Szybka odpowiedź: Przekazywanie danych transgranicznych polega na przenoszeniu danych osobowych przez granice narodowe i jest regulowane przez złożony zbiór nakładających się przepisów, w tym GDPR UE, PIPA Korei Południowej, PIPL Chin oraz różne sektory specyficzne reżimy. Organizacje muszą zidentyfikować, które ramy prawne mają zastosowanie do ich przepływów danych, a następnie wdrożyć zatwierdzone mechanizmy transferu, takie jak Standardowe Klauzule Umowne lub decyzje o adekwatności, zanim dojdzie do jakiegokolwiek transferu. Niedopełnienie wymogów może skutkować karami sięgającymi dziesiątek milionów euro, dochodzeniami regulacyjnymi i szkodami dla reputacji.
Kluczowe wnioski
- GDPR ogranicza opuszczanie danych osobowych z EOG, chyba że istnieje decyzja o adekwatności, SCC lub Wiążące Zasady Korporacyjne.
- PIPA Korei Południowej wymaga wyraźnej zgody lub podstawy prawnej dla przekazów transgranicznych i różni się od GDPR w kilku aspektach proceduralnych.
- Chiński PIPL i Ustawa o Cyberbezpieczeństwie nakładają jedne z najsurowszych wymogów dotyczących lokalizacji danych na świecie, w tym obowiązkowe oceny bezpieczeństwa dla niektórych transferów wychodzących.
- Standardowe Klauzule Umowne (SCC), zaktualizowane w czerwcu 2021 roku, pozostają najczęściej stosowanym mechanizmem transferu dla organizacji wysyłających dane poza EOG.
- Badanie z 2021 roku analizujące 10 080 aplikacji mobilnych wykazało, że 56% z nich mogło być potencjalnie niezgodne z wymaganiami GDPR dotyczącymi przekazów transgranicznych. [7]
- Ramy ochrony danych UE-USA zastąpiły unieważnioną Tarcze Prywatności, ale organizacje powinny nadal monitorować jej status prawny.
- Lokalizacja danych i ograniczenia transferu danych są powiązanymi, ale odrębnymi pojęciami: lokalizacja nakłada wymogi dotyczące miejsca przechowywania danych, podczas gdy ograniczenia transferu regulują, kiedy i jak dane mogą być przesyłane.
- Dane pracowników nie są zwolnione z zasad dotyczących transferu transgranicznego; często wymagane są oddzielne umowy dotyczące transferu danych lub derogacje.
- Koszty zgodności różnią się znacznie w zależności od wielkości firmy, objętości danych i liczby zaangażowanych jurysdykcji.
- Platformy zarządzania zgodą, takie jak Biscotti CMP (www.biscotti-cmp.com), mogą wspierać organizacje w dokumentowaniu podstaw prawnych i rejestrów zgody dotyczących przepływów danych transgranicznych.
Czym jest przekazywanie danych transgranicznych i dlaczego ma znaczenie
Przekazywanie danych transgranicznych występuje, gdy dane osobowe przemieszczają się z jednego kraju do drugiego, niezależnie od tego, czy odbywa się to za pośrednictwem przechowywania w chmurze, platform SaaS, e-maila czy integracji API. Ma to znaczenie, ponieważ krajowe przepisy dotyczące prywatności odnoszą się do samych danych, a nie tylko do kraju, w którym zarejestrowana jest organizacja.
Dla przedsiębiorstw prowadzących globalne operacje, jedna platforma HR hostowana w Stanach Zjednoczonych, która przetwarza dane pracowników z biur w UE, już stanowi przekaz transgraniczny podlegający GDPR. To samo dotyczy agencji marketingowych wysyłających listy e-mailowe klientów do narzędzia automatyzacji opartego w USA, lub programistów korzystających z usług analitycznych stron trzecich kierowanych przez serwery w krajach spoza EOG.
