TIA、SCC 都做了，欧盟仍拒认？TikTok 案的核心启示

今年5月，爱尔兰数据保护委员会（DPC）对TikTok作出处罚的案件一经公布，我便计划对其展开分析。然而，由于该案的处罚决定书始终未对外公开，考虑到缺乏一手资料可能导致解读偏差，我选择暂待进一步信息（还是没蹭上这一波热度）。直至目前，处罚决定书全文仍未披露，且TikTok已于6月初在爱尔兰高等法院获得暂缓执行DPC处罚决定的裁决。基于此，我将结合现有信息，对该案背后的核心问题与深层逻辑展开分析。

有关GDPR框架下数据跨境传输的理论机制，我已在《GDPR 101》第五讲中进行过系统阐述，此处不再赘述。若小伙伴需补充相关背景知识，可参考GDPR 101系列｜第五讲：个人数据跨境传输。

该案的核心指控看似清晰，实则可分为 “表层问题” 与 “核心矛盾” 两类：

其一，隐私政策对数据跨境传输的披露不足，存在透明度瑕疵。但在我看来，这一问题仅涉及合规程序的完善性，并非本案的核心争议点；

其二，TikTok将欧盟用户数据传输至中国时，其依赖的法律依据（标准合同条款，SCCs）存在根本性缺陷 —— 具体表现为未开展有效的数据传输影响评估（TIA），且未采取充分的补充措施，以应对中国法律框架下可能存在的数据访问风险。这第二项指控，才是本案最值得关注的核心，其背后折射出的，更是当前跨国企业在GDPR数据跨境合规中的 “系统性困境” 。

要理解上述困境，首先需明确 “有效的TIA” 在本案中的特殊含义。从现有信息来看，TikTok 并非未开展TIA，但其TIA结果反而成为了监管机构认定其合规缺陷的 “关键证据”。这一现象恰恰揭示了TIA机制在当前跨境场景下的矛盾本质：

若企业委托第三方出具客观的TIA报告，且报告中提及中国《国家情报法》《反间谍法》等法律的 “强制性” 与 “模糊性” 可能与欧盟数据保护标准存在冲突，这份报告将直接成为DPC指控其 “未应对风险” 的 “实锤证据”；

若企业自行出具TIA报告，并主张 “中国法律框架下的数据风险可控”，则DPC会以 “缺乏独立性与可信度” 为由拒绝采信，认为其属于 “自我辩护式评估”，不具备合规效力。

这种两难的本质在于：企业难以对 “中国政府不会访问其数据” 这一否定性命题进行实证性证明，而监管机构只需指出 “数据访问风险存在可能性”，即可将全部举证责任转移给企业。最终，TIA机制沦为了 “无论如何评估，都难以满足合规要求” 的 “可信度悖论”。

TikTok的TIA困境，本质上是两种截然不同的数字治理理念在商业实体上的直接碰撞。该案早已超越 “企业是否合规” 的技术层面，演变为一场围绕数字主权、法律管辖权与技术信任的宏观博弈，具体可从以下三个维度展开：

（一）规则之争：“布鲁塞尔效应” 的扩张与国家主权的边界

欧盟正通过GDPR持续推行其 “布鲁塞尔效应”—— 即借助内部统一市场的规模优势，将自身规则塑造成全球数字治理的 “通用标准”。而2020年的Schrems II判决与欧盟数据保护委员会（EDPB）后续发布的指南，更是将这一效应推向极致：它试图以一部区域性法律为依据，对其他主权国家的国家安全法律体系进行 “合规性评判”。

这场规则之争的核心矛盾体现在三方立场的对立：

•欧盟的单边主义逻辑：欧盟的规则设计建立在一个核心假设之上:其关于个人数据权利的保护标准具有 “普世性”，其他国家的法律必须接受欧盟的 “实质等同性” 检验。这种检验不仅覆盖法律条文本身，还延伸至司法实践、政治环境等难以量化的领域，本质上是一种 “以我为主” 的规则输出；

•中国的法律主权立场：从中国视角出发，《国家情报法》《数据安全法》《反间谍法》等法律法规，是国家在主权范围内为维护国家安全与发展利益制定的正当制度，属于 “核心主权范畴”。要求中国为满足欧盟的外部标准而修改本国国家安全法律，无论是在政治层面还是法律层面，均不具备可行性；

•TikTok的夹缝困境：作为总部位于中国、同时在欧盟开展大规模业务的企业，TikTok既无法改变中国的法律框架，也无法左右欧盟的合规标准。其TIA评估本质上是对 “母国法律是否符合欧盟标准” 的评判，这使其天然陷入 “无论如何操作，都可能触碰政治敏感点” 的雷区。

（二）哲学冲突：“权利绝对主义” 与 “利益平衡论” 的对立

若穿透规则表层，该案的本质更是两种法律哲学的深刻碰撞。这也是TIA困境无法通过技术手段解决的根本原因：

•欧盟的 “权利绝对主义”：GDPR及其司法实践（如Schrems系列案件）将个人数据保护权提升至近乎 “绝对权利” 的地位。任何对该权利的限制（如基于国家安全目的的数据访问），都必须通过极其严格的 “必要性” 与 “比例原则” 检验，且全部举证责任由数据处理者承担。在这一逻辑下，个人数据权利被置于优先于国家情报收集利益的位置；

•中国的 “利益平衡论”：中国的法律体系更强调 “多元利益统筹协调”，国家安全、公共利益、经济发展与个人隐私权并非 “非此即彼” 的关系，而是需要在法律框架内实现动态平衡。中国并非不重视个人数据保护（如《个人信息保护法》的出台），但明确将 “国家安全”“公共利益” 等列为优先于一般个人权利的法定事由；

