金融科技 AI：出海合规要点

这个赛道最硬的几条义务

• 第三国控制者/处理者的欧盟代表指定欧盟 · 高

  依第 3(2) 条适用 GDPR 但未在欧盟设立的控制者或处理者，须书面指定一名欧盟代表，设立于其数据主体所在的成员国之一。代表须被授权在处理相关的所有事项上，代替或同时与控制者/处理者一起接受监管机构与数据主体的联络。豁免仅限于：处理属偶发、不涉及大规模处理第 9(1) 条特殊类别数据或第 10 条犯罪记录数据、且不太可能对自然人权利自由造成风险；或主体为公共机关。

• 数据保护官（DPO）的指定与独立性保障欧盟 · 高

  在三种情形下必须指定 DPO：处理由公共机关或机构进行（司法职能中的法院除外）；控制者或处理者的核心活动由于其性质、范围或目的而需要对数据主体进行大规模的定期与系统性监测；或核心活动为大规模处理第 9 条特殊类别数据或第 10 条犯罪记录数据。DPO 须基于专业素质尤其是数据保护法律与实务专长指定，可为雇员或依服务合同履职；企业集团可指定单一 DPO，但须确保各机构均能便捷联系。

• 处理活动记录（ROPA）欧盟 · 高

  控制者（及其代表）须维护其职责下的处理活动记录，至少包含控制者/共同控制者/代表/DPO 的名称与联系方式、处理目的、数据主体类别与个人数据类别、接收方类别（含第三国接收方）、跨境传输的第三国识别与保障措施、各类数据的预定删除期限、以及第 32(1) 条技术与组织安全措施的一般性描述。第 30(5) 条的 250 人以下豁免适用范围极窄：只要处理可能对数据主体权利自由造成风险、处理非偶发、或涉及特殊类别或犯罪记录数据，豁免即不适用。

• 训练与推理场景的合法性基础与告知欧盟 · 极高

  每一项处理活动（含用用户数据训练或微调模型）须确定并记录第 6 条合法性基础；涉及第 9(1) 条特殊类别数据的须另行满足第 9(2) 条例外。依赖同意的，须符合第 4(11) 与第 7 条的有效同意要件（自由作出、具体、知情、明确，可随时撤回且撤回与给予同样容易）；依赖合法利益的，须完成并留存三步利益权衡测试。向数据主体的告知须按第 13、14 条提供全部要素，其中第 14(3) 条要求间接获取个人数据时在合理期限内（最迟一个月）告知。

• 数据主体权利响应机制（一个月时限）欧盟 · 高

  建立可举证的响应流程，覆盖访问、更正、删除、限制处理、可携、反对以及与自动化决策相关的权利。依第 12(3) 条，须在收到请求后无不当延迟且不迟于一个月内告知处理结果；考虑请求复杂性与数量，可再延长两个月，但须在首个月内告知延期及理由。响应须免费提供（明显无依据或过度的请求除外）。对 AI 企业而言，难点在于识别并处理已进入训练集与向量索引的个人数据，以及说明模型输出中是否仍可复现该个人数据。

• 数据保护影响评估（DPIA）与事前咨询欧盟 · 高

  当某类处理（尤其是使用新技术，并结合处理的性质、范围、背景与目的）可能对自然人权利自由造成高风险时，控制者须在处理前开展 DPIA。第 35(3) 条列明三类必须开展的情形：基于自动化处理（含画像）对个人方面进行系统全面的评估，并据以作出对该人产生法律效果或类似重大影响的决定；大规模处理第 9(1) 条特殊类别数据或第 10 条犯罪记录数据；大规模系统性监测公共可进入区域。已指定 DPO 的，须征询 DPO 意见。若 DPIA 表明在无缓释措施时存在高风险，须在处理前咨询监管机构（第 36 条）。