Stawka jest wysoka. Egzekwowanie przepisów regulacyjnych nasiliło się w wielu jurysdykcjach od 2021 roku, a brak międzynarodowej harmonizacji w przepisach dotyczących ochrony danych tworzy nakładające się zasady i konkurencyjne standardy, które komplikują zgodność dla organizacji działających transgranicznie. [8]
Jak GDPR wpływa na wysyłanie danych poza UE
GDPR zabrania transferu danych osobowych z Europejskiego Obszaru Gospodarczego (EOG) do krajów trzecich, chyba że istnieje jeden z kilku zatwierdzonych mechanizmów. Trzy główne mechanizmy to decyzje o adekwatności, Standardowe Klauzule Umowne i Wiążące Zasady Korporacyjne. [1]
Decyzje o adekwatności są wydawane przez Komisję Europejską, gdy stwierdza, że kraj trzeci oferuje poziom ochrony danych zasadniczo równoważny z EOG. Od 2026 roku decyzje o adekwatności obejmują jurysdykcje, w tym Zjednoczone Królestwo, Japonię, Koreę Południową i kilka innych. [1] Dane mogą swobodnie przepływać do tych krajów bez dodatkowych zabezpieczeń.
Standardowe Klauzule Umowne (SCC) to wstępnie zatwierdzone szablony umów wydawane przez Komisję Europejską. Zmodernizowane SCC, opublikowane 4 czerwca 2021 roku, obejmują cztery scenariusze transferu: kontroler-do-kontrolera, kontroler-do-przetwarzającego, przetwarzający-do-kontrolera i przetwarzający-do-przetwarzającego. [2]
Wiążące Zasady Korporacyjne (BCR) to wewnętrzne polityki przyjęte przez międzynarodowe grupy korporacyjne w celu regulowania transferów wewnątrzgrupowych. BCR wymagają zatwierdzenia przez wiodący organ nadzorczy i muszą zawierać postanowienia dotyczące podstawy prawnej, praw osób, których dane dotyczą, oraz procedur skargowych. [1]
"Organizacje muszą mapować swoje przepływy danych, aby zidentyfikować wszystkie transfery i zastosować odpowiednie zabezpieczenia, zanim jakiekolwiek dane osobowe opuszczą EOG." [1]
Czym jest PIPA i do jakich krajów ma zastosowanie
Ustawa o Ochronie Informacji Osobowych Korei Południowej (PIPA) jest głównym przepisem dotyczącym prywatności danych w tym kraju, regulującym zbieranie, wykorzystywanie i przekazywanie danych osobowych transgranicznie przez podmioty sektora publicznego i prywatnego. PIPA ma zastosowanie do każdej organizacji przetwarzającej dane osobowe mieszkańców Korei Południowej, niezależnie od tego, gdzie ta organizacja jest zarejestrowana.
PIPA wymaga, aby osoby, których dane dotyczą, były informowane o transferze ich danych osobowych za granicę i generalnie wyrażały na to zgodę. Szczegółowe informacje muszą obejmować tożsamość odbiorcy, cel transferu, przekazywane dane, okres przechowywania oraz sposób, w jaki osoby, których dane dotyczą, mogą wycofać zgodę.
Jaka jest różnica między GDPR a PIPA w zakresie transferów danych
Zarówno GDPR, jak i PIPA regulują przekazywanie danych transgranicznych, ale różnią się w kilku aspektach proceduralnych i merytorycznych. [6]
| Wymiar | GDPR (UE/EOG) | PIPA (Korea Południowa) |
|---|---|---|
| Mechanizm transferu | Decyzja o adekwatności, SCC, BCR, derogacje | Zgoda, konieczność umowna, układy równoważne adekwatności |
| Transfery współpracy sądowej | Dozwolone na podstawie umów międzynarodowych | Nie określono wyraźnie |
| Powiadomienie osób, których dane dotyczą | Wymagane dla SCC i BCR | Wymagane w momencie zbierania lub transferu |
| Organ nadzorczy | Krajowe DPA / EDPB | Komisja Ochrony Informacji Osobowych (PIPC) |
| Kary | Do 4% rocznego obrotu globalnego | Do 300 milionów KRW (około 220 000 USD) za naruszenie |
Kluczowa różnica praktyczna: GDPR zapewnia większą elastyczność dzięki wielu mechanizmom transferu, podczas gdy domyślne wymaganie PIPA bardziej polega na wyraźnej zgodzie, co czyni infrastrukturę zarządzania zgodą szczególnie ważną dla organizacji działających w Korei Południowej. [6]
Czym są Standardowe Klauzule Umowne i czy ich potrzebujesz
Standardowe Klauzule Umowne to wstępnie zatwierdzone przepisy umowne wydawane przez Komisję Europejską, które prawnie wiążą eksportera i importera danych do ochrony danych osobowych podczas przekazów transgranicznych. Każda organizacja wysyłająca dane osobowe z EOG do kraju bez decyzji o adekwatności prawie na pewno potrzebuje SCC. [2]
SCC z 2021 roku zastąpiły starsze wersje z 2001 i 2010 roku i wprowadziły modułową strukturę obejmującą wszystkie relacje transferu danych. Organizacje, które korzystały z przestarzałych SCC, miały termin przejścia do nowych wersji do 27 grudnia 2022 roku.
