包括内部规则和独立监督机制

PPC 关于欧盟充分性认定的补充规则：

• 根据欧盟与日本的充分性互认机制，相互适用
• 接收欧盟来源数据的日本经营者必须将所有此类数据视为“需要特别注意的个人信息”
• 适用额外的保存期限限制和后续传输限制

Athena Global Logistics 的实施（日本运营）：

• 从日本向德国传输：依据 PPC 对欧盟的充分性认定
• 从日本向香港传输：根据第 28 条，在提供外国相关信息后取得个人同意
• 从欧盟向日本传输：依据欧盟充分性决定（决定 2019/419）及补充规则

韩国 — PIPA 跨境条款

《个人信息保护法》（PIPA）— 2023 年修订

第 28-2 条（跨境传输）：

• 在以下情况下允许传输：
  1. 同意：在告知数据主体接收方、目的、数据类别、保存期限及拒绝权后，取得其同意
  2. 充分性认可：传输至经个人信息保护委员会（PIPC）认可、具有同等保护水平的国家
  3. 合同保障：接收方已提供符合 PIPA 标准的等效合同保障
  4. PIPC 批准的认证：接收方持有经 PIPC 认可的认证

欧盟与韩国的互操作性：

• 欧盟已对韩国作出充分性决定（决定 2022/254）
• 韩国已认可欧盟提供等效保护
• 这建立了类似欧盟与日本安排的双边互认框架

Athena Global Logistics 的实施（韩国运营）：

• 从韩国向德国传输：依据 PIPC 对欧盟的充分性认可
• 从欧盟向韩国传输：依据欧盟对韩国作出的充分性决定
• 从韩国向不具备充分保护水平的国家传输：根据第 28-2 条，在充分披露信息后取得同意

泰国 — PDPA 跨境条款

泰国《个人数据保护法》佛历 2562 年（2019 年）——自 2022 年 6 月 1 日起生效

第 28 条（跨境传输）：

• 在以下情况下，允许向外国传输：
  1. 目的地国家具备个人数据保护委员会（PDPC）规定的充分数据保护标准
  2. 遵守经 PDPC 办公室批准的约束性公司规则
  3. 传输受同一商业集团的数据保护政策约束，并经 PDPC 办公室检查和认证
  4. 传输方与接收方之间设有合同保障措施
  5. 为履行合同、维护重大利益、实现重要公共利益、提出法律主张所必需，或已获得数据主体的明确同意（豁免条件类似于 GDPR 第 49 条）

PDPC 关于充分性的公告（待发布）：

• 截至 2026 年 3 月，PDPC 尚未公布充分保护国家名单。
• 在此期间，组织依靠合同保障措施或同意进行跨境传输。

Athena Global Logistics 的实施情况（泰国运营）：

• 从泰国传输至德国：采用合同保障措施（包含符合 PDPA 要求条款的数据处理协议）
• 从欧盟传输至泰国：采用 EU SCCs 模块 2（欧盟尚未作出泰国充分性决定）
• 境内处理：Pinnacle Data Services Co Ltd（曼谷）依据泰国 PDPA 运营，并接受 TransPacific Freight Solutions 提供的合同保障措施

新加坡——PDPA 跨境条款

《2012 年个人数据保护法》（PDPA）——2021 年修订

第 26 条（传输限制义务）：

• 组织不得将个人数据传输至新加坡境外，除非其采取适当措施，确保接收方受具有法律强制执行力的义务约束，提供至少与 PDPA 相当的保护标准。

合规机制：

1. 合同安排：与接收方签订合同，要求其达到与 PDPA 同等的标准
2. 约束性公司规则：通过集团内部政策提供同等保护
3. PDPC 批准的框架：遵守 APEC CBPR 或其他经 PDPC 认可的认证机制
4. 同意：在获知保护标准不具可比性后，个人同意进行传输
5. 规定的例外情况：为履行合同、实现公共利益或重大利益，或进行法律诉讼所必需

PDPC 执法：

• PDPC 积极执行传输限制义务。
• 每项违规最高罚款 100 万新加坡元（根据 2021 年修订，对年营业额超过 1,000 万新加坡元的组织，罚款上限提高至年营业额的 10%）。

Athena Global Logistics 的实施情况（新加坡运营）：

• CloudVault Asia Pte Ltd（位于新加坡的子处理方）：符合 PDPA 要求；向欧盟传输受 PDPA 合同安排约束
• 从新加坡传输至德国：数据处理协议中设有合同保障措施
• 从欧盟传输至新加坡：采用 EU SCCs 模块 3（P2P，因为 CloudVault 是 TransPacific 的子处理方）

跨司法管辖区传输矩阵

来源 → 目的地	日本	韩国	泰国	新加坡	香港	欧盟/EEA	美国
日本	不适用	同意/等效措施	同意/等效措施	同意/等效措施	同意/等效措施	PPC 充分性国家	同意/等效措施
韩国	PIPC 充分性	不适用	同意/合同	同意/合同	同意/合同	PIPC 充分性	同意/合同
泰国	合同/同意	合同/同意	不适用	合同/同意	合同/同意	合同/同意	合同/同意
新加坡	PDPA 合同	PDPA 合同	PDPA 合同	不适用	PDPA 合同	PDPA 合同	PDPA 合同
欧盟/EEA	欧盟充分性	欧盟充分性	SCCs + TIA	SCCs + TIA	SCCs + TIA	不适用	DPF / SCCs + TIA

实施中的实际考量

1. 多机制合规：从欧盟经日本到新加坡的一条数据流，可能需要依赖欧盟充分性认定（EU→JP）、日本《个人信息保护法》第 28 条认定的充分性国家（JP→SG 等效措施），以及新加坡 PDPA 的合同保障措施——一条数据流涉及三种机制。
2. 合同协调：使用一份数据处理协议，并附上针对不同司法管辖区的补充条款，以同时满足 GDPR、APPI、PIPA、PDPA（泰国）和 PDPA（新加坡）的要求。
3. 同意疲劳：若多个司法管辖区要求跨境传输须取得同意，应协调同意收集流程，避免针对同一传输链反复请求同意。
4. 监控负担：亚太地区各司法管辖区的传输规则独立演变；应建立监控计划，覆盖所有适用法律。