• 完全自动化决策的限制与保障措施欧盟 · 高

  数据主体有权不受仅基于自动化处理（含画像）、对其产生法律效果或类似重大影响的决定约束。例外仅三种：该决定对于订立或履行数据主体与控制者之间的合同是必要的；经欧盟或成员国法律授权且该法律规定了适当的保障措施；或基于数据主体的明确同意。在合同必要性与明确同意两种情形下，控制者须实施适当保障措施，至少包括数据主体获得人工干预、表达自身观点与对该决定提出异议的权利。此外，此类决定不得基于第 9(1) 条特殊类别数据，除非适用第 9(2)(a) 或 (g) 项且已有适当保障。

• 个人数据泄露的 72 小时通报与数据主体告知欧盟 · 极高

  发生个人数据泄露时，控制者须无不当延迟，并在可行情况下自知悉起不迟于 72 小时向主管监督机构通报，除非该泄露不太可能对自然人权利自由造成风险；超过 72 小时的须附延迟理由。通报至少包含泄露性质（含涉及的数据主体与记录的类别与大致数量）、DPO 或其他联络点、可能后果、已采取或拟采取的措施。信息可分阶段提供。处理者在知悉后须无不当延迟通知控制者。若泄露可能对自然人权利自由造成高风险，还须无不当延迟以清晰通俗的语言告知数据主体。控制者须记录所有泄露事件的事实、影响与补救措施以备监管核查。

• 处理者合同与再委托管理欧盟 · 高

  控制者只能选用能提供充分保证、实施适当技术与组织措施的处理者，且处理须以合同或其他具约束力的法律行为为依据，约定处理的标的、期限、性质与目的、个人数据类型与数据主体类别，以及控制者的权利与义务。处理者未经控制者的特定或一般书面授权不得再委托其他处理者；一般授权情形下，处理者须就增删再处理者告知控制者，使其有机会反对。

• 处理安全与设计/默认数据保护欧盟 · 高

  控制者与处理者须考虑最新技术水平、实施成本、处理的性质范围背景目的以及对自然人权利自由的风险，实施适当的技术与组织措施以确保与风险相称的安全水平，措施可包括假名化与加密、保障系统与服务持续保密性完整性可用性与韧性的能力、事故后及时恢复可用性与访问的能力、以及定期测试评估与评价措施有效性的流程。同时须在确定处理方式时与处理进行中落实设计与默认的数据保护（第 25 条）。

• 向中国等第三国传输个人数据的机制与评估欧盟 · 极高

  向第三国或国际组织传输个人数据，仅在满足第五章条件时方可进行：存在委员会作出的充分性决定（第 45 条）；或已提供适当保障（第 46 条，包括委员会通过的标准数据保护条款、有约束力的公司规则、经批准的行为准则或认证机制，并配套可执行的数据主体权利与有效救济）；或适用第 49 条的特定情形减损。中国目前不在欧盟充分性决定名单内，因此中国 AI 企业的默认路径是签署标准合同条款并完成传输影响评估，识别目的地法律对条款有效性的影响并采取补充措施。

• 建立处理人数计量口径，按门槛落实两年一次的合规审计周期中国大陆 · 高

  门槛是这套制度唯一的事实入口，必须先把「处理了多少人的个人信息」算清楚并留痕。计量口径要写成制度：以可识别到的自然人去重计数，纳入活跃用户、沉默用户、已注销但仍在留存期内的账号、通过 SDK 或受托处理触达的终端用户、线下采集的人员、以及员工与候选人等非产品侧数据；跨产品线、跨法人主体的重叠用户如何合并，也要有明确规则，否则每次自查都会得出不同数字。达到处理超过 1000 万人个人信息的，应当每两年至少开展一次个人信息保护合规审计（第四条）；未达门槛的并不豁免——第三条要求处理者由内部机构或者委托专业机构「定期」开展合规审计，企业应自行确定并书面固定周期（常见做法是与年度内控或安全评估节奏合并）。每次计量结论、判定依据、判定日期与下一次审计的排期都应入档，这是监管问询时证明「周期没有被拖过」的唯一材料。