Kiedy potrzebujesz SCC:
- Wysyłanie danych klientów do opartej w USA platformy CRM lub marketingowej
- Korzystanie z dostawcy chmury z serwerami poza EOG
- Udostępnianie danych pracowników zewnętrznej firmie matce spoza EOG
- Zatrudnianie przetwarzającego spoza EOG do analityki, wsparcia lub rozwoju
Kiedy możesz nie potrzebować SCC:
- Przekazywanie danych do kraju z decyzją o adekwatności
- Poleganie na BCR dla transferów wewnątrzgrupowych
- Zastosowanie konkretnej derogacji (np. wyraźna zgoda na okazjonalne transfery)
Które kraje mają najsurowsze ograniczenia dotyczące transferu danych
Chiny i Rosja wprowadzają najsurowsze reżimy dotyczące przekazywania danych transgranicznych na świecie. Chiński PIPL (obowiązujący od 1 listopada 2021 roku) wymaga wyraźnej zgody, ocen bezpieczeństwa przeprowadzanych przez Administrację Cyberprzestrzeni Chin (CAC) dla niektórych transferów oraz standardowych umów dla innych. [3] Ustawa o Cyberbezpieczeństwie Chin dodatkowo ogranicza przekazywanie danych osobowych i "ważnych danych" zbieranych w ramach działalności w Chinach. [5]
Rosja wymaga, aby dane osobowe obywateli rosyjskich były przechowywane na serwerach znajdujących się w Rosji przed jakimkolwiek przekazem transgranicznym.
Inne jurysdykcje z zauważalnymi ograniczeniami to:
- Indie: Ustawa o Ochronie Danych Osobowych (DPDPA) ogranicza transfery do niektórych "czarnych list" krajów.
- Indonezja: Rozporządzenie rządowe 71 wymaga lokalizacji danych dla niektórych operatorów systemów elektronicznych.
- Wietnam: Ustawa o Cyberbezpieczeństwie nakłada obowiązek lokalnego przechowywania dla niektórych kategorii danych.
Czy mogę przekazywać dane osobowe do USA na podstawie GDPR
Tak, ale tylko za pośrednictwem zatwierdzonego mechanizmu. Ramy ochrony danych UE-USA (DPF), przyjęte w lipcu 2023 roku, pozwalają na transfery do certyfikowanych organizacji w USA bez SCC. [9] Jednak DPF napotkał wyzwania prawne, a organizacje powinny utrzymywać SCC jako zabezpieczenie w zapasie, biorąc pod uwagę historię unieważnienia Tarczy Prywatności w 2020 roku.
Dla amerykańskich organizacji, które nie są certyfikowane w ramach DPF, SCC pozostają głównym mechanizmem. Przepisy sektorowe w USA, takie jak HIPAA, również nakładają obowiązki na zagraniczne podmioty przetwarzające chronione informacje zdrowotne w imieniu objętych nimi podmiotów w USA. [4]
Jaka jest różnica między lokalizacją danych a ograniczeniami transferu danych
Przepisy dotyczące lokalizacji danych wymagają, aby niektóre dane były przechowywane na serwerach fizycznie znajdujących się w granicach kraju. Ograniczenia transferu danych regulują warunki, na jakich dane mogą być wysyłane za granicę, niezależnie od miejsca ich przechowywania.
Firma może przestrzegać ograniczeń transferu danych, przechowując jednocześnie dane poza granicami kraju (jeśli mechanizm transferu jest ważny). Z drugiej strony, kraj z wymaganiami dotyczącymi lokalizacji danych może nadal zezwalać na transfery transgraniczne, o ile lokalna kopia jest zachowana. Reżim Chin łączy oba te aspekty: wymaga lokalnego przechowywania dla niektórych kategorii danych i oddzielnie ogranicza transfery wychodzące. [5]
Ile kosztuje wdrożenie zgodnych przekazów danych transgranicznych
Koszty zgodności zależą od wielkości organizacji, złożoności danych i liczby zaangażowanych jurysdykcji. Nie ma jednego wskaźnika, ale następujące kategorie kosztów dotyczą większości organizacji:
- Przegląd prawny i wykonanie SCC: Od kilku tysięcy dolarów dla małych organizacji do sześciu cyfr dla przedsiębiorstw z setkami relacji z dostawcami.
