近年来，因为经济的全球化，世界各国的经济往来越来越密切，货物、资本、服务在全球范围内流动。同时，随着互联网技术的发展，其虚拟性、开放性和全球性突破了主权国家的实体物理边界，海量的数据和个人信息跨国跨洲流动。

这其中，有一些外国公司、组织或个人会通过直接或间接的方式在我国境内或跟境内自然人之间产生联系，有一些会涉及到个人信息或其他数据，那么，到底哪些外国公司、组织或个人的哪些行为会受到我国个人信息和数据保护法的约束呢？

答案就在我国《个人信息保护法》第3条，该条规定的内容如下：“在中华人民共和国境内处理自然人个人信息的活动，适用本法。在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动有下列情形之一的，也适用本法：（一）以向境内自然人提供产品或者服务为目的；（二）分析、评估境内自然人的行为；（三）法律、行政法规规定的其他情形。”，即以属地管辖为基础，以必要的保护管辖为辅助。

一、以属地管辖为基础。

《个人信息保护法》第3条第1款规定：在中华人民共和国境内处理自然人个人信息的活动，适用本法。

它的涵义包括以下几点：

1、任何组织或个人，不管是国内的公司、组织或个人，还是国外的公司、组织或个人；不管是法人组织还是非法人组织；不管是官方组织还是民间组织，只要在我国国境内处理自然人的个人信息，都适用《个人信息保护法》。

即便是外国的驻华大使馆或者联合国驻华机构，只要它们在中国境内处理个人信息，也受到该法律的约束。

2、该法规定的个人信息处理活动的范围，根据该法第4条第2款的规定，包括但不限于个人信息的收集、存储、使用、加工、传输、提供、公开、删除等等。

二、以必要的保护管辖为辅助。

《个人信息保护法》第3条第二款规定了必要的保护管辖原则。该条款借鉴了欧盟《一般数据保护条例》的目标指向原则，对符合特定条件的一些在我国境外处理我国境内的自然人的个人信息的活动纳入规制范围。

具体而言，包括以下三类活动：

（一）以向境内自然人提供商品或服务为目的。

境外的机构、公司等处理我们境内自然人的个人信息的目的是为了向这些自然人提供商品或服务。

需要注意的是，不管这些境外机构、提供提供的商品或服务是有偿的，还是无偿的，都受到本法的规制。

同时，境内自然人既包括境内的中国公民，也包括在我国境内学习、居住、工作或停留的外国人以及无国籍认识。

到底如何判断境外主体的个人信息处理行为是否以向我国境内自然人提供产品或服务为目的呢？具体而言，可以从以下几个方面入手：

1. 提供产品或服务时是否使用中文或我国其他民族的语言；
2. 为产品或服务买单时是否使用了人民币，或者是否使用我国境内常用的微信、支付宝等方式进行支付，或者是否使用我国境内的银行卡或信用卡进行支付；
3. 是否以快递等方式向我国境内自然人交付商品，或者是否以网络传输的方式为境内自然人提供服务；
4. 境内自然人用境外网站时，其域名是否指向我国？

（二）分析、评估境内自然人的行为

什么是分析、评估境内自然人的行为？《一般数据保护条例》在导言部分第24条提出了相应的标准，即：为了判断上述处理活动是否可以被认定为是对数字主体在欧盟境内发生行为的监控，需要确定1、自然人是否在互联网上被追踪记录，2、或者潜在地后续使用个人数据处理技术，包括对自然人进行数据画像特别是做出自动化决策，或者对其个人偏好、行为或态度做出分析或预测”。

根据《个人信息保护法》第73条第2款的规定，自动化决策，是指通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行决策的活动。

（三）法律、行政法规规定的其他情形

这是一个兜底条款，以避免以上的列举不全面。

以上是我国对个人信息和数据的管辖范围。

而欧盟《一般数据保护条例》的管辖范围比我国《个人信息保护法》的管辖范围还要广。前者还适用于在欧盟境内设有经营场所的控制者或处理者所开展的活动场景中的个人数据处理行为，无论该处理行为是否发生在欧盟境内。

作者：周湘茂（又名：周翊棋）北京炜衡（广州）律师事务所高级合伙人，研习法律二十几年，办案数量近千件；联系方式：13697438642。

主要业务领域：经济犯罪、数据相关犯罪及涉外数据合规、民刑交叉案件

社会职务及业绩：
广东省律协协会合规与风控委员会委员；广东省律师协会涉外律师新锐人才；广州市从化区人民检察院涉案企业合规试点改革第三方组织专业人员；湘潭大学诉讼法学硕士、法治湖南建设与区域社会治理协同创新中心研究员、北大法宝的签约作者、无讼专栏作者。
办案期间，撰写了多篇理论和实务文章，其中有多篇文章发表在《中国律师》《广东律师》《苏州检察》《广州律师》等权威刊物，多次获得广东省律师协会、广州市律师协会颁发的年度理论成果奖；多个成功代理的案件被广州市律师协会评为年度业务成果奖。