从《个人信息保护法》（“《个保法》”，2021年11月1日生效）、到2022年9月1日生效的《数据出境安全评估办法》及其细则《数据出境安全评估申报指南（第一版）》（“《申报指南（第一版）》”），随着中国个人信息、数据出境方面陆续颁布新规，由于法规本身处于逐步完善、演进的过程，如何在实践中有效履行法定合规义务，存在没有先例可以参考的困境。

在我们服务高净值客户，或与境内外银行、财富机构的合作过程中，我们注意到，“是否需要按中国法新规的要求收集客户个人信息，已经引起了一些财富管理机构，尤其是私人银行、保险公司、信托公司、家族办公室、资产管理公司等金融机构的关注和困惑，这些财富管理机构都需要履行客户背景尽职调查（即Know Your Client，“KYC”），KYC过程会涉及大量高净值客户个人信息的跨境传输、收集、分析，还涉及个人财产、家庭情况甚至医疗健康信息等敏感个人信息。

根据《个保法》，个人信息跨境传输之前需要履行法定程序和义务，否则数据不能出境。违规进行跨境传输的，个人信息处理者将受到处罚，以及“直接负责的主管人员和其他直接责任人员”也将受到处罚，除了罚款以外，情况严重的，个人还会遭遇“任职限制”。

境外的一些财富管理机构合规部已经关注到中国个人信息出境监管的立法和监管动向，但是不清楚作为境外主体究竟有哪些责任和义务，针对个人信息如何处理，由于难以高效决策而导致业务部门无法及时开户、无法推进业务。

还有一种情形，由于境内合作伙伴给境外财富管理机构推介客户的时候，需要根据新规完成信息出境的风险自评估，因此需要针对境外财富管理机构的信息安全能力进行尽调，而有的境外财富管理机构合规部门对此的可能回应是，“我们是大型金融机构，已经遵守GDPR[1]规定，有健全的隐私法和数据安全法监管。”没有积极响应该合规要求。由于境外财富管理机构合规部和数据安全部门无法配合提供资料，导致了业务部迟迟无法与中国的高客签约。随着《数据出境安全评估办法》生效（2022年9月1日），数据出境的监管、执法日趋清晰，如果境外财富管理机构没有在第一时间根据最新的立法进行调整，及时响应境内客户、合作伙伴的合规需求，可能就会错失一批业务机会。

如何解决上述“无从应对”的难题？一方面，要纠正“认知误区”，例如，“我们已经按GDPR要求在处理信息，为何还要受中国法管辖？”另一方面，新法下合规要求和义务不少，需要用底线思维去审视这些合规要求，理清脉络，才能“高性价比”解决问题。

笔者希望通过对以下四大高频疑问进行解答，站在境外财富管理机构合规视角，帮助这些境外机构了解中国个人信息出境合规的法律要求和边界，能够快速响应客户需求，最大限度降低对业务的不利影响。

根据《个保法》第三条第二款：“在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动，有下列情形之一的，也适用本法：（一）以向境内自然人提供产品或者服务为目的；（二）分析、评估境内自然人的行为；（三）法律、行政法规规定的其他情形。”中国《个保法》具有域外管辖效力，在境外财富管理机构收集客户个人信息KYC的场景下，最终目的是“向境内自然人提供产品或者服务”。因此，境外财富管理机构收集境内个人信息的行为属于《个保法》管辖范围。

此外，在KYC信息收集、处理过程，通常信息链路往往涉及跨境传输，因此需要遵守《个保法》第三章“个人信息跨境提供的规则”，例如，根据不同情况选择信息出境路径。如果落入需要向国家网信部门进行出境安全评估申报的数据出境情形，还需要同时按照《数据出境安全评估办法》（国家互联网信息办公室令第11号，已于2022年9月1日生效）准备相关数据出境安全评估资料并进行申报。

根据《个保法》《数据出境安全评估办法》等规定，未能遵守相关合规义务，将需要承担行政处罚[2]以及民事损害赔偿侵权责任[3]。如果构成违反治安管理行为的，依法给予治安管理处罚；构成犯罪的，依法追究刑事责任[4]。

在法律责任方面，结合财富管理行业业务特色、数据合规风险严重程度和紧迫性，有三点内容值得关注：

（1）财富管理机构网站、应用程序可能被叫停：除了罚款以外，如果涉及使用网站、应用程序（APP）违规收集、处理个人信息的，网信办有权要求其暂停或终止提供服务。根据网信办官方发布数据[5]，“全国网信系统上半年累计依法约谈网站平台3491家，警告3052家，罚款处罚283家，暂停功能或更新419家，下架移动应用程序177款。”可见网信办对于网站、应用程序是“重拳出击”，这意味着，一旦受到影响导致业务中断，一方面是经济损失，更重要的是客户体验变差，可能导致客户流失。

（2）境内大客户经理个人责任：除了单位受罚以外，“直接负责的主管人员和其他直接责任人员”也需要承担连带责任，情节严重的情况下，个人最高罚款可达100万元，甚至可能被“禁业”（监管部门“可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。”），不少境外财富管理机构为了在境内开拓、维系大客户，通常会在境内设置业务经理团队，这一项处罚对于境内负责向境外财富管理机构传输数据的大客户经理将产生较大负面影响。