- Mapowanie danych i audyty przepływów: Czas pracy personelu wewnętrznego lub opłaty dla zewnętrznych konsultantów; średnie firmy wydają zazwyczaj od 20 000 do 100 000 USD na kompleksowy audyt.
- Zatwierdzenie BCR: Proces wieloletni wymagający zaangażowania regulacyjnego; zazwyczaj zarezerwowany dla dużych międzynarodowych firm ze względu na inwestycje zasobów.
- Ciągłe monitorowanie zgodności: Coroczny przegląd decyzji o adekwatności, aktualizacji SCC i nowych wymogów jurysdykcyjnych.
Inwestowanie w platformę zarządzania zgodą, taką jak Biscotti CMP (www.biscotti-cmp.com), może zmniejszyć bieżące koszty zgodności poprzez centralizację rejestrów zgody i wspieranie dokumentacji podstaw prawnych transferu.
Co się stanie, jeśli firma naruszy zasady dotyczące transferu danych transgranicznych
Naruszenia GDPR związane z przekazami transgranicznymi podlegają wyższej kategorii kar: do 20 milionów EUR lub 4% globalnego rocznego obrotu, w zależności od tego, która kwota jest wyższa. Organy nadzorcze nałożyły znaczne kary za nielegalne transfery, w tym przypadki dotyczące danych wysyłanych do USA bez odpowiednich zabezpieczeń.
Oprócz kar, konsekwencje obejmują:
- Wstrzymanie operacji transferu danych przez organy nadzorcze
- Obowiązkowe audyty i plany działań korygujących
- Roszczenia cywilne od osób, których dane dotyczą
- Szkody dla reputacji i utrata zaufania klientów
Na mocy chińskiego PIPL naruszenia mogą skutkować karami do 50 milionów RMB lub 5% rocznego przychodu z poprzedniego roku, a także potencjalnym wstrzymaniem działalności. [3]
Czy potrzebuję umów dotyczących transferu danych dla danych pracowników
Tak. Dane osobowe pracowników podlegają tym samym zasadom transferu transgranicznego co dane klientów na mocy GDPR i większości innych ram dotyczących prywatności. Wiele organizacji błędnie zakłada, że umowy o pracę lub wewnętrzne polityki HR są wystarczające; nie zastępują one potrzeby posiadania ważnego mechanizmu transferu.
Dla międzynarodowych grup BCR są często najbardziej praktycznym rozwiązaniem dla danych pracowników, ponieważ obejmują wszystkie transfery wewnątrzgrupowe w ramach jednego zatwierdzonego systemu. Alternatywnie, SCC mogą być wykonane między podmiotem zatrudniającym a podmiotem odbierającym w ramach grupy.
Jakie są powszechne błędy, które popełniają firmy przy międzynarodowych transferach danych
Najczęstsze niepowodzenia w zakresie zgodności w przekazach danych transgranicznych obejmują:
- Nie mapowanie przepływów danych: Organizacje nie mogą zastosować odpowiedniego mechanizmu, jeśli nie wiedzą, dokąd dane trafiają. Badanie z 2021 roku wykazało, że 56% analizowanych aplikacji mobilnych mogło być potencjalnie niezgodne z wymaganiami transferu GDPR, głównie z powodu nieujawnionych przepływów danych stron trzecich. [7]
- Używanie przestarzałych SCC: Organizacje, które nie przeszły z przestarzałych SCC do wersji z 2021 roku do terminu 27 grudnia 2022 roku, działają na nieważnych umowach.
- Zakładanie, że dostawcy chmury zajmują się zgodnością: Dostawcy chmury dostarczają umowy dotyczące przetwarzania danych, ale kontroler danych pozostaje odpowiedzialny za zapewnienie istnienia ważnego mechanizmu transferu.
- Ignorowanie łańcuchów podprzetwarzających: Gdy przetwarzający angażuje podprzetwarzającego w kraju trzecim, pierwotny kontroler musi zapewnić, że SCC lub równoważne zabezpieczenia obejmują cały łańcuch.