•不可调和的评估标准：当秉持 “权利绝对主义” 的欧盟监管机构，去评估基于 “利益平衡论” 构建的中国法律体系时，其结论具有天然的 “预设性”，后者永远无法满足前者的标准，因为二者的哲学根基存在根本性差异。这也正是TikTok的TIA“结论对己不利则成证据，结论对己有利则失可信” 的底层逻辑。

（三）商业现实：全球化企业沦为地缘政治的 “人质” 与 “筹码”

规则与哲学的冲突最终落地到商业层面，使TikTok这类全球化企业成为了地缘政治博弈中的 “牺牲品”，具体体现为三重角色困境：

•“人质” 身份：TikTok的业务连续性、欧盟市场的投资回报，已被动绑定于中欧地缘政治关系的走向。其商业决策不再仅基于市场需求与成本收益，而必须纳入 “大国博弈风险” 这一非商业变量。这种被动性使其丧失了部分商业自主权；

•“筹码” 价值：对欧盟而言，通过对TikTok这类具有全球影响力的企业采取严厉监管措施，既能向外界展示其捍卫数字规则的决心，也能在未来中欧数字贸易谈判中增加 “议价筹码”，迫使对方在数据跨境规则上做出让步；

•“准数据本地化” 的成本转嫁：为应对合规风险，TikTok推出 “三叶草计划”（Project Clover），将欧洲用户数据物理存储于欧盟境内，并引入第三方安全监督机制。这一举措虽属务实的合规选择，但本质上是 “地缘政治风险转化为企业运营成本” 的典型案例。高昂的本地化基础设施投入、运维成本，最终将通过产品定价或服务调整，由消费者与整个数字生态共同承担。

TikTok案绝非GDPR数据跨境博弈的终点，而是一个标志性起点。未来的争议与突破，大概率将围绕以下三个维度展开：

1.司法诉讼的长期化与判例影响：TikTok对 DPC处罚的上诉流程将是一个漫长过程，最终可能诉至欧盟法院（CJEU）。尽管该案有望形成关于 “第三国数据风险评估” 的重要判例，但从当前法律哲学与规则对立的态势来看，即便CJEU作出裁决，也难以从根本上解决 “法律体系冲突” 的核心问题，更可能延续 “程序合规易，实质合规难” 的僵局；

2.国家层面的对话与有限突破：要打破当前困境，最终解决方案必然落在政治层面。此前中欧领导人会谈中提及 “数据流动合作”，是一个积极信号，但核心障碍“法律互信缺失” 仍未消除。短期内，全面的 “第三国充分性认定”（即欧盟认可中国数据保护标准）难以实现，更可能的路径是 “行业性、场景化突破”，例如在自动驾驶、医疗研究等数据敏感度较低、商业价值较高的领域，建立临时性、有限度的可信数据流通机制；

3.技术方案的 “突围” 潜力与局限：隐私增强技术（PETs），如联邦学习、安全多方计算、同态加密等理论上可实现 “数据不跨境，价值跨境”，从技术层面绕过法律对数据传输的限制。但若要大规模商业化应用，仍需解决三个问题：技术成熟度与成本控制、欧盟监管机构对技术方案的 “合规认可”、以及技术本身是否可能被纳入 “国家安全审查” 范畴。因此，技术方案或可成为补充手段，但难以单独成为 “终极解”。

TikTok案深刻揭示了数据全球化时代的一个残酷现实：企业层面的合规技术操作，在遭遇宏观地缘政治冲突与根本性法律哲学对立时，其效力是极其有限的。当数据流动触及国家核心安全利益时，问题已超出法务与工程师的解决范畴，而需要依赖国家间的政治智慧与妥协。

基于此，对数据合规从业者而言，可从以下层面调整策略：

（一）认知层面：重构风险评估维度

•必须跳出 “纯法律合规” 的思维定式，将 “地缘政治风险”等纳入数据跨境合规的核心评估范畴；

•清醒认识到 “程序合规（如签署 SCCs、完成 TIA）≠ 实质合规（满足欧盟对第三国风险的要求）”，避免陷入 “文件齐全即合规” 的误区。

（二）实操层面：四项核心行动建议

1.终极方案：必要的数据本地化

若企业在欧盟市场有长期布局，将欧盟用户数据物理存储于欧盟境内，是当前最稳妥、最一劳永逸的方案。尽管需承担高昂的基础设施与运营成本，但在当前监管环境下，这已成为 “规避第三国风险” 的必要 “市场入场券”；

2.技术层面：极致的风险控制与记录

若因业务需求必须跨境传输数据，可考虑优先采用 “端到端加密 + 密钥留在欧盟 / 充分性认定国家” 的技术方案，并以 “可追溯、可验证” 的方式记录完整 TIA 过程。即便最终不被监管机构采信，这套记录也能证明企业已履行 “合理注意义务”，在后续处罚中争取减轻责任的空间；

3.法律层面：全套文件的 “程序完备性”

严格按照 EDPB 指南要求，准备 SCCs、TIA 报告、补充措施说明等全套合规文件。即便知晓部分文件可能无法满足 “实质要求”，但 “程序完备性” 仍是应对监管调查的基础防线；

4.战略层面：观望与倡导并行

密切跟踪 TikTok 案、其他跨国企业跨境合规案件的司法进展，及时调整自身合规策略；同时，可通过行业协会、企业联盟等渠道，推动国家层面的跨境数据规则对话，倡导 “场景化、行业性合规解决方案”。这是打破当前僵局的长期出路。

结语