• 按附件《个人信息保护合规审计指引》确定审计范围与底稿中国大陆 · 高

  第六条要求自行开展或按保护部门要求开展的审计都参照附件《个人信息保护合规审计指引》，指引以 27 条列明审查要点，实际上就是一份现成的审计程序表：合法性基础与同意（含变更后重新取得同意、单独同意与书面同意）、处理规则的清单化与最短保存期限、告知义务的显著性与可读性、共同处理与委托处理的约定与监督、因合并重组分立解散转移个人信息的告知、对外提供的单独同意与事前影响评估、自动化决策的透明度与公平性及拒绝机制、基于同意的公开、公共场所图像采集设备的必要性与提示标识、已公开个人信息的处理边界、敏感个人信息与不满十四周岁未成年人、出境三条路径与向外国司法执法机构提供的批准、删除权的六类情形与技术难以实现时的停止处理、个人权利行使的受理与响应、处理规则的解释说明、内部管理制度与操作规程（含分类、应急机制、影响评估与合规审计制度、投诉举报、操作权限、教育培训、履职评价、违法处理责任制度）、安全技术措施的有效性（保密性完整性可用性、加密去标识化、权限控制）、教育培训的覆盖与考核、个人信息保护负责人的资质与权限与报送、影响评估的开展与内容、应急预案的全面性与演练、事件应急响应处置，以及重要互联网平台的平台规则与个人信息保护社会责任报告。落地建议：把 27 条逐条映射到自家的系统、数据流与制度文件，形成「要点—证据—责任人—结论」四列底稿；对 AI 企业，训练语料合法性基础、对话日志保存与删除、模型与日志中个人信息的可删除性、推荐与风控的自动化决策说明这四项通常是失分最集中的地方，应优先补证据。

• 被保护部门要求委托专业机构审计时的选定、限期、报送与整改中国大陆 · 极高

  这是自审计之外的强制轨道，节奏由监管定。触发情形有三类（第五条）：处理活动存在严重影响个人权益或者严重缺乏安全措施等较大风险；处理活动可能侵害众多个人的权益；发生个人信息安全事件，导致 100 万人以上个人信息或者 10 万人以上敏感个人信息泄露、篡改、丢失、毁损。对同一事件或风险，不得重复要求委托专业机构审计——收到重复要求时可以据此沟通。被要求后的动作链条：按保护部门要求选定专业机构（不是自由选型），在限定时间内完成，情况复杂的报保护部门批准后可以适当延长（第九条）；为专业机构正常开展工作提供必要支持并承担审计费用（第八条）；完成后将专业机构出具的审计报告报送保护部门，报告须由专业机构主要负责人、合规审计负责人签字并加盖专业机构公章（第十条）；按保护部门要求对审计中发现的问题进行整改，**在整改完成后 15 个工作日内**向保护部门报送整改情况报告（第十一条）。实务建议：在事件应急预案里预置这条链路——事件定级一旦触及 100 万人／10 万人敏感的量级，就同步启动「可能被要求委托审计」的准备，提前梳理可供选定的专业机构、预算科目与配合口径，避免限期开始后才开始找机构。

• 指定个人信息保护负责人并在重要平台设立独立监督机构中国大陆 · 高

  第十二条把审计工作挂到具体的人与机构上。其一：处理 100 万人以上个人信息的个人信息处理者，应当指定个人信息保护负责人，由其负责本单位的个人信息保护合规审计工作——注意门槛是 100 万人（低于强制两年审计的 1000 万人门槛），也就是说很多企业先触发「要有负责人」，再触发「要按周期审计」。指引第二十二项进一步给出对该负责人的审查口径：应具有相关工作经历和专业知识、熟悉相关法律行政法规；职责清晰并被赋予充分权限协调内部部门；在个人信息处理重大事项决策前有权提出意见建议；有权对不合规操作予以制止并采取必要纠正措施；处理者应公开其联系方式，并将姓名、联系方式等报送保护部门。其二：提供重要互联网平台服务、用户数量巨大、业务类型复杂的处理者，应当成立主要由外部成员组成的独立机构，对个人信息保护合规审计情况进行监督——「主要由外部成员组成」意味着内部高管占多数的委员会不满足要求，成员构成、议事规则与监督结论都应留痕。