- Pomijanie danych pracowników: Systemy HR, platformy płacowe i narzędzia do współpracy często przekazują dane pracowników przez granice bez odpowiednich umów.
Jak mogę wiedzieć, czy moja firma musi się martwić o ograniczenia transgraniczne
Każda organizacja, która zbiera dane osobowe od mieszkańców regulowanej jurysdykcji i korzysta z narzędzi, dostawców lub infrastruktury znajdującej się poza tą jurysdykcją, musi zająć się wymaganiami dotyczącymi transferu transgranicznego. Dotyczy to nawet małych firm korzystających z platform marketingowych lub narzędzi analitycznych hostowanych w USA.
Użyj tej zasady decyzyjnej:
- Jeśli zbierasz dane od mieszkańców UE/EOG i korzystasz z jakiegokolwiek dostawcy spoza EOG, obowiązują zasady transferu GDPR.
- Jeśli przetwarzasz dane mieszkańców Korei Południowej i dzielisz się nimi z podmiotami zagranicznymi, obowiązuje PIPA.
- Jeśli działasz w Chinach i przekazujesz dane osobowe lub "ważne dane" poza Chiny, obowiązują PIPL i Ustawa o Cyberbezpieczeństwie.
- Jeśli jesteś podmiotem amerykańskim otrzymującym dane osobowe z UE, potrzebujesz albo certyfikacji DPF, albo SCC od swoich partnerów z UE.
System APEC Cross-Border Privacy Rules (CBPR) oferuje ścieżkę certyfikacji dla organizacji działających w krajach członkowskich Azji i Pacyfiku, zapewniając uznawany system zgodności dla transferów wewnątrz APEC. [9]
FAQ
Jaki jest najprostszy sposób prawny na transfer danych między krajami?
Przekazywanie danych do kraju z decyzją o adekwatności UE jest najprostszą drogą w ramach GDPR, ponieważ nie są wymagane dodatkowe umowy ani zabezpieczenia. W przypadku innych miejsc, wykonanie Standardowych Klauzul Umownych z odbiorcą danych jest najprostsza opcją.
Czy SCC są wymagane dla każdego międzynarodowego transferu?
Nie. SCC są wymagane przy transferze danych z EOG do kraju bez decyzji o adekwatności oraz gdy nie stosuje się żadnego innego ważnego mechanizmu (BCR, wiążące derogacje). Transfery do krajów z zatwierdzonymi decyzjami o adekwatności nie wymagają SCC.
Czy GDPR dotyczy firm spoza UE?
Tak. GDPR dotyczy każdej organizacji, która przetwarza dane osobowe mieszkańców EOG, niezależnie od tego, gdzie ta organizacja jest zarejestrowana, jeśli oferuje towary lub usługi mieszkańcom EOG lub monitoruje ich zachowanie.
Czym jest Ramy Ochrony Danych UE-USA?
Ramy Ochrony Danych UE-USA to mechanizm adekwatności przyjęty w lipcu 2023 roku, który pozwala certyfikowanym organizacjom w USA otrzymywać dane osobowe z EOG bez SCC. Organizacje muszą samodzielnie certyfikować się w Departamencie Handlu USA i zobowiązać się do przestrzegania określonych zasad ochrony danych.
Czy sama zgoda może uzasadniać transfer transgraniczny na podstawie GDPR?
Wyraźna zgoda może służyć jako derogacja dla okazjonalnych transferów, ale nie jest zrównoważonym mechanizmem dla systematycznych lub dużych transferów. Organy nadzorcze ostrzegły przed poleganiem na zgodzie jako głównym mechanizmie transferu dla rutynowych operacji biznesowych.
Czym jest Ocena Wpływu Transferu (TIA)?
TIA to analiza, którą organizacje muszą przeprowadzić przed poleganiem na SCC, aby ocenić, czy ramy prawne kraju docelowego podważają ochronę w SCC. Stała się obowiązkowym krokiem po orzeczeniu Schrems II w 2020 roku.
Czy PIPA obejmuje dane B2B?
PIPA obejmuje informacje osobowe osób fizycznych. Informacje kontaktowe dotyczące firm (imię, e-mail służbowy, telefon służbowy) mogą wchodzić w zakres PIPA w zależności od sposobu ich przetwarzania, więc organizacje nie powinny zakładać, że dane B2B są automatycznie zwolnione.
Jak długo trwa zatwierdzenie BCR?