（3）境外财富管理机构主体存在受处罚可能性：如前文所分析，《个保法》具有域外管辖效力，《个保法》第六十六条法律责任条款，针对处罚对象亦没有明确将境外主体排除在外，同时根据《个保法》第四十二条：“境外的组织、个人从事侵害中华人民共和国公民的个人信息权益，或者危害中华人民共和国国家安全、公共利益的个人信息处理活动的，国家网信部门可以将其列入限制或者禁止个人信息提供清单，予以公告，并采取限制或者禁止向其提供个人信息等措施。”从法条层面，境外主体若发生违规行为，中国网信部门有权进行执法。这对于视商誉为生命的金融机构来说，再小的处罚，都会带来极大的负面影响。

根据以上分析，如果境外财富管理机构存在违规收集、传输个人信息的情形，存在潜在法律风险，轻则罚款，重则暂停应用程序、网站。

还有一类隐形风险更为常见，但往往容易被忽视，境内信息处理者向境外提供个人信息需要完成风险自评估、甚至可能需要向网信办进行数据出境安全评估申报，在此过程中需要对境外接收方进行数据安全尽职调查，如果未能通过数据出境安全评估的，客户信息将无法出境，对于境外财富管理机构来说，可能意味着丢失重要的客户和商机。

在回答这个问题之前，需要先厘清一个问题，在数据出境安全评估的情况下，究竟由谁向监管部门提出申报？在存在境内机构向境外财富管理机构转介客户的场景下，境内主体是境内“数据处理者”，由境内信息处理者主导“个人信息保护影响评估”（Privacy Impact Assessment，“PIA评估”）、“数据出境风险自评估”、作为申报主体向网信办提交“安全评估申报”。

尽管安全评估由境内主体负责，但这并不意味着境外信息接收方可以“不作为”。以网信办数据出境“安全风险自评估”要求举例，根据《数据出境安全评估办法》以及《申报指南（第一版）》规定，针对境外接收方需要进行尽调，包括说明处理数据的用途和方式、说明数据安全保障能力、说明境外接收方处理数据的全流程过程描述，而这些内容需要境外接收方提供相关证明文件，除了配合尽调以外，境外接收方还有一些相关的合规义务，例如，与境内主体订立数据处理协议等等。[6]

下图展示了不同境内主体的数据出境合规义务，以及境外财富管理机构所需要关注的重要内容。

点击可查看大图

  (1) 误区1：境外机构已按GDPR构建了成熟、健全的个人信息保护、数据安全政策，是否可以默认满足中国法合规要求？

一些境外财富管理机构，尤其是欧盟、新加坡、香港的机构经常会问如上的问题，他们针对隐私法、数据合规意识比较强，也就产生了这样的一种误区，认为自身已经遵循GDPR、PDPA[7]、香港《个人资料（私隐）条例》等当地数据保护法的监管，于是就默认其相关数据处理行为的操作思路和模式也满足了中国法新规要求。这显然是错误的。

实际上，尽管个人信息、数据安全部分立法原则上存在类似的内容，但遵守境外隐私法、数据合规法规，并不能直接等同于已满足中国法合规要求。境外机构必须根据中国法新规重新审视与中国有关的业务产生的信息流，结合新规调整相关合规指引。

  (2) 误区2：是否所有KYC都需要向中国网信部门进行安全评估申报？是否有统一标准可以遵循？

信息出境路径的合规程序将直接影响信息能否成功出境以及时间表。以个人信息跨境传输规则为例，《个保法》主要规定了三种数据出境路径[8]，包括经网信部门安全评估后的出境路径（“网信办安全评估路径”）、经个人信息保护认证后的出境路径、采用订立网信部门指定的标准合同的出境路径。

每条路径所需的程序，难度和耗费时间都有所不同。其中，根据目前法规颁布的情况，相比其他出境路径，按网信办安全评估路径出境规则较为明确，但从程序上看，能否成功并及时通过网信部门审查存在较大不确定性，在网信部门安全评估审批程序，法定至少需要45个工作日，甚至可能因材料不符合要求导致终止审查。[9]

需要注意的是，如果境外财富管理机构是通过境内金融机构转介客户，或者个人信息跨境传输达到一定量级的，是必须向网信部门进行数据出境安全申报的。因此，境外财富管理机构如果希望避免因前述程序问题耽误客户KYC流程，建议提前规划信息出境链路，高效解决合规问题。

如上文介绍，境外接收方需要回复尽调清单并提供文件。面对这样一份尽调清单，有些境外财富管理机构会感到不理解，通常会有几类反馈，“我们是XX国银行，已经通过本国的信息安全认证，为何需要提供这么多证明资料？”“集团不允许我们按中国法订立数据处理协议”。“我们合规部门感觉这是你们在对我们进行信息安全审计，我们没有义务配合。”“这属于我们的集团政策、商业秘密，无法提供。”之后，合规部与业务部就陷入了“无解”的僵持。

站在境外财富管理机构获客的立场和角度，当互相竞争的机构因为“合规原因”而卡顿无法为客户开户的时候，你会发现，抢占时间和先机就是抢夺AUM[10]，举一个直观的例子，如果私行KYC长达几个月都没有完成，可能客户就会转而将财富交给其他私行管理了。但是，合规的底线需要守住，那么怎么做才能实现既合规又高效呢？我们通过几个实战案例，分享一些解决思路。

F1车手阿尔顿•塞纳说过：“天气晴好的时候，你无法一下子超越15辆车，但是天降大雨的时候，你却可以。”

在面对合规大变局的情况下，谁能够抢先合规，谁就能抢先避免因为强监管所带来的处罚风险，并且“接住”那些其他机构因为合规问题没有解决而无法接单、开户的客户，这就是危机带来的商机。

所以，如果能够快速行动，强占合规先机，就可以避免未来突发事件对业务的冲击，同时掌握合规实践的最佳路径，就能迅速、有效响应，就有机会利用弯道超车，抢占市场。