bcr-establishment

建立约束性公司规则

概述

约束性公司规则（BCR）是跨国企业集团内部采用的数据保护政策，允许根据《GDPR》第 47 条，将个人数据从欧盟／欧洲经济区（EU/EEA）实体传输至第三国的集团成员。BCR 为企业集团内部传输的个人数据提供具有法律约束力的框架，确保其获得基本等同的保护，无论目的地国家为何。审批流程涉及牵头监管机构、相关监管机构之间的合作程序，通常从首次提交到最终批准历时 12 至 18 个月。

第 47 条第 2 款内容要求

（a）集团的结构和联系信息

BCR 必须说明企业集团的结构，包括受 BCR 约束的各成员的身份和联系信息。

Athena Global Logistics 的实施方案：

• 集团母公司实体：Athena Global Logistics GmbH，Friedrichstrasse 112, 10117 Berlin, Germany
• 集团数据保护官（DPO）：Elisa Brandt，[email protected]，+49 30 1234 5678
• 受约束实体：BCR 附件 A 中列出的所有全资子公司和由集团控股的关联企业（目前覆盖 31 个司法管辖区的 47 个实体）
• 结构图：每年更新，并作为附件 A 纳入 BCR，反映从母公司到各子公司的法律实体层级关系

（b）涵盖的数据传输

BCR 必须说明数据传输或一组数据传输，包括个人数据类别、处理类型及其目的、受影响的数据主体类型，以及第三国或多个国家的身份。

实施要求：

• 范围文件，列明所有集团内部传输类别：人力资源数据（员工记录、薪资、福利）、客户数据（货运记录、账单、通信）、供应商数据（联系信息、合同记录）和运营数据（车辆追踪、仓库出入记录）
• 目的登记册，将每个传输类别与一个或多个明确目的关联：员工事务管理、货运运营、财务报告、法规遵从、IT 支持
• 数据主体分类：员工、承包商、临时工、客户（个人联系人和企业联系人）、供应商、业务合作伙伴、网站访客
• 目的地国家登记册：受约束的集团实体运营所在的所有非欧洲经济区司法管辖区

（c）具有法律约束力的性质

BCR 必须确立规则在内部和外部均具有法律约束力。

实施要素：

• 由所有受约束实体签署的集团内部协议，为集团成员之间创建可依法执行的合同义务
• 母公司董事会通过决议，将 BCR 作为具有约束力的公司政策予以采纳；各子公司董事会随后通过相应的采纳决议
• 纳入员工手册：在所有雇佣合同和数据处理程序中纳入 BCR 摘要及合规义务
• 外部可执行性：明确的第三方受益人条款，授予数据主体直接针对任何受约束实体执行 BCR 条款的权利

(d) 通用数据保护原则的适用

BCR 必须证明其适用了《通用数据保护条例》第 5 条规定的所有通用数据保护原则，包括目的限制、数据最小化、有限存储期限、数据质量、通过设计和默认实现数据保护、法律依据、特殊类别数据处理，以及确保数据安全的措施。

必需内容：

• 目的限制：根据 BCR 范围文件传输的数据只能用于其中指定的目的；任何新目的均须依据第 6(4) 条进行兼容性评估，并遵循 BCR 修订程序
• 数据最小化：传输的数据仅限于实现指定目的所需的充分、相关且必要的数据；集团范围的数据分类政策要求在传输前审查数据元素
• 存储限制：按数据类别和司法管辖区规定保留期限；期限届满时自动删除或匿名化
• 准确性：制定数据主体请求更正的流程；在数据传输节点进行数据质量检查
• 安全性：根据 BCR 附件 C，为所有受约束实体规定最低安全标准（与 ISO 27001:2022 一致）

(e) 第三方受益人权利

数据主体必须能够以第三方受益人的身份执行 BCR，并有权：

• 就违反 BCR 造成的物质和非物质损害获得赔偿
• 向主管监管机构提出投诉
• 针对任何受约束实体行使所有数据主体权利（访问、更正、删除、限制处理、可携带性、反对）

