向境外传输数据：使用云服务时有哪些变化

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

将个人数据存放在境外服务商处，或存放在位于巴西境外的服务器上的企业，必须遵守《通用数据保护法》（Lei Geral de Proteção de Dados）的特别规定。只有符合法定情形，并辅以合同和技术层面的保障措施，确保数据主体获得与巴西境内要求相同水平的保护，个人信息的跨境传输才是合法的。

什么情况属于国际数据传输

只要在巴西收集的个人数据被发送、存储或处理于另一个国家，就构成国际传输。这种情形比大多数企业想象的要普遍，因为大部分云服务、电子邮件平台、管理系统和营销工具所依托的物理基础设施都位于巴西境外。

仅仅是签约使用一家数据中心设在境外的服务商，就已经构成跨境数据流动。位于其他国家的团队远程访问巴西境内的数据库，即便服务器仍留在巴西，同样如此。法律上的判断标准不仅是数据存放在哪里，更在于谁能够访问这些数据，以及是从哪个司法管辖区访问的。

理解这一涵盖范围，是正确定性的第一步。如果企业忽视数据处理活动的国际属性，往往会在缺少必要保障措施的情况下选择供应商，从而在巴西国家数据保护局（Autoridade Nacional de Proteção de Dados）和数据主体面前面临行政责任和民事责任。

允许向境外发送数据的情形

《通用数据保护法》对允许国际传输的情形作了封闭式列举。第一种是向经巴西主管机关认可、具备适当保护水平的国家传输。第二种是在责任方自行提供并证明其遵守各项原则和数据主体权利的保障措施时，允许数据流动。

体现这些保障措施的工具包括：特定合同条款、标准条款、全球企业规则，以及依法签发的认证标识、证书和行为守则。这些机制使境外接收方承担与巴西国内法律相当的义务。

此外还有一些例外情形，例如传输是国际司法合作所必需，是保护生命所必需，是应数据主体的请求履行合同所必需，或是在诉讼程序中正当行使权利所必需。还有一条路径是取得特定且突出的同意，即在数据主体授权之前，先告知其该操作具有国际性质。

每种情形都有各自的要求，稳固程度也各不相同。例如，同意作为单独依据，对于持续、大规模的数据流动并不牢靠，因为数据主体可以随时撤回。因此，结构性的云服务和外包业务通常需要长期有效的合同文件，而不是一次性的授权。

法律上的判断标准不仅是数据存放在哪里，更在于谁能够访问这些数据，以及是从哪个司法管辖区访问的。

国家主管机关在确定保障措施中的作用

监管机关有权评估外国的保护水平，并确定标准条款及其他保障工具的内容。这项规范性权力为企业提供了法律上的确定性，因为它就何为适当保护划定了客观的参照标准。

在适当国家名单和官方条款范本仍处于监管环境逐步完善的阶段，企业应当采取审慎的态度。也就是说，不要想当然地认为任何司法管辖区自动达到适当水平，并应对与每家境外供应商约定的保障措施做出一致、完整的书面记录。

监督检查往往恰恰集中在这种举证能力上。在可能发生的调查中，仅仅声称服务商值得信赖是不够的，必须出示合同、保护条款、数据流向映射以及数据处理活动记录。缺少这些证据材料，任何抗辩都会变得薄弱。

如何合规地与境外供应商签约

与境外服务商签约需要事先尽职调查。签署之前，企业应当梳理清楚将传输哪些数据、出于何种目的、传输至哪个国家，以及依据何种法律基础。这一梳理工作有助于选择合适的保障工具，并避免发送超出服务范围所需的数据。

与供应商签订的合同必须包含能够体现巴西法律义务的条款，其中包括目的限制、禁止未经授权的二次使用、信息安全义务、事件通报义务以及审计安排。同时也宜对分包作出规定，要求任何次级处理者承担相同的承诺。

建议将付款和服务的持续与这些保障措施的维持挂钩，并约定违约时的解除条款。即使数据处理由第三方执行，委托企业对数据主体仍然负有责任，因此合同的稳固性本身就是降低自身风险的工具。

除合同外，还建议核查国际认可的安全认证、服务商的隐私政策以及其事件记录。有书面记录的尽职调查能够证明委托方已尽到审慎义务，这在对可能的行政处罚进行量定时是一个重要因素。

持续治理与跨境数据流的复核

合规并不随合同签署而结束。当企业采用新工具、更换服务商或扩大业务时，国际数据流也会随之变化。因此，治理机制应当规定定期复核传输清单，并在发生重大变化时及时更新保障工具。

一份及时更新的数据处理活动记录，载明国际目的地和法律依据，是这套治理机制的核心。它使企业能够迅速回应数据主体的请求以及主管机关可能提出的要求，同时也为今后签订新合同的决策提供依据。

处理大量数据或敏感数据的企业应当加强管控，并考虑开展影响评估，以衡量国际数据流的风险。对于依赖全球技术基础设施的企业来说，这方面的成熟度已不再是竞争优势，而是开展业务的前提条件。

常见问题

使用服务器位于境外的云服务，是否就已构成国际传输？

是的。只要在巴西收集的数据被存储或处理于位于另一个国家的基础设施上，就构成国际传输，即使合同是在巴西境内签订的。位于境外的团队访问托管在巴西的数据库时也是如此。因此，签约使用此类服务，需要事先核查所适用的法律基础，并约定适当的合同保障。

仅凭数据主体的同意，能否授权持续向境外发送数据？

特定且突出的同意是被允许的情形之一，但作为单独依据，对于持续、大规模的数据流动通常并不牢靠，因为它可以随时被撤回。对于云服务、处理外包等结构性业务，建议将传输建立在长期有效的合同文件之上，例如标准条款或全球企业规则，以保障数据处理在法律上的稳定性。

在接受监督检查时，企业需要证明什么？

企业应当能够出示国际数据流的映射、每次传输的法律基础、与境外供应商签订的合同及约定的保护条款，以及数据处理活动记录。这些文件可以证明数据在目的地仍受到保护，也体现了委托方的审慎，这是监管机关评估可能的行政处罚时的重要因素。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.