衡力斯洞察 | 英属维尔京群岛注册投资基金的数据保护
《2021年维尔京群岛数据保护法》（该法）现已生效。该法规定了投资基金处理在投资人引导程序中不可避免地收集的个人数据方面的若干义务。
为了确保遵守该法，投资基金应：
- 向投资人提供隐私通知
- 更新其发行和认购文档
- 重新审视与第三方（最为重要的是基金管理人）的服务协议
概述
该法对数据控制者如何处理、使用及保留个人数据进行规范。任何符合“数据控制者”定义之人（在英属维尔京群岛注册的投资基金显然位列其中）当前必须遵守该法中有关基金处理任何个人数据的七项原则。如果数据控制者聘请第三方（例如行政管理人或投资管理人）代表其处理个人数据（该法中定义为“数据处理者”），数据控制者必须确保数据处理者对于个人数据采取适当的保护措施。
除了规范数据控制者如何处理、使用及保留个人数据以外，该法还列明个人控制其个人数据的权利，并规定一系列违法行为以及确保合规的执法措施。该法总体上反映了《通用数据保护条例》（GDPR）和《开曼群岛数据保护法》中的规定。许多客户已熟知此两项法案，但应注意其中的一些差异。
该法适用于投资基金
任何以英属维尔京群岛公司或合伙企业形式构建的投资基金，或是任何在英属维尔京群岛注册并作为投资基金普通合伙人的外国公司均将受制于该法且属于数据控制者。
按照惯例，英属维尔京群岛投资基金的投资人将向投资基金提供某些个人身份信息，例如姓名、地址、出生日期、银行详细信息等。这些被视为“个人数据”。
尽管该法项下被收集数据之人（“数据主体”）必须为自然人，但该法仍适用于为其受益所有人、董事、员工和股东提供个人数据的公司投资人。
即使个人资料涉及的个人不在英属维尔京群岛或是并非英属维尔京群岛公民，该法仍然适用。
投资基金必须如何行事方能做到该法合规？
作为数据控制者，投资基金必须确保其遵守该法中包含的七项数据保护原则。如欲了解更多信息，请参阅我们的指南——《英属维尔京群岛引入数据保护制度》。
实际操作中投资基金可采取以下行动来证明其遵守数据保护原则：
- 向现有投资人发送隐私通知（无论作为单独文件或发行文件更新的部分内容）
- 更新认购文件，使之包含面向新投资人的隐私通知，并获取某些确认、声明和保证
- 更新发行文件
- 更新与任何第三方的协议——如果该第三方因代表数据控制者处理个人数据而被视为数据处理
隐私通知
如果投资基金已经受制于《通用数据保护条例》，则可能已经采用符合《通用数据保护条例》的隐私通知。此种情况下仅须对隐私通知稍作修改以反映该法内容。
如果投资基金尚未采用隐私通知，则应准备隐私通知以便向其投资人传达所需信息。我们很乐意在贵方需要时协助起草该文件。
无论处于何种情况，隐私通知均应发送给现有投资人和/或发布在投资人或基金管理门户网站上。
认购文件
投资基金的认购协议亦须更新，以便包含隐私通知及投资人的某些确认。协议中还应包含投资人的声明和保证，表示其已收到隐私通知且已将通知交给任何数据已予提供之人。贵方还应考虑贵方的文件是否需要包含同意开展该法规定的特定活动（例如处理敏感个人数据——如适用）的条款。
重点在于该法高度重视数据主体对其个人数据处理做出“明示同意”这一概念。并且认购文件的措辞应体现相应的内容。熟悉《通用数据保护条例》和/或《开曼群岛数据保护法》的基金应予注意，该法并未规定适用于处理个人数据的“合法权益”理由，因此涉及处理个人数据的某些后台或中台工作需要获取数据主体的明示同意。
发行文件
发行文件应予更新以包含该法的简要披露和概述。如果没有发行文件更新计划或是投资基金目前并不接纳新投资，则应准备附带隐私通知的投资人通告并发送给投资人，或是发布在投资人或基金管理门户网站上。
第三方协议
投资基金的服务提供商（例如行政管理人和投资管理人）通常会作为数据处理者进入该法的监管范围。投资基金作为数据控制者有责任确保此类第三方：
- 充分保证有关即将进行的处理的技术和安排上的安全措施
- 采取合理步骤确保遵守此类措施
无论第三方供应商在英属维尔京群岛境内或境外，此项责任均适用。
因此，与相关第三方订立的服务协议应予更新以确保供应商承担适当义务。
协助进行必要的更新
尽管该法已经生效，但尚未任命英属维尔京群岛监管机构（信息专员），也未发布正式指导意见。我们预计未来数月该法的监督和执行将有所加强，因此基金尽快搭建相关文件框架非常重要。
