跨境数据传输法规：驾驭国际数据流

85% 的全球企业跨境传输个人数据，但只有 34% 的企业制定了适当的传输机制。 在 2020 年 Schrems II 使欧盟-美国隐私护盾失效后，跨境数据传输成为数据保护法中最复杂的领域之一。欧盟-美国数据隐私框架部分恢复了美国传输的法律确定性，但全球数据传输限制的更广泛范围继续扩大。

本指南描绘了跨境数据传输法规的现状，并为国际运营的企业提供了实用的实施指南。

要点

• 欧盟仅承认 15 个国家提供“充分”的数据保护 --- 所有其他传输都需要额外的机制
• 标准合同条款 (SCC) 是最常见的转让机制，但现在需要补充转让影响评估
• 数据本地化要求不断增长：中国、俄罗斯、印度和沙特阿拉伯限制某些数据出境
• 欧盟-美国数据隐私框架为进行自我认证的美国公司提供了转移机制

---

传输机制层次结构

根据 GDPR，个人数据只能使用以下机制之一离开 EEA（为了简单起见）：

1. 充分性决策

欧盟委员会已确定这些国家/地区提供了充分的保护：

如果您的数据发送到适当的国家：不需要额外的传输机制。像欧洲经济区内部转账一样处理它。

如果不在列表中：您需要以下机制之一。

2. 标准合同条款 (SCC)

最常用的传输机制。 SCC 是预先批准的合同模板，可将数据导入者绑定到 GDPR 等效保护措施。

四个模块（使用相关模块）：

实施步骤：

1. 识别 EEA 之外的所有数据传输 2.为每次传输选择合适的SCC模块
2. 填写附件（数据类别、安全措施、分处理者）
3. 对每个接收国进行转让影响评估（TIA）
4. 与数据导入者签署 SCC
5. 实施 TIA 中确定的任何补充措施

3. 具有约束力的公司规则 (BCR)

适用于跨国公司在集团实体之间传输数据。 BCR 得到主要监管机构的批准，并为全球集团内部转移提供了框架。

优点：一旦获得批准，涵盖所有集团实体和所有转移场景 缺点：审批流程需要 12-24 个月，成本高昂（10 万美元以上），仅适用于集团实体

4. 欧盟-美国数据隐私框架 (DPF)

美国公司可以根据 DPF 进行自我认证，提供类似充分性的转移机制：

1.公司在美国商务部注册 2. 公司发布符合 DPF 标准的隐私政策 3. 公司承诺遵守 DPF 原则（通知、选择、转发、安全、数据完整性、访问、追索权） 4. 需要每年重新认证

限制：仅涵盖向 DPF 认证公司的转账。在依赖此机制之前，请检查 DPF 列表。

---

转移影响评估 (TIA)

需要时

Schrems II 之后，所有基于 SCC 的向非充足国家的转移都需要 TIA。 TIA 评估接收国的法律是否破坏了 SCC 的保护。

TIA 框架

TIA 结果决策树

Does the receiving country have an adequacy decision?
  Yes --> No TIA needed
  No --> Conduct TIA
    |
    Does the receiving country have laws enabling
    disproportionate government access to personal data?
      No --> SCCs sufficient
      Yes --> Can supplementary measures effectively prevent access?
        Yes --> Implement measures + proceed with SCCs
        No --> Transfer cannot proceed

补充措施

---

数据本地化要求

有数据本地化法律的国家

对云架构的影响

数据本地化影响云基础设施决策：

---

常见场景的实际实施

场景 1：使用美国 SaaS 的欧盟公司

转移机制：首先检查供应商是否经过DPF认证。如果是，DPF 提供基础。如果没有，请实施 SCC（模块 2：控制器到处理器）。

场景 2：人力资源集中化的跨国公司

转移机制：用于组内转移的BCR，或每个实体对之间的SCC。实施 TIA 以向高风险国家转移。

场景 3：电子商务通过美国基础设施为欧盟客户提供服务

转移机制：您的欧盟实体（或欧盟代表）与您的美国基础设施之间的 SCC。使用欧盟持有的密钥加密客户数据。

场景 4：用于多国运营的 Odoo ERP

传输机制：如果托管在欧盟，则在以下情况下会发生传输：(1) 非欧盟国家/地区的员工访问系统（远程访问属于传输），(2) 数据复制到非欧盟备份位置，(3) 非欧盟国家/地区的支持人员访问客户/员工数据。为每个接入点实施 SCC，并使用 Odoo 访问组来按地理位置限制数据可见性。

---

合规检查表

• 映射所有跨境数据传输（什么数据、在哪里、传输给谁、为什么）
• 验证每个接收国的充足性状态
• 为资金不足的国家实施适当的转移机制（SCC、DPF、BCR）
• 完成基于 SCC 的转移的转移影响评估
• 在 TIA 发现风险时实施补充措施
• 更新隐私政策以披露国际转账
• 在供应商 DPA 中包含转让条款
• 每年或在国家法律发生变化时审查转移机制
• 保存所有转移评估和决定的文件

---

常见问题

欧盟-美国数据隐私框架值得信赖吗？

DPF 目前有效，为向经过认证的美国公司转账提供了法律依据。然而，它面临着类似于使安全港和隐私盾无效的法律挑战（La Quadrature du Net）。谨慎的组织使用 DPF，但也有 SCC 作为备份传输机制。如果 DPF 失效，您可以回退到 SCC，而不会中断数据流。

如果我们在没有有效机制的情况下传输数据会发生什么？

未经授权的转让属于直接违反 GDPR 的行为，最高可处以 2000 万欧元或全球年营业额 4% 的罚款。除了罚款之外，监管机构还可以下令暂停数据传输，这可能会扰乱业务运营。 Meta 于 2023 年因未经授权的欧盟-美国转账而被罚款 12 亿欧元，这是 GDPR 有史以来最大的罚款。

SCC 是否涵盖所有类型的数据传输？

SCC通过四个模块覆盖了大部分商业数据传输场景。然而，SCC 不适合由行使公共权力的公共当局转让。对于这些情况，国际协议或第 49 条规定的特定减损可能适用。

跨境要求如何影响我们的 Odoo 部署？

如果您的 Odoo 实例托管在欧盟并由欧盟以外的员工或合作伙伴访问，则每个远程访问点都构成一次数据传输。实施 Odoo 访问组以确保非欧盟用户只能看到他们需要的数据。使用 VPN 连接进行加密远程访问。如果在欧盟境外托管 Odoo，请与托管提供商一起实施 SCC 并确保数据库加密。 ECOSIRE 的 Odoo 基础设施服务 包括合规性感知部署配置。

---

接下来会发生什么

跨境传输合规性是数据治理难题的一部分。将其与数据治理基础知识、与国际供应商进行 DPA 的供应商合同管理 以及用于劳动力数据传输的员工数据隐私 相结合。

联系 ECOSIRE 获取跨境合规咨询和国际数据流映射。

---

由 ECOSIRE 发布——帮助企业充满信心、合规地跨境移动数据。