数字化时代反兴奋剂信息跨境传输的审查制度构建

　　□  王佳音

　　运动员信息出境具有特殊性和规制需求。反兴奋剂信息出境审查以国家数据主权为基本立场，平衡反兴奋剂国家规则和国内信息保护法之间冲突，坚守保护运动员权利的导向。审查依据应根据国家机关处理个人信息的要求，选择性适用相关的信息出境审查法律规范，确保反兴奋剂信息的合法合规流动，同时保护运动员的个人信息权益，为数字时代下反兴奋剂信息跨境传输审查制度的构建提供建议。

　　运动员个人信息的特殊性

　　运动员个人信息，不仅包括基本的联系信息，还涉及生物识别数据、健康记录、运动表现数据等敏感信息，这些数据在法律主体、场景适用和信息流通方面展现出其独特性。我国《反兴奋剂规则》等体育法规采用概括方式界定运动员个人信息的内容和类型，如该规则第156条规定，全国性体育社团向反兴奋剂中心及其所属的国际单项体育联合会报告“与兴奋剂违规相关的信息”。WADA（世界反兴奋剂机构，编者注）发布《隐私和个人信息保护国际标准》，明确规定了个人信息的界定方式与反兴奋剂调查的对象。个人信息是参赛者及其他当事人的有关信息。个人信息既可以姓名、联系方式等一般信息，也可以是种族、民族、犯罪、性取向等敏感个人信息；调查对象则包括运动员及相关人员：运动员，是所有参加体育赛事的当事人；相关人员，包括教练、领队、经纪人、医护人员、家人或其他当事人。

　　运动员个人信息的法律主体特殊性体现在其身份的双重性上。作为公众人物，运动员的个人信息往往被曝光在公众视野中，受到更广泛的关注。其信息的披露已不仅关乎其个人隐私，同时也涉及商业价值和公共利益。由此，笔者认为运动员个人信息的披露程度在体育活动中的不同领域应当有不同的应用和保护需求，即强调场景适用的特殊性，要求在比赛、训练、医疗和反兴奋剂等多个场景中根据具体情境来调整运动员个人信息的使用和保护标准。

　　反兴奋剂信息跨境传输的特殊性

　　我国的个人信息保护统一立法则更强调网络数据安全领域的立法，强化国家主导的信息数据出境安全评估。2017年，《网络安全法》初步提出网络传输数据的安全审查制度；2020年，《信息安全技术个人信息安全规范》推行实施，要求跨境传输个人信息均应遵守国家信息处理相关法律规定；2021年1月1日，《民法典》正式实施,明文规定将个人隐私权和信息保护列入法律体系。此后，《数据安全法》《个人信息保护法》《网络安全审查办法》等一系列法律规范集中出台，均要求对个人数据出境进行评估和监管，初步建立起中国个人信息保护和数据安全监管框架。其中，《网络数据安全管理条例（草案）》于2022年7月被国务院列入16件拟制定、修订的行政法规；《数据出境安全评估办法》于2022年9月1日起实施，进一步明确了国家网信部门对信息数据出境的审查评估职责。

　　反兴奋剂调查区别于企业内部调查、行政调查和刑事侦查，体育领域的反兴奋剂信息出境不同于普通的个人信息出境，在适用信息保护和出境审查规则时具有特殊性。一方面，反兴奋剂信息处理同时受到国内外双重制约，国内的反兴奋剂信息处理具有公权力色彩，反兴奋剂信息的出境还须遵循部分国际惯例；另一方面，反兴奋剂信息的出境同时涉及国家和运动员个人的安全问题。因此，反兴奋剂信息出境有其独特的适用要求和规则。

　　国内层面，国家反兴奋剂机构、国家体育协会等反兴奋剂组织不能直接参照行政机关、刑事侦查机关、司法机关等普遍适用的信息出境要求，而须全面考虑特殊因素；国际层面，信息出境须顾及国际通行的既有规则、惯例，在维护国家利益和运动员合法权益基础上开展信息传输合作和出境审查。

　　国内外反兴奋剂信息跨境传输审查法规范依据

　　在处理涉及反兴奋剂活动的跨境数据传输时，相关负责主体必须遵循一系列规则以确保数据的合法合规流动。国际层面，根据《国际体育赛事数据跨境传输的规则适用问题研究》，欧盟已通过GDPR（《通用数据保护条例》，编者注）确立了域外管辖规则，明确了个人数据的跨境传输必须经过严格的审查和保护措施。例如，GDPR第3条将数据保护监管扩展到欧盟境外，要求任何涉及欧盟境内个人数据的处理行为，无论处理者是否位于欧盟境内，都必须遵守GDPR的规定；第46条规定了数据传输的工具，以确保个人数据在跨境传输中的安全和保护。由此，国家机关能够通过明确的规则来处理个人信息，具有明确的理论框架和可实践的方法指导。

