🇪🇺 欧盟数据跨境 · 核心框架
GDPR 第44-49条
充分性认定
SCCs 标准合同条款
BCRs 有约束力公司规则
跨境传输合规路径
⚖️ 数据合规专家 · 法律科技 · 跨境贸易与隐私
📜 GDPR 第44-49条 · 传输基本原则
Art. 44 一般原则
个人数据向第三国或国际组织传输，仅当符合本章条件，且不削弱数据主体权利。所有传输必须基于充分性认定或适当保障措施。
Art. 45 充分性认定
欧盟委员会认定第三国提供“足够保护水平”。认定后数据可自由传输，无需额外授权。定期复审，至少每4年一次。
Art. 46 适当保障措施
无充分性认定时，需提供适当保障，包括：SCCs、BCRs、认证机制、行为准则等。数据主体须拥有可执行权利及有效法律救济。
Art. 47 BCRs
有约束力的公司规则，经监管机构批准。适用于集团内部传输，须包含数据保护原则、权利、投诉机制等。
Art. 48 第三国判决
第三国法院或行政机构要求传输数据，仅当基于国际协定（如司法协助）才有效，否则不得直接认可。
Art. 49 特定情形例外
特定情况：数据主体明确同意、履行合同、重大公共利益、法律主张等。属于补充性路径，不得系统性使用。
✅ 充分性认定 · 现状与评估
| 国家/地区 | 认定状态 | 关键说明 |
|---|
| 🇯🇵 日本 | 充分性认定（2019） | 补充规则：公共部门除外，需额外保障 |
| 🇬🇧 英国 | 充分性认定（2021） | 过渡期后维持，定期复审 |
| 🇰🇷 韩国 | 充分性认定（2021） | 需配合《个人信息保护法》 |
| 🇨🇭 瑞士 | 充分性认定（2000/2021） | 与欧盟互认 |
| 🇦🇷 阿根廷 | 充分性认定（2003） | 早期认定，持续有效 |
| 🇺🇸 美国 | 部分（Data Privacy Framework） | 2023年新框架，需企业认证 |
🔍 充分性认定是数据传输的“黄金标准”，但仅覆盖少数国家。实务中更多依赖SCCs或BCRs。
📄 SCCs (标准合同条款) · 2021新版
- 模块化设计：C2C (控制者-控制者), C2P, P2P, P2C
- 强制条款：数据主体第三方受益权、赔偿责任、透明度义务
- 传输影响评估 (TIA)：必须评估第三国法律与实践
- 补充措施：加密、假名化、合同承诺等
- 禁止再传输：同等保护要求
- 监管机构批准：部分情形需前置
📋 SCCs 适用路径
- 数据输出方 (EU)
- 签署SCCs (附录填写)
- 完成TIA (传输影响评估)
- 实施补充措施
- 通知监管机构 (若需要)
- 数据输入方 (第三国)
SCCs 传输架构：合同 + 评估 + 补充措施
🏢 BCRs (有约束力公司规则) · 集团内部传输
📌 BCRs 核心要素
- 对所有集团成员具有法律约束力
- 包含数据保护原则 (目的限制、数据最小化等)
- 数据主体权利：访问、更正、删除、反对
- 投诉处理机制 & 独立监管机构
- 定期审计 & 培训义务
- 与监管机构合作 (Lead SA)
📋 BCRs 批准流程 (简化)
- 起草BCR文档 (包括集团清单、数据流图)
- 指定主监管机构 (Lead SA)
- 提交申请 & 与其他监管机构协调 (一致性机制)
- 监管机构审核 & 意见反馈
- 获得批准 & 公开登记
- 定期更新 & 年度报告
⏳ 通常耗时 6–18 个月
⚙️ 跨境传输合规路径 · 决策树
1️⃣ 充分性认定？ → 自由传输
2️⃣ 适当保障措施？ → SCCs / BCRs / 认证等
3️⃣ 特定情形例外？ → Art.49 (明确同意、合同等)
4️⃣ 补充措施 → 加密、假名化、合同承诺
// SCCs 条款示例 (模块二 C2P)
“数据输入方应仅根据数据输出方的书面指示处理个人数据。
双方保证采取适当的技术和组织安全措施……
数据主体有权就违反条款提起第三方受益诉讼。”