(f) 接受责任

BCR 必须包含在欧盟设立的实体（BCR 牵头实体）对非欧盟受约束实体所犯任何违规行为承担责任的承诺，并由 BCR 牵头实体承担举证责任，证明该非欧盟实体不负责任。

Athena Global Logistics 的实施方案：

• BCR 牵头实体：Athena Global Logistics GmbH（柏林）
• 责任条款：BCR 牵头实体对任何非欧盟受约束实体的违规行为承担责任，并同意采取必要措施补救违规行为并支付赔偿
• 保险：涵盖 BCR 相关索赔的职业责任保险，每项索赔的最低承保金额为 10,000,000 欧元

(g) 向数据主体提供的信息

BCR 必须规定向数据主体提供有关 BCR 及其权利的信息，包括：

• 在公司网站上发布 BCR 及其通俗易懂的摘要
• 有关投诉程序以及向 SA 提出投诉的权利的信息
• 有关寻求司法救济权利的信息
• BCR 牵头实体和 DPO 的身份及联系方式

(h) DPO 的职责

BCR 必须说明数据保护官（或承担同等职责的负责人／实体）的职责，包括：

• 监督所有受约束实体遵守 BCR 的情况
• 开展或监督 BCR 审计
• 处理与 BCR 传输相关的数据主体投诉
• 担任与监管机构的联系点
• 向董事会报告 BCR 合规情况

(i) 投诉程序

BCR 必须建立投诉机制，使数据主体能够：

• 向任何受约束实体或 BCR 牵头实体提交投诉
• 在 30 个日历日内收到答复
• 将未解决的投诉升级至 DPO，然后提交给主管 SA
• 将调解或仲裁作为替代性争议解决机制

(j) 合规核查机制

BCR 必须说明确保合规的机制：

• 内部 BCR 审计计划：由内部审计职能部门开展，每三年至少进行一次完整周期的审计，覆盖所有受约束实体
• 各受约束实体每年开展合规自评，并向 DPO 报告
• 监控工具：数据传输日志、访问权限审查、政策遵循度指标
• 向 BCR 牵头实体的管理层报告结果，并在主管 SA 要求时向其报告

(k) 变更报告机制

BCR 必须建立变更报告和记录机制：

• 修订程序：任何 BCR 变更均须经 BCR 负责人批准，通知牵头 SA，并告知所有受约束实体
• 每年更新实体清单（附件 A）和安全标准（附件 C）
• 重大变更（新增国家、新增数据类别、结构性变更）必须在实施前通知 SA

(l) 与监管机构合作

BCR 必须建立与 SA 的合作机制：

• BCR 负责人将接受主管 SA 的管辖
• BCR 负责人将在 SA 要求时向其提供审计结果
• BCR 负责人将遵从 SA 关于 BCR 解释和适用的意见
• 每年向牵头 SA 提交 BCR 合规报告

(m) 当地法律报告

BCR 必须要求任何受约束实体向 BCR 负责人报告其司法管辖区内可能对 BCR 所提供保障产生重大不利影响的任何法律要求。

实施：

• 由外部律师事务所在每个司法管辖区开展年度当地法律调查
• 对与 BCR 承诺相冲突的新立法或政府访问要求，制定立即升级处理程序
• 评估规程：评估当地法律要求是否实质性削弱 BCR 的保护；如是，则通知 SA 并暂停受影响的数据传输

(n) 培训

BCR 必须说明针对可访问已传输数据的人员所开展的适当数据保护培训：

• 对所有可访问数据的新员工开展强制性入职培训
• 每年开展有关 BCR 要求、数据主体权利和违规报告的复训
• 针对 IT 管理员、HR 员工和客户服务人员开展特定岗位培训
• 集中保存培训记录，并提供给 SA 审计

BCR 审批流程

步骤 1：准备（第 1-3 个月）

1. 根据 WP256 rev.01 参考文件（控制者 BCR）或 WP257 rev.01 参考文件（处理者 BCR）起草 BCR 文件。
2. 绘制所有集团内部数据流，以确定 BCR 涵盖的数据传输。
3. 准备附件 A 实体清单、附件 B 数据传输范围和附件 C 安全标准。
4. 根据参考文件核对清单开展差距分析。
5. 为牵头 SA 准备 BCR 申请表。

