多年来，跨境数据传输类似于国际旅行的机场安检程序，而“隐私盾”则充当快速值机通道。2020 年 7 月，欧盟法院宣布“隐私盾”无效（裁决），导致欧盟与美国之间的数据传输面临更大的不确定性。尽管存在其他机制，但“隐私盾”曾是常见的合规工具。由于无法继续使用“隐私盾”框架，欧盟对另一种替代机制进行了更新，新的标准合同条款（新 SCC），取代 2010 年版本，并促进跨境数据传输。
自 2021 年 9 月 27 日起，大多数组织需要修改其与 New SCC 之间的商业协议，以进行跨大西洋数据传输。这些新流程将为客户和供应商带来重大的合规义务，需进行评估、记录和实施，以确保为保护欧盟个人数据提供额外保障措施。
欧盟为何废除隐私盾
在 2020 年 7 月之前，超过 5,000 家公司通过美国和欧盟批准的“隐私盾”框架将欧盟个人数据传输至美国。在该决定作出后的 15 个月里，企业一直在努力应对这一被称为“苏伊士运河时刻”的局面，该局面为跨大西洋数据传输设置了严重障碍。类似于 2021 年“长赐号”集装箱船意外堵塞苏伊士运河的事件，跨境数据传输的僵局危及了欧盟与美国之间每年约 1 万亿美元规模的贸易。
欧盟与美国在跨境数据传输方面的摩擦源于双方在隐私和数据保护方法上的差异：美国认为数据隐私重要的是，欧盟将其视为不可剥夺且神圣的权利。爱德华·斯诺登关于美国监控项目的揭露进一步表明，美国联邦政府可以迫使 Facebook 等公司交出欧盟居民的数据。对此，欧盟法院裁定，美国法律削弱了《通用数据保护条例》（GDPR）所提供的保护。法院在意见中指出，当个人的数据被美国情报机构截获时，美国的国家安全法并未赋予个人足够的权利。
跨境数据传输的选项
美国组织必须对跨境数据传输进行彻底的逐案评估，即传输影响评估（TIA）。其他选项包括具有约束力的企业规则（BCR）；然而，大多数组织通常不青睐这一选项。
何时以新的标准合同条款（SCC）修订现有协议
对于在 2021 年 9 月 27 日之前根据旧版标准合同条款签署的合同，公司必须在 2022 年 12 月 27 日之前完成与新标准合同条款的修订。新版标准合同条款包含在一个文档中，涵盖四种不同的跨境传输场景或模块：
- 控制者至控制者，
- 控制者至处理者，
- 处理者至处理者，以及
- 处理者至控制者。
企业在启动传输之前，必须根据已执行的新版标准合同条款选择适用的模块。下文概述的传输影响评估（TIA）的一个关键步骤是，企业除了采用新版标准合同条款外，还必须采取补充措施，为欧盟居民提供与 GDPR 等效的数据保护。
传输影响评估的六个步骤
欧洲数据保护委员会（EDPB）是负责欧盟《通用数据保护条例》（GDPR）实施的机构，它要求向美国出口欧盟个人数据的业务执行以下六步评估：
第一步: 对跨境数据传输进行数据映射。
第二步: 确定适当的传输工具，即新的标准合同条款（SCC）或其他几种机制。
第 3 步: 根据相关、客观且公开可获得的信息，评估在第三国（即美国）适用的特定数据传输相关的法律和/或实践中，是否会对《通用数据保护条例》（GDPR）造成损害。
第 4 步: 识别并采用适当的合同、技术和组织措施（补充措施）如果该第三国的法律缺乏与 GDPR 相当的隐私保护。
第 5 步: 采取正式的程序性步骤以通过补充措施。
第 6 步: 在适当的时间间隔内重新评估对转移至欧盟的个人数据的保护水平。
无论组织选择使用新的标准合同条款（SCC）还是其他跨境数据传输工具，都应咨询其数据隐私法律顾问，以开展欧洲数据保护委员会（EDPB）规定的六步传输影响评估（TIA）。
好消息是，组织无需在每次向同一非欧盟国家传输相同特定类别的个人数据时重复进行评估。例如，如果一家公司定期向美国传输包含欧盟居民姓名、电子邮件和职位的数据集，该公司必须完成并记录一份专门针对向美国传输此类数据集的 TIA，以符合 EDPB 指南的要求。在此特定情形下，只要满足以下条件，该公司可以依赖已记录的 TIA，而无需在每次传输数据时重复执行相同流程：
- 该传输涉及从欧盟向同一第三方（即美国）传输相同特定类型的数据，
- 它继续实施必要的补充措施，并且
- 通过持续监控第三国法律和做法，重新评估并监测该特定数据集所获得的数据保护水平。
结论
与 2021 年苏伊士运河堵塞事件扰乱全球贸易类似，随着企业运营和实施新的标准合同条款（SCC），它们将感受到该决定的连锁影响。大多数美国组织现在将需要依赖新的标准合同条款作为跨境数据传输的主要工具。新的标准合同条款提供了一种促进贸易的机制，同时施加了复杂且持续的数据保护合同义务。所有组织都应彻底审查条款，并实施补充措施，否则将面临基于薄弱理由进行跨境数据传输的风险。
_________________________________________________________________