数据跨境合规一般涉及两个问题，一是本地化要求；二是数据跨境传输合规要求。下文将聚焦于上述角度，根据《区域全面经济伙伴关系协定》（Regional Comprehensive Economic Partnership，以下简称“RCEP”）缔约国数据保护专门立法，以及RCEP禁止性规定及其例外规范探讨数据跨境合规要求。

RCEP未进一步规定何为“合法的公共政策目的”以及“基本安全利益”，仅提出“确认实施此类合法公共政策的必要性应当由实施的缔约方决定”。我们认为在不构成不合理的歧视或变相的贸易限制的范围内，缔约国可广泛解释“合法的公共政策目的”以及“基本安全利益”的内涵和外延。

根据RCEP第12章第14条第2款以及第12章第15条第2款的脚注“柬埔寨、老挝人民民主共和国和缅甸在本协定生效之日起五年内不得被要求适用本款，如有必要可再延长三年。越南在本协定生效之日起五年内不得被要求适用本款（ Cambodia, Lao PDR, and Myanmar shall not be obliged to apply this paragraph for a period of five years after the date of entry into force of this Agreement, with an additional three years if necessary. Viet Nam shall not be obliged to apply this paragraph for a period of five years after the date of entry into force of this Agreement）”。据了解，RCEP于2022年1月1日起对柬埔寨、老挝、越南生效，因此柬埔寨、老挝在2027年1月1日或2030年1月1日之前以及越南在2027年1月1日之前，可不适用RCEP上述规定，从而进一步要求数据本地化以及禁止数据跨境传输。

提示注意的是，柬埔寨、老挝以及越南，暂未正式颁布个人信息保护专门立法，但可根据其他法律进行数据跨境传输限制。

若企业数据处理行为涉及RCEP缔约国，如日本、韩国、澳大利亚、新西兰、东盟成员国等国家，首先需关注是否符合上述国家数据保护专门立法规定的域外适用条件，其次需进一步考虑该国是否存在数据本地化以及数据跨境传输要求，最后可判断该等数据跨境要求是否与RCEP数据跨境合规之禁止性规定及其例外规范相冲突，以此来指导以韩国、日本、东盟成员国、澳大利亚、新西兰为目标国的数据跨境行为。