步骤 2：确定牵头 SA（第 3 个月）

1. 根据 EDPB 标准确定牵头 SA：即 BCR 负责人（通常为母公司或受委托负责数据保护的实体）所在成员国的 SA。
2. 对 Athena Global Logistics 而言，牵头 SA 为 Berliner Beauftragte fuer Datenschutz und Informationsfreiheit (BlnBDI)。
3. 确定相关 SA：所有受约束实体所在成员国的 SA。

步骤 3：正式提交（第 4 个月）

1. 向牵头 SA 提交 BCR 申请及所有支持文件。
2. 提交材料包括：BCR 文本、实体清单、数据流图、差距分析结果、内部批准证明、DPO 联系方式。

步骤 4：牵头 SA 审查（第 4-9 个月）

1. 牵头 SA 审查 BCR 的完整性以及是否符合 Art. 47(2)。
2. 预计会有多轮问询和修订。
3. 保留往来记录和修订跟踪表。
4. 典型周期：4-6 个月的迭代审查。

步骤 5：合作程序（第 9-12 个月）

1. 牵头 SA 将审查后的 BCR 分发给所有相关 SA。
2. 相关 SA 有规定期限（通常为 2 个月）提出异议或意见。
3. 牵头 SA 汇总反馈，并与申请方合作解决相关问题。
4. 如达成共识，牵头 SA 将出具肯定意见。

步骤 6：一致性机制（第 12-14 个月）

1. 根据 Art. 63-64 GDPR，如仍有未解决的异议，牵头 SA 可将审批草案提交 EDPB 征求意见。
2. EDPB 将在 8 周内出具意见（可延长 6 周）。

第 7 步：正式批准（第 14–18 个月）

1. 首席 SA 作出正式的 BCR 批准决定。
2. 批准决定可能包含条件或建议。
3. BCR 负责人必须先落实所有条件，才能依据 BCR 进行传输。
4. 在 EDPB BCR 注册簿和公司网站上发布经批准的 BCR 摘要。

第 8 步：实施与推广（批准后）

1. 向所有受约束实体传达经批准的 BCR。
2. 执行约束所有实体的集团内部协议。
3. 部署培训计划。
4. 启动审计计划。
5. 开始监控和报告周期。

WP256 Rev.01 参考文件（控制者 BCR）——关键要素清单

要素	WP256 章节	状态
BCR 的约束力	第 1 节	必需
范围——数据、传输、实体	第 2 节	必需
GDPR 原则的适用	第 3 节	必需
数据主体的权利及其执行	第 4 节	必需
责任与管辖权	第 5 节	必需
与 SA 合作的义务	第 5.4 节	必需
处理来自主管机构的请求的方式	第 5.5 节	必需
投诉处理	第 6 节	必需
培训计划	第 7 节	必需
审计计划	第 7 节	必需
隐私官网络	第 7.3 节	必需
更新与变更管理	第 8 节	必需
与当地法律的冲突	第 5.5 节	必需
冲突解决方式说明	第 6 节	必需

WP257 Rev.01 参考文件（处理者 BCR）——额外要素

要素	描述
基于指示的处理	处理者 BCR 必须确认仅根据书面指示进行处理
子处理者管理	关于子处理者授权、尽职调查和合同义务传递的程序
通知控制者	无法遵守要求时通知控制者的义务
数据返还／删除	处理关系终止时适用的程序
协助审计	提供证明合规所需全部信息的义务

批准后的持续义务

1. 年度合规审计：每年至少进行一次全面的 BCR 审计，并在滚动三年周期内审计每个受约束实体。
2. 实体清单维护：实体加入或退出集团时更新附件 A；重大变更须通知 SA。
3. 事件报告：任何涉及 BCR 覆盖数据的泄露事件，都须报告给 BCR 负责人；并在要求时根据第 33 条报告给主管 SA。
4. 当地法律监控：持续监控第三国可能影响 BCR 保护的法律动态。
5. 培训记录：妥善保存，并随时可供 SA 审查。
6. BCR 审查与修订：至少每三年全面审查一次 BCR，并根据重大变更需要进行临时修订。