GDPR下欧→中数据跨境是否还有解法？
TT案后遗症
可以说，出海中企GDPR数据跨境合规风险/难度分为两个阶段：TT案前、TT案后。在欧盟不认可中国法律环境的大背景下，欧→中数据跨境是否还能有解法呢？也许、可能、理论上还是有机会的。
先画了一个图阐释一下我的逻辑：
第一二层机会没有太多可说的空间。我想讨论下第三层（SCC+Supplementary Measures）和第四层（SCC+第三国监管机构实际不会获取数据的个案论证+Supplementary Measures）。这两层都是TT用过但没有成功的。
手把手帮你选SCCs（GDPR版）
GDPR第48条（跨境减损条款）解析
第三层机会：SCC+Supplementary Measures
首先，通过补充措施来构建“同等保护”结论的方法本不新鲜，EDPB六步走是把这条路写在纸上的。
EDPB六步走来自其推荐性指南《关于补充传输工具以确保符合欧盟个人数据保护水平的建议措施》（Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data）。
这个指南推荐（=要求）在跨境传输场景下，如采用SCC或其他适当保障合规工具的，需要采用六步走的方式保证实现真正意义的“同等保护”。
Step 1：了解传输活动，包括传输个人数据类型、数据主体类型、数据进口方、所涉系统，以及整个传输活动的必要性等。
Step 2：选定合规工具（e.g., SCC）并且确认选择了正确的工具。
Step 3：评估传输工具的有效性（就是我们常说的TIA，transfer impact assessment）：数据进口国的现行法律或实践做法是否有可能影响所采用合规工具的有效性？换言之，在SCC的场景下，数据进口国的法律/做法是否妨碍了SCC条款的实现。
Step 4：如果第三步的答案为“是”，那么就需要采用补充措施，来弥补SCC条款实现的不确定性。
Step 5：补充措施可能涉及的与监管沟通的程序（主要针对BCR作为合规工具的情况，SCC不用）
Step 6：在适当节点重新评估已传输至第三国的个人数据的保护水平。
那么到底是什么补充措施才可以呢？看看EDPB六步走具体是怎么说的（请注意，以下部分的段落标注是指的EDPB指南的段落号，而不是TT处罚决定书的段落号）：
根据官方指南，补充措施通常是指的合同措施、技术措施和组织措施。具体的补充措施清单可以参见指南的附件2。
和中企更加相关的是，EDPB已经预见因第三国法律环境产生的差距往往无法被合同措施和组织措施弥合，因此强调这种情况下重点还是技术措施。在这种情况下，合同或组织措施最好能对技术措施有所强化，例如通过引入检查并消除监管机构以不符合欧盟标准的方式自动访问数据的企图。（para53）
对于如何确定采取什么技术措施，EDPB在方法论层面给了一些可供参考的要素：
一方面，需要考虑与跨境传输活动相关的事项：待传输数据的格式（明文/假名/加密）、数据的性质（如果是特殊类型数据保护要求更高)、数据处理工作流程的期间和复杂性、传输链条上的参与者以及他们之间的关系（例如是否涉及多个控制者/处理者，以及每一方适用的第三国法律)、第三国法律在实际应用中的一些参数（这一点下文有呼应）、数据再转移（同一第三国内或再跨国）的可能性。（para54）
另一方面，需要结合考虑第三国监管机构可能试图获取数据的两种路径：a) 间接获取——通过监听传输数据的通信线路。此类获取可以是被动的（仅复制通信内容）也可以是主动的（不仅读取通信内容甚至操纵或截断部分内容）。b) 直接从数据接收方获取。在数据接收方留存跨境传输的数据期间，通过直接访问处理数据的设备，或要求数据接收方定位、提取并提交当局感兴趣的数据。（Para80）
比起方法论，可能指南中给出的第三国法律环境负分背景下的5个正面用例和2个负面用例对于中企更加具备参考性。我简单总结如下，更推荐去看原文：
Use Case 1（正面）：备份目的的跨境传输+进口方不能解密的加密