　　国内层面，数据限制性流动规则体系由《网络安全法》《数据安全法》和《个人信息保护法》组成，明确了数据本地化存储的原则，对重要数据和个人信息的出境设定严格要求。其中，《个人信息保护法》着重规定了个人信息出境的合规要求，包括安全评估、个人信息保护认证与境外签订合同等跨境传输办法。

　　反兴奋剂领域要求国际规则与各国国内法相结合，进而指导个人信息的跨境传输，为反兴奋剂信息的跨境传输提供审查的法律基础，使各国、各地区能够在尊重运动员隐私权的前提下有效开展反兴奋剂工作。例如，根据WADA制定的ISPPPI（《隐私与个人信息保护国际标准》，编者注）的要求，反兴奋剂组织在处理个人信息时，必须遵守适用的国内法律，确保个人信息的保护在全球范围内得到统一和协调。该规定不仅为反兴奋剂活动中个人信息的处理明确了国际标准，其本身更是对于国际规则与国内法结合运用的再次强调。

　　反兴奋剂信息跨境传输审查制度的构造路向

　　（一）明确审查评估主体

　　我国信息保护相关法律根据信息内容等，设置了不同的出境审查评估方式，反兴奋剂信息跨境传输的内容和量级直接决定审查评估的主体选择。一般情况下的信息出境由信息控制主体进行审查评估，通常为负责收集、整理、对外传输信息等信息处理工作的机构或组织。我国《反兴奋剂规则》第4条规定，中国反兴奋剂中心履行中国国家反兴奋剂机构的职责，中国反兴奋剂中心可以将反兴奋剂工作委托给其他第三方，中国奥委会、全国性体育协会、赛事组织结构、运动员管理单位等在各自职责范围内依法依规开展反兴奋剂工作。

　　可见，中国反兴奋剂中心是法定的国家层面的反兴奋剂组织，负责指导全国范围内的反兴奋剂工作，是从行业管理视角进行的内部审查评估。相对于国内体育协会、奥委会、赛事组织者等组织而言，能更精准地把握信息管理的政策和要求。因此，国内反兴奋剂工作有关组织收集的反兴奋剂相关信息需要跨境传输时，由中国反兴奋剂中心进行审查评估较为适宜。进一步而言，其内部可依法设立个人信息保护负责人或专责部门，制定关于运动员信息保护的规章和管理制度，对内部业务人员开展个人信息保护的安全教育和培训，提升审查评估能力。

　　此外，国家网信部门等机关也可以成为反兴奋剂信息出境的审查评估主体。据《个人信息保护法》第36条规定，国家机关确需向境外提供信息，应当进行安全评估，可以要求有关机关提供协助和支持。按照《个人信息保护法》的规定和反兴奋剂主体“公共管理组织”的定位，国家网信部门等行业主管机关可以在反兴奋剂主体需要的时候介入安全评估过程。

　　（二）规范审查评估内容

　　国内信息保护法律规定要求处理个人敏感信息和向境外提供个人信息均应进行个人信息保护影响评估，审查评估的主体类型直接影响评估的侧重点和内容。

　　关于中国反兴奋剂中心的审查评估内容。

　　其一，审查评估境外信息接收方的类型，包括境外信息接收方是否与我国签订关于信息出境的国际条约，以及我国加入的反兴奋剂国际条约是否对此类信息出境进行规制。按照《个人信息保护法》对个人信息跨境提供的要求，如我国缔结或者参加的国际条约、协定对向中华人民共和国境外提供个人信息的条件有规定，可以参照相关规定执行。

　　其二，审查反兴奋剂机构处理反兴奋剂信息的目的、方式是否合法和正当。《民法典》第1035条第1款规定，处理个人信息应当遵循合法、正当、必要原则；《个人信息保护法》第5条规定，处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。如果反兴奋剂主体违反法律规定和基本原则要求处理个人信息，此类信息可能涉嫌违法侵权而不符合跨境传输的条件，也就无法通过审查程序。

　　其三，审查反兴奋剂信息出境对运动员个人权益的影响和安全风险，即检验反兴奋剂机构向境外传输的信息中是否存在运动员个人敏感信息、传输前是否充分告知运动员相关的目的用途和风险及信息出境对运动员个人信息的影响等级。此外，需要核实跨境传输的反兴奋剂信息是否采取必要的加密等保护措施，以确保信息传输保护措施能有效防控传输风险。

　　同时，国家网信部门的审查更为侧重信息出境对国家安全、公共利益、个人或者组织合法权益带来的风险。其审查评估内容主要包括：反兴奋剂信息出境的目的、范围、方式等的合法性、正当性、必要性；境外接收方对个人信息保护的水平是否达到我国法律的要求；出境的反兴奋剂信息范围、种类；出境后是否有遭遇篡改、泄露、转移等风险可能性。

　　（作者单位：华东政法大学）