（一）加强与国际标准的对接
在香港，有关个人资料的收集、持有、处理及使用（包括跨境转移）均受《个人资料（私隐）条例》的约束，因此，修改和完善《个人资料（私隐）条例》对香港深化中美数字贸易、加快成为全球数据流动中心意义重大。同时，一旦确立中国内地、香港、美国互认的标准合同条款，将极大便利三地企业间的数字贸易。
首先，修改和完善《个人资料（私隐）条例》。健全以《个人资料（私隐）条例》为核心的信息、数据法律法规，是促进数据在香港高效流动、适应日新月异的数字经济和国际法律环境的制度保障。在修改和完善的过程中，需尽量做到兼顾中国内地和美国的相关法律。例如，将“个人资料”的定义范围扩大为中国内地与美国对于“个人信息”定义，以便“车同轨，书同文”，助推三地个人信息保护水平的一致。关于《个人资料（私隐）条例》中处罚措施的完善，可径直规定违反条例的行为将受到何种处罚，与中国内地“高达5000万人民币或上一年度营业额5%”、美国“最高7500美元的民事处罚，以及向每位消费者支付最高750美元的赔偿金”惩罚程度相匹配。
其次，建立三地统一的标准合同。鼓励香港牵头与中美协商制定三地流通的标准合同，通过与中国内地和美国数据保护机构的深入沟通，把握各自的数据保护要求和合规性标准，最大程度找到共同点，制定三方都能接受的合同条款。同时，应考虑不同法域的管辖和适用问题。在国际法框架下，合同条款应载明丰富的法律选择和有力的争议解决机制，并体现出香港作为牵头方“超级联系人”的功能定位，以便在发生争议时能及时解决。此外，在实施成熟后，可建立标准化合同的格式合同，有效降低企业个人信息跨境流动相关业务的合规成本，促进三地商业交流与合作。
（二）主动牵头制定三地数据流动协议
2023年12月，国家互联网信息办公室与香港创新科技及工业局共同制定了《粤港澳大湾区（内地、香港）个人信息跨境流动标准合同实施指引》（以下简称“《指引》”），《指引》指出个人信息处理者和境外接收方应分别向属地监管部门备案，并接受属地监管机构的监管。这一规定不仅保障了数据跨境流动的合规性和安全性，也为两地提供了共同遵循的监管框架。本文建议，香港可以《欧美数据隐私框架》为基础，围绕《指引》要求，制定三地数据流动协议。具言之：借鉴《欧美数据隐私框架》，依托多边协议打通跨境数据流，开辟数据出境的便捷通道，完善数据出境安全管理制度。以区域为基础建立的合作框架便于香港与中国内地、美国就数据保护议题充分沟通各自的诉求和关切点，力争协商一致达成规避风险的配套系列措施，并定期通报各方落实、执法、监督进展等情况。在监管方面，处理三地不同监督管理机构如何监管数据跨境流动的问题，可立足于《指引》，明确数据流动的法律框架与合作机制，例如个人信息处理者、信息中转方、境外接收方应分别向各自属地监管部门备案，并接受其管理。同时采用数据出境事中事后保障机制，构建多元化权利救济机制，包括但不限于：（1）与属地监管机构直接沟通或申请司法救济；（2）向独立的争议解决机构起诉；（3）申请由下文详细提及的国际调解院进行仲裁。此外，可建立数据出境安全保障机制，对数据出境情况进行不定期抽查，并丰富投诉举报渠道，强化出境数据全生命周期风险防范与安全管理。 |
