常跑海外或爱用境外App的注意,欧盟与美国数据新规正悄悄改变你的隐私边界

上个月我在法兰克福转机的时候，在候机室里遇到了一个正在用手机给德国客户下单的女孩儿，她的旁边还有一个屏幕弹出一条信息说应用需要再次确认数据跨境传输的授权，她愣了一下之后嘀咕了一句又要点同意，然后就按下了按钮。

看到这里，我心中一惊，在过去的半年里，在欧洲、美国和亚洲各国都出现了大量的弹窗，并且大多数人都很快选择了接受，甚至有的人在点击的同时只花了不到1秒钟的时间来阅读一行文字。

01两套规则，两种脾气

首先介绍一下事情经过。在欧盟方面，《通用数据保护条例》于2018年施行之后，个人数据就成为了最基本的权益被保护起来；而到了2023年的时候，欧美的双方已经达成了一项新的跨大西洋数据框架，并且允许数据自由流通，在此过程中附加了一些条件——企业要作出承诺、接受监督、给用户提供申诉途径。

说白了，美国走的是另外一条路，并没有一部全国性的《联邦隐私法案》，而是依靠各个行业的法律法规来形成一个整体的网络。加利福尼亚有消费者隐私法，弗吉尼亚和科罗拉多等地也有自己的规定，从联邦层面来说主要是对某些特定领域进行监管，例如医疗、金融、儿童数据等。

同样都是为了保护个人信息，在欧洲国家会给数据穿上一件厚厚的外衣，在美国则会在不同的时候给你颁发各种各样的短期证明。所使用的APP，注册地点不同、服务器也不同的话，所受到的规则就会完全不同。

02为什么你感觉不到，却一直在被影响

要深入研究一下。规则的不同并不是纸上谈兵的事情，在技术链上就会把这种差别一直传递下去，并且最终表现在你的手机上。

欧盟规定，在数据出境前要对目的地国进行评估，如果不符合要求的话，则需要企业做出改变——或者是将数据存放在本地，或者是签订标准化的服务合同条款。这样做的结果是成本上升了，小公司难以承受，可能会被迫退出欧洲市场；而大公司则可以将合规的成本转嫁给服务费用。

在美国各个州都有自己的法律体系，企业在面对五十一套不同类型的告知、删除和退出制度时，所制定出的隐私政策也就越加繁杂、弹出窗口也越来越多，在其中最重要的内容却常常会被隐藏起来，在第3页之后才会出现。

当你点击同意的时候，你就已经授权了一家你从来没有听说过的新数据处理公司来使用你的信息了，并非危言耸听，这是整个数据链条所遵循的原则。

03三个具体场景，看看边界怎么变

第一种情况是在巴黎使用1款来自美国的社会化网络应用程序，在这里你的地理位置、通讯录以及浏览历史都会被发送到美国服务器上，但是根据欧盟的规定，公司必须给用户提供1个无偿的申诉途径，而该途径却很难被人发现。

第二种情况是在加利福尼亚使用一个来自欧洲的电子商务应用程序，在这里加州法律规定了不得出售个人数据，但是欧洲公司的做法可能会无视这样的规定，并且不会按照加州的标准对数据进行分类，因此你的不许出售的命令就会失去效力。

第三种情况是在中国使用一个拥有海外服务器的应用程序，并且不位于欧洲或美国，但是你的数据会经过这两个地方。那么哪种规定有效呢？这取决于服务器走的道路以及公司的注册地点，普通人都无法了解。

数据跨境这件事，最麻烦的不是没有规则，而是规则太多、太碎，普通人没有精力去追。

04从业者视角：真正该盯的是什么

我在跨境合规这个行业工作了几十年之后发现，与其去遵守规章制度，倒不如关注三个方面的问题：存放的数据在哪里？可以被谁看到？又该如何删除？

第一，看App的隐私政策里有没有明确写出数据存储地。写全球服务器这种模糊表述的，要多留个心眼。

第二点就是看是否有可以联系到的数据保护负责人或者申诉通道，并不是只有一个联系我们的字样就代表有。

第三，在发送请求的时候不要只点一次。在欧盟的框架内，企业要负起责任去回应；而在美国各州，则有时间限制的规定，但是这一切都要靠你自己来落实执行，发出请求之后拍张照片留个证据，并且注明发布时间，这就是最有效的自我保护措施。

05转给常跑海外的人

如果家里有人常年在国外工作或者自己经常使用境外的应用程序的话，那么这几点就值得转达给他人：不要在弹出框中一直点击同意按钮，花上10秒钟来了解该应用程序需要哪些权限；定期地删除不再使用的境外账号；对于护照、签证和住址等敏感信息，在多个不同的境外应用中不要只用一个地方去存储它们。

规则不断变化、界限也随之移动。所要做的，并不是去记下所有的法律条文，而应该养成一种习惯，在点击同意之前先问自己一个问题：我的数据会送到哪里？

该问题要比所有的新规定都要重要得多。