Use Case 2（正面）：匿名化后再跨境传输，可以是相对匿名但需确保进口方和第三国政府均无法借助其他字段重新识别
Use Case 3（正面）：传输渠道加密（如果第三国法律允许监管间接获取）或传输渠道加密+技术表现足以对抗第三国监管机构密码分析的端对端加密
Use Case 4（正面）：数据进口方受到第三国法律特别保护（例如第三国法律允许职业保密），足以对抗第三国监管的数据获取要求+端对端加密
Use Case 5（正面）：多个司法辖区的数据进口方分割处理，使得任何一个数据接收方单独无法重新识别数据主体+不同司法辖区的监管机构不存在合作
Use Case 6（负面）：数据传输至云服务提供商或其他需明文访问数据的处理者，且无匿名化也无加密
Use Case 7（负面）：为业务目的传输（含远程访问）数据，且无匿名化也无加密
在TT案中，明文访问、解密访问、数据再转移都是DPC拒绝认同补充措施的“雷点”，导致TT无法在这一层说服DPC。
此外，还需要特别注意两个点：
如果第三国法律本身就禁止补充措施（例如禁止加密）生效也不行（Para57的例子）
EDPB附件2中给出的补充措施对两种数据获取途径都有效。但是，EDPB强调，只有当第三国监管机构的数据获取途径是单一且可控的，补充措施才可能被视为足以维持同等保护水平。（Para81）换言之，而如果该国法律允许a)+b)两条数据获取途径（既可监听传输又可强制接收方交出数据），构建同等保护的叙事可能就难了。而比较遗憾的是，在DPC眼里，中国法两点都占了（这是我的理解，决定书中并没有明确指出）。
至此，可以知道在中国法背景下想要成功抓住GDPR下的第三层机会真的不容易。如果有中企希望通过补充措施来构建同等保护，强烈建议一比一复刻Use Case 1-5。
第四层机会：SCC+第三国监管机构实际上不会获取数据的个案论证+Supplementary Measure
这一层本质上是第三层的变形——我只是为了突出它的独特性所以单独放一层——通过个案论证实践中监管机构不会侵入EEA用户数据来降低补充措施的难度。而支撑这一层成立的依据来自EDPB指南提供的、确认补充措施的考量因素——第三国法律在实际应用中的一些参数。
在读TT处罚决定书时，我感觉DPC把这个口子稍微再拉大了一点（就是TT处罚决定书学习笔记里写的这个点↓），或许能够给特定行业、特定场景下数据跨境传输的中企一点合规喘息空间。
这一段的背景是这样的：
TT提出，评估第三国现行法律或实践对欧盟数据主体权利自由的影响时，必须考量第三国法律导致EEA用户数据在具体转移情境中被第三国监管机构侵入的实际发生概率，而不能仅看法条解释。为了论证它的观点，TT还搬出了比例原则、Schrems II，以及DPC在调查期间的问询（这一部分我觉得TT论证得很精彩）。
而TT的观点也被DPC所接受了。DPC 承认此逻辑在原则上成立：如果企业能够通过补充措施去论证监管机构获取EEA用户数据是theoretical or remote, 或者hypothetical or unlikely to materialize in practice，那么对应的，补充措施的标准线也可以适当地降低。
所以，理论上即便存在他们眼中的problematic laws，也可以最终得到同等保护的结论。我认为这是DPC在本案（或者后续对待数据跨境问题）的一个突破性松口。根据朴素的文字理解，“theoretical or remote”和“hypothetical or unlikely to materialize in practice”意味着企业无需证明监管机构100%不能获取EEA用户数据，而只需要证明虽然第三国的监管机构有这样的权力，但其无法真正行使这样的权力导致EEA用户数据被侵入即可。换言之，只要证明第三国监管机构侵入EEA用户数据的几率非常低（但不用是零），辅以恰当的补充措施，数据跨境合规还是有实现可能性的。
那么，下一步要做的就是：（1）证明“实践中中国法不会或极低概率使监管机构获取EEA用户数据”；（2）证明在（1）成立的前提下企业采取的补充措施是足够的。
