数据驻留：含义、相关法律，以及怎么梳理统计数据

企业客户现在会在签约前问：你的统计数据放在哪？数据驻留就是这个问题的答案，但法律通常更关心传输和标识符，而不是服务器的地址。本文讲清这几个术语、主要规则，以及一套统计系统的数据流梳理算例。

什么是数据驻留？

数据驻留（data residency）指组织的数据在物理或地理上存储和处理的位置：保存这些数据的数据中心在哪个国家或地区，包括备份和服务商做的副本。一家公司说「我们的数据驻留在欧盟」，意思是存储和处理这些数据的服务器在欧盟。

选择驻留地往往出于法律原因，也出于客户信任、访问延迟和采购要求。企业客户和公共部门客户越来越多地在签约前问：统计、客服和产品数据放在哪里。

数据驻留、数据主权和数据本地化的区别

驻留回答「在哪里」；主权回答「适用谁的法律」；本地化回答「能不能出境」。

不构成法律意见。

数据驻留相关的法律和规则

• GDPR（欧盟和欧洲经济区）。 GDPR 并不要求数据留在欧盟。第五章限制把数据传到欧洲经济区以外，除非有充分性认定、标准合同条款或其他保障措施。2020 年 7 月欧盟法院的 Schrems II 判决废止了欧美隐私盾，此后传往美国的数据需要额外评估，直到 2023 年 7 月欧美数据隐私框架获得充分性认定；它只覆盖按框架完成认证的美国公司。
• 英国 GDPR。 传输规则类似，有英国自己的充分性规定，以及数据隐私框架的英国扩展。
• 中国（《个人信息保护法》）。 个人信息出境需要安全评估、认证或标准合同等法定条件；关键信息基础设施运营者和处理量达到规定数量的处理者，应当把在境内收集的个人信息存储在境内。
• 俄罗斯。 俄罗斯公民的个人数据必须记录、存储在位于俄罗斯的数据库里。
• 行业规则。 医疗、金融和政府合同，常常在一般隐私法之外另加位置要求。

以上是概述，不构成法律意见。具体要求取决于数据类型、行业和合同。

为什么网站统计也是数据驻留问题

网站和产品统计数据看起来无害，但通常包含个人数据：IP 地址、Cookie 或设备标识、用户 ID，有时还有带邮箱的网址。2022 年，几家欧洲监管机构认定，特定方式使用 Google Analytics 把个人数据违法传到了美国，头一个是 2022 年 1 月的奥地利数据保护机构。问题不在产品本身，而在标识符和完整 IP 在缺乏充分保护的情况下被传输。

统计数据的流转环节比多数团队以为的多：追踪脚本和它的 CDN、采集端点、事件数据库、备份、数据导出、邮件报告、AI 功能，以及任何能看到原始数据的子处理者。

算例：梳理一套统计系统的数据流

一家欧盟软件公司在企业客户做安全审查前，梳理了统计数据去过的每个地方（示例结果）：

九条数据流里，六条含个人数据，其中五条出了欧洲经济区；有两条根本没有记录传输依据。改动之后（存储和备份放到欧盟区域、采集时截断 IP、遮盖输入、导出自动过期），只剩两条出境，且都有记录，企业审查通过。统计报表本身没有任何变化。

怎么处理数据驻留

1. 梳理数据流，包括服务商的子处理者、备份和客服访问。
2. 给数据分类： 哪些是个人数据，哪些是汇总，哪些是敏感数据。
3. 先最小化，再谈搬迁。 截断 IP、去掉标识符、尽早汇总，能让大部分数据的驻留问题直接消失。
4. 按数据类别选区域，依据法律、合同和客户要求。
5. 为出境的部分记录传输依据：充分性认定、标准合同条款或其他依据，必要时做传输影响评估。
6. 问服务商对的问题： 数据存在哪、备份在哪，哪些子处理者能看到，区域外的客服人员能不能访问，能不能私有化部署。
7. 每年复查，新增服务商或功能时也要复查。

TapCub 里的数据驻留

TapCub 的合规中心按访客所在地区设置规则：欧洲经济区、英国、加州、美国其他地区、中国和其他地区，分别设定采集档位、是否需要同意、IP 地址截断几个字节、地理位置精确到什么程度（设置地区隐私规则、IP 截断和保留期）。IP 地址不存放在事件行上。中国模式会加上「同意后再初始化」的门槛和中国专属字段（中国隐私模式）。必须把全部数据放在自己机房或指定云上的组织，可以私有化部署 TapCub 的统计、行为分析和在线客服。另见 隐私设计 和 数据保留政策。

资料来源

• GDPR，Chapter V: Transfers of personal data to third countries。
• 欧盟委员会，Adequacy decisions。
• 欧盟法院，Case C-311/18（Schrems II）新闻稿（2020）。
• DigiChina，Translation: Personal Information Protection Law of the PRC。