随着计算机的普及和大数据、云计算、人工智能等新技术的发展,个人数据在处理后能为企业带来巨大利益。个人数据涉及个人隐私,个人数据安全问题在全球日益受到关注。欧盟是个人数据保护的重要提倡者,其个人数据保护立法在全球非常具有影响力。为了防止从欧盟境内传输到欧盟以外国家的个人数据在欧盟以外国家无法获得在欧盟境内同等程度的保护,欧盟1995年通过的《数据保护指令》中规定只有满足了特定条件,个人数据才能从欧盟境内向欧盟境外传输,条件之一是提供适当保障措施。约束性企业规则是适当保障措施之一,它是跨国企业按照欧盟要求制定的、适用于跨国企业内部的有关个人数据处理和传输的自律性规则。约束性企业规则在《数据保护指令》文本中并未正式出现,《数据保护指令》只明确列举了数据保护合同条款这一种适当保障措施。在《数据保护指令》实施期间,第29条工作组对约束性企业规则的发展起着至关重要的作用。第29条工作组认为《数据保护指令》中规定的适当保障措施应当包含约束性企业规则,并且,第29条工作组颁布了一系列文件指导跨国企业如何向欧盟申请约束性企业规则的批准。欧盟在《数据保护指令》实施将近20年之际,开始对个人数据保护法进行改革,最重要的改革成果便是《一般数据保护条例》。2018年5月,《一般数据保护条例》生效,取代了《数据保护指令》,成为欧盟个人数据保护的主要法律依据。《一般数据保护条例》对《数据保护指令》进行了修改和完善,完善之一便是确立了约束性企业规则的法律地位,正式认可了约束性企业规则是适当保障措施之一。虽然跨国企业没有法律义务必须采用约束性企业规则,但跨国企业一旦选择采用并且约束性企业规则获得了欧盟的批准,约束性企业规则就会具有法律约束力。约束性企业规则可分为两种类型,一类是数据控制者所在的企业集团的约束性企业规则,另一类是数据处理者所在的企业集团的约束性企业规则。约束性企业规则的批准程序可以分为两个阶段,首先是牵头当局的指定,其次是欧盟合作程序。目前,欧盟约束性企业规则体系和APEC跨境隐私规则体系正在积极展开合作,寻求对接。欧盟约束性企业规则对中国个人数据保护具有启示意义。约束性企业规则在欧盟的发展体现了欧盟在完善个人数据保护立法,尤其是个人数据跨境传输相关立法所做的积极努力。约束性企业规则完美呈现了如何在个人数据保护中结合行业自律与法律规制。中国政府应当完善我国个人数据保护立法,推动个人数据保护行业自律,加强个人数据保护国际合作。中国企业应积极面对全球个人数据保护标准日益提高的挑战,积极制定企业的个人数据保护规则,提高企业个人数据保护水平。