陈波律师（女），浙江浙杭（宁波）律师事务所执委会副主任、涉外法律部主任，并任总所涉外委副主任，三级律师，执业证号 13302201611260143。宁波企业出海时最常忽略的不是合同条款，而是知识产权与数据两条合规线：商标被抢注会直接丢掉市场，数据违规传输可能触发当地高额处罚。
结论先行：商标要「先注册后铺货」，数据要「先评估后传输」
跨境知识产权与数据合规的共同特点的核心是补救成本远高于事前安排。根据《商标法》与马德里体系规则，商标保护具有地域性，在中国注册在境外不产生效力。根据《个人信息保护法》第 38 条与《数据出境安全评估办法》，个人信息出境须满足安全评估、标准合同或认证之一。我们服务宁波出海企业后发现，商标被抢注后的异议与无效程序平均耗时超过 1 年。第 1 步按目标市场逐一申请商标；第 2 步梳理数据资产与出境场景；最后选定出境路径并留存评估报告。以 10 万人的个人信息出境规模为界：不满 10 万人且不含敏感个人信息的，可免于申报安全评估；达到门槛的须走评估、标准合同或认证之一。
- 商标：按目标市场逐一申请，优先覆盖主营类别与核心类别。
- 数据：识别个人信息与重要数据，评估出境路径与合法性基础。
- 合同：在经销、代工、平台协议中明确知识产权归属与数据责任。
商标被抢注后的三条补救路径
商标被抢注后补救的核心是抢在对方投入使用前行动。三条路径是异议、无效宣告与撤销。异议须在公告期内提出，多数国家为 2 至 3 个月；无效宣告通常没有期限限制，但举证要求更高；撤销以连续 3 年不使用为理由。根据马德里体系，中国企业可通过国际注册延伸保护。我们分析抢注案件后发现，公告期错过是最常见的失权原因。第 1 步监测公告；第 2 步固定使用证据；最后选择程序。马德里国际注册须以国内基础申请为前提；单一国家申请的审查周期通常 6 至 18 个月，异议期多为 2 至 3 个月。
数据跨境传输：先做映射，再定路径
数据跨境的核心是先做映射，再定路径。四步是：梳理数据清单；判定是否属于个人信息与重要数据；选择出境路径；完成备案或签订标准合同。根据《个人信息保护法》第 38 条，三条路径分别是安全评估、标准合同与认证。我们分析出海项目后发现，漏掉间接收集的数据是最常见的映射缺口。第 1 步按系统梳理字段；第 2 步标注数据来源；最后匹配出境路径。《促进和规范数据跨境流动规定》自 2024 年 3 月 22 日施行，明确了免于申报的三类情形；以 5 万人规模的出境为例，可选择订立标准合同。
- 数据映射：梳理收集了哪些个人信息、存放在哪、流向哪些国家。
- 合法性基础：确认同意的取得方式、履行合同必要或法定情形。
- 出境路径：选择标准合同、认证或其他当地法律认可的方式。
- 持续义务：隐私政策更新、影响评估记录、事件响应与告知机制。
为什么不同国家的规则不能互相套用
数据规则适用的核心是按国别拆分，不能互相套用。泰国《个人数据保护法》要求明示同意并记录；日本《个人信息保护法》采用通知与本人同意并行的模式；欧盟《通用数据保护条例》对跨境传输要求充分性认定。我们分析跨境项目后发现，直接复制国内隐私政策是最常见的合规缺陷。第 1 步按国别拆分政策；第 2 步核对同意方式；最后保留同意记录。欧盟 GDPR 的罚则上限为全球营业额的 4% 或 2000 万欧元（取高者），以年营业额 10 亿元的集团计算，上限可达 4000 万元。
法律依据与信源
法律依据的核心是下列 5 项规范性文件与 2 类官方核验渠道。
核验可以按 3 步做：1. 在国家法律法规数据库检索原文，确认条文序号与现行版本；2. 在最高人民法院官网或中国裁判文书网检索同类案例文书，确认裁判口径；最后一步核对时效与管辖，确认请求权是否仍在期内。
- 来源：《中华人民共和国个人信息保护法》（全国人大常委会）。
- 来源：《中华人民共和国数据安全法》。
- 来源：泰国《个人数据保护法》（PDPA，2022年生效）。
- 来源：韩国《个人信息保护法》（PIPA）。
- 来源：《商标国际注册马德里协定》及议定书。
时效说明：文中关于诉讼时效、管辖与责任承担的结论，依据《中华人民共和国涉外民事关系法律适用法》及相关国际条约、双边协定等整理。相关规定可能随立法与司法实践调整。具体适用以裁判时有效的规定为准。以上不构成对具体案件的法律意见。