Zatwierdzenie BCR zazwyczaj trwa od dwóch do trzech lat, w zależności od złożoności grupy korporacyjnej i reakcji wiodącego organu nadzorczego. Jest to proces wymagający dużych zasobów, najlepiej dostosowany do dużych międzynarodowych firm.
Jaką rolę odgrywa platforma zarządzania zgodą w zgodności z przepisami transgranicznymi?
Platforma zarządzania zgodą, taka jak Biscotti CMP (www.biscotti-cmp.com), pomaga organizacjom rejestrować, przechowywać i wykazywać prawne rejestry zgody, które są istotne, gdy zgoda jest używana jako podstawa prawna przetwarzania lub transferu. Wspiera również obowiązki przejrzystości, ujawniając odbiorców danych osobowych użytkownikom.
Czy są kary za używanie przestarzałych SCC?
Tak. Używanie SCC sprzed 2021 roku po terminie przejścia 27 grudnia 2022 roku czyni mechanizm transferu nieważnym, narażając organizację na te same kary, co brak jakiegokolwiek mechanizmu.
Podsumowanie
Przekazywanie danych transgranicznych znajduje się na styku operacji biznesowych i zobowiązań regulacyjnych, a krajobraz zgodności stał się znacznie bardziej złożony od 2021 roku. GDPR, PIPA, chiński PIPL i rosnąca liczba krajowych ram wprowadzają różne wymagania, a organizacje, które traktują zgodność jako jednorazowe ćwiczenie, a nie jako ciągły program, narażają się na realne ryzyko egzekwowania przepisów.
Wykonalne kroki na 2026 rok:
- Przeprowadź audyt przepływu danych, aby zidentyfikować każdy przekaz transgraniczny, który dokonuje Twoja organizacja, w tym te przez dostawców i podprzetwarzających.
- Zweryfikuj, czy Twoje mechanizmy transferu są aktualne: potwierdź, że SCC są wersjami z 2021 roku, sprawdź, czy decyzje o adekwatności obejmują Twoje kraje docelowe i zaktualizuj wszelkie wygasłe lub brakujące umowy.
- Oceń ekspozycję na Chiny i APAC oddzielnie, ponieważ PIPL i lokalne przepisy dotyczące lokalizacji danych wymagają odrębnych kroków zgodności poza środkami zgodnymi z GDPR.
- Dokumentuj Oceny Wpływu Transferu dla wszystkich transferów opartych na SCC do krajów bez adekwatności, szczególnie do Stanów Zjednoczonych.
- Wdroż rozwiązanie do zarządzania zgodą, takie jak Biscotti CMP (www.biscotti-cmp.com), aby utrzymać audytowalne rejestry zgody i wspierać ujawnienia przejrzystości dla osób, których dane dotyczą.
- Monitoruj rozwój regulacyjny, w tym status prawny Ram Ochrony Danych UE-USA oraz wszelkie nowe decyzje o adekwatności wydane przez Komisję Europejską.
Organizacje, które wbudowują zgodność z przepisami dotyczącymi przekazywania danych transgranicznych w swoje procesy operacyjne, zamiast traktować to jako formalność prawną, są lepiej przygotowane do globalnej ekspansji bez zakłóceń regulacyjnych.
Źródła
[1] Cross Border Transfers - https://provahq.io/frameworks/gdpr/cross-border-transfers/?utm_source=openai
[2] Standard Contractual Clauses Scc Sv - https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_sv?prefLang=sv&utm_source=openai
[3] Cross Borders Data Transfers PIPL - https://securiti.ai/blog/cross-borders-data-transfers-pipl/?utm_source=openai
[4] Cross Border Data Transfers Regulations And Compliance - https://legalclarity.org/cross-border-data-transfers-regulations-and-compliance/?utm_source=openai
[5] Summary Of The PRC Cybersecurity Law - https://www.crowell.com/en/insights/client-alerts/summary-of-the-prc-cybersecurity-law?utm_source=openai
[6] GDPR V PIPA May 2023 Update - https://www.dataguidance.com/sites/default/files/gdpr_v_pipa_may_2023_update.pdf?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2103.07297?utm_source=openai
[8] Iss3 - https://digitalcommons.law.uw.edu/wilj/vol29/iss3/7/?utm_source=openai
[9] Cross Border Data Transfers Compliance - https://auditdss.com/blog/cross-border-data-transfers-compliance/?utm_source=openai