《数字服务法》（DSA）
欧盟第2022/2065号条例，即通常所称的《数字服务法》，对“中介服务”提出了多项要求。该法案将中介服务分为三类：“单纯传输”“缓存”和“托管”。所有中介服务均须遵守相关主管部门的命令，删除非法内容或禁止访问此类内容；在欧盟指定一名代表；并公布服务条款与条件的相关信息。托管服务须承担更多义务，尤其是“在线平台”和“超大型在线平台”。
除属于“缓存”服务的F5 Distributed Cloud CDN外，F5的所有商业服务均属于“单纯传输”服务。为履行《数字服务法案》（DSA）规定的义务，F5已指定NGINX作为其在欧盟的代表，地址为3/F, 89/90 South Mall, Cork, Ireland T12 RPP0。有关使用我们服务的条款和条件，详见《可接受使用政策》。
常见问题
主要营业地位于欧洲、中东或非洲（统称EMEA）的客户，通过与F5 Networks, Ltd.签订合同获得服务。F5 Networks总部位于英国并依据英国法律注册成立，是F5在EMEA地区的运营中心。欧盟和瑞士主管机构已认可英国法律对个人数据提供的保护，完全符合《通用数据保护条例》（GDPR）第五章及瑞士同等法律的要求。
总部位于亚太（APAC）地区的客户与新加坡的F5 Networks Singapore Pte Ltd.签订合同。所有其他客户（包括总部位于北美的客户）均与美国的F5, Inc.签订合同。对于所有F5服务，《数据保护附录》（DPA）（以及作为其补充的《服务特定条款》）均包含标准合同条款，以及适用于依法向F5传输数据的所有情形的相关规定。对于向英国传输数据，这些标准合同条款还附有英国政府发布的国际数据传输附录；对于向瑞士传输数据，还附有瑞士联邦数据保护和信息专员发布的补充条款。对于相关服务，F5还持续持有欧盟—美国数据隐私框架、欧盟—美国数据隐私框架英国扩展以及瑞士—美国数据隐私框架下的认证。
是的。对于相关服务，F5已获得欧盟—美国数据隐私框架、欧盟—美国数据隐私框架英国扩展以及瑞士—美国数据隐私框架的认证，并持续保持认证有效。
不会。这两项美国法律条款是Schrems II判决关注的重点，但不会影响F5。无论如何，在Schrems II判决后，随着美国法律的完善，欧盟委员会在《根据欧洲议会和欧盟理事会第(EU) 2016/679号条例，就欧盟—美国数据隐私框架下个人数据保护的充分水平作出的2023年7月10日实施决定》中认定，此前对这些条款的担忧已得到解决。欧洲数据保护委员会（EDPB）分析了欧盟委员会的决定，并在《2023年7月10日通过充分性决定后，根据GDPR向美国传输数据的信息说明》中指出：“美国政府在国家安全领域实施的所有保障措施（包括救济机制）均适用于传输至美国的所有数据，无论使用何种传输工具。”（也就是说，无论数据是通过数据隐私框架、标准合同条款还是其他传输工具传输至美国。）
F5从未收到过依据《外国情报监视法》第702条提出的数据访问请求或任何其他类型的指令。许多F5服务并不属于可被FISA 702指令指定为目标的服务类型。此外，对于几乎所有F5服务客户，F5均不处理可被FISA 702指令指定为目标的数据类型。此类指令适用于涉及大规模杀伤性武器扩散、外国势力袭击美国的计划、外国间谍秘密活动的情报，或FISA所定义的其他“外国情报信息”的数据。
F5也不可能收到依据EO 12333提供客户数据的命令，因为并不存在所谓的EO 12333命令。EO 12333规定了美国情报界内部的某些职责分工，但并未对私营部门施加任何义务。F5对传输中的数据进行加密，并采取其他安全措施，以防范上文所述欧盟委员会于2023年作出充分性认定之前，Schrems II案法院所担忧的理论性拦截活动。
《澄清境外合法使用数据法案》（CLOUD Act）并未赋予美国政府新的权力，要求在美国开展业务的公司提供数据。美国政府不会签发所谓的“CLOUD Act命令”，F5也从未收到过此类命令。CLOUD Act明确规定：当美国政府遵循适当的现有法律程序（例如取得联邦地区法院法官签发的命令），要求公司提供其拥有、保管或控制的特定数据时，公司不得以数据所在地为由对该命令提出异议（但如果该命令与数据所在地的现行法律冲突，公司仍可据此提出异议）。CLOUD Act早在2020年Schrems II判决之前就已生效。在Schrems II判决之后，美国对政府访问数据的相关规则和实践进行了多项改进。随后，欧盟委员会评估了这些改进，并认定，就《通用数据保护条例》（GDPR）而言，目前适用于美国政府数据调取要求的美国法律提供了充分的保护水平。请参阅《根据欧洲议会和欧盟理事会第(EU) 2016/679号条例于2023年7月10日作出的实施决定》，该决定涉及欧盟—美国数据隐私框架下个人数据的充分保护水平。欧洲数据保护委员会（EDPB）分析了该决定，并在其《2023年7月10日通过充分性决定后，根据GDPR向美国传输数据的信息说明》中指出：“美国政府在国家安全领域实施的所有保障措施（包括救济机制）均适用于传输至美国的所有数据，无论采用何种传输工具”（即无论数据是通过数据隐私框架、标准合同条款还是其他传输工具传输至美国）。
鉴于F5与客户关系的性质，以及F5为客户处理的数据有限（且通常经过加密），此类要求极为罕见。对于任何索取客户数据的要求，F5的政策是：（i）在法律允许的情况下及时通知客户，并配合客户解决相关事宜；或（ii）如果通知客户属于违法行为，则尝试引导提出要求的主管机关直接联系客户。如果这些措施未能解决问题，F5将评估该要求的合法性，并通过上诉等方式提出一切合理异议，包括审查遵从该要求是否会违反GDPR或其他相关法律。在此过程中，F5将请求暂停执行该要求，直至有管辖权的司法机关就其实质问题作出裁决，包括完成任何上诉程序。在这种情况下，除非且直至适用的程序规则要求披露数据，否则F5不会披露任何数据。如果最终必须披露，F5将仅披露为遵从原要求中仍然有效的部分所必需的最少数据。
F5的每份客户服务合同（即《最终用户服务协议》（EUSA））均包含《服务特定条款》，这些条款纳入并补充了F5的《数据保护附录》（DPA）。该附录包含标准合同条款，以及适用于受英国或瑞士法律管辖的数据传输的相关补充条款。在某些情况下，客户与F5会签订另一份纳入相同保护措施的合同，例如针对特定F5支持服务的合同。客户还可参阅https://www.dataprivacyframework.gov/list。该页面显示，F5已通过欧盟—美国数据隐私框架、欧盟—美国数据隐私框架英国扩展以及瑞士—美国数据隐私框架的认证。
对于向包括英国在内的“第三国”的F5实体传输数据，F5及其客户依据《欧盟委员会标准合同条款国际数据传输附录》。该附录可在英国信息专员办公室网站上获取，并以引用方式纳入F5的数据处理附录（DPA），适用于受英国法律管辖的相关数据传输。此外，对于某些服务，F5已获得《欧盟—美国数据隐私框架》英国扩展机制的认证。