对于（1），TT提供了专家报告证明“不存在中国当局强迫披露存储在境外数据的历史记录”、TT本身不在中国运营因此监管机构对这对数据不感兴趣（还对比了领英的情况）、TT的历史透明度报告，以及其在整个抗辩过程中反复强调的属地原则限制和技术措施（TT还提供了更多的论据但被掩码了，我也很好奇都有什么）。
但这一步并没有被DPC认可。DCP坚持，TT在未能厘清属地原则对于跨境数据的适用性的前提下，是无法准确判定中欧法律下的数据保护差距的。其逻辑为：
→ TT提供的“属地原则”论点无法达到明确法律上监管机构对于数据的可获取程度
→ 无法证明实践中监管机构获取EEA用户数据的概率是极小的
→ 无法明确中欧数据保护的差距
→ 补充措施弥补差距的功效无法被确认
TT在这一层机会的失败主要源于过分坚持“属地原则”，从DPC视角看推演的第一步就不成立，之后再多的证据材料也无法完成逻辑闭环。当然就算TT愿意放弃“属地原则”的防御策略，以这家公司的体量、数据量、字段多样性，后续论证也是步步维艰，很难得出“低概率侵入”的结论。
但假设，一个并不是那么引人瞩目的出海中企承认中国法的域外管辖效力，是不是有机会去证明“监管机构数据侵入在实践中不可能发生”呢？那么是不是还有机会去论证其所采取的补充措施能够使EEA用户数据达到同等保护的程度呢？
本来写到这里我是希望去找到一些可以给企业直接用的、经过实践检验的案例。但是我做不到。因为这套逻辑的个案分析不仅是基于企业的情况，也是基于“中国法下监管机构对于数据的可获取程度”的明确，而这一点不管是TT案还是其他中企的调查案中欧盟监管机构都没有（也不应该）给出一个确定答案。
而且，低概率并不能直接豁免补充措施义务，而补充措施的有效性也是一个欧盟自由心证的过程。即便有企业成功论证了低概率，其所举证的补充措施也极有可能不足以说服欧盟监管，最终还是无法论证同等保护。
我非常期待有企业能够朝着这个方向趟出一条路来。只是还需提醒的是，企业此前未收到监管机构数据访问要求的历史记录单独不足以证明“低概率”。这一点可能是走到这一步的律师/法务往往会着力举证的，但EDPB指南中已明确：
但只有当第三国法律框架不禁止进口方披露其是否曾收到（或未曾收到）公共机关的披露请求时，才能把进口方的历史经验作为补充信息源使用，并应对该法律评估本身形成书面记录。然而，必须明确：单凭进口方“从未收到过访问请求”这一事实，绝不能被视为用以证明“第46条GDPR传输工具已足够有效、无需任何补充措施即可继续传输”的决定性依据。可将该信息与从其他渠道获得的各类信息一并纳入对第三国法律及实践的整体评估，用以判断本次具体传输的风险。进口方的相关记录经验还必须得到客观、可靠、可核实且公开或可获取的实务信息的印证，而不得与之相矛盾；例如，同一行业内其他主体是否收到过类似访问请求、与本次传输相似的个人信息是否曾被调取，以及法律在实践中的适用情况（相关判例、独立监督机构的报告等）。（Para47）
作者｜肖莆羚令
-
法规解析：
人脸识别：人脸识别技术应用安全管理办法、关于开展人脸识别技术应用备案工作的公告
身份认证：国家网络身份认证公共服务管理办法
视频监控：公共安全视频图像信息系统监督管理工作规定
数据出境：自贸区（北上浙天海）跨境规则梳理、数据出境安全管理政策问答（2025年5月）
安全事件：中国人民银行业务领域网络安全事件报告管理办法
个保审计：一起读 | 端午合规大礼包
处罚：网信部门行政处罚裁量权基准适用规定（征求意见稿）
自动化决策：自动化决策 vs 用户画像 vs 个性化推送
-
从业观察：
数据控制者和处理者，到底怎么分？
隐私政策合规问答
双清单：混乱的双清单、双清单之游戏厂商篇
模型训练阶段的个人信息处理合法性基础
数据控制者和处理者，到底怎么分？
模型训练阶段的个人信息处理合法性基础
个人信息流转：对外提供与个人信息转移权的多维解析
合规负责人：数据合规负责人岗位梳理、个人信息保护负责人申报答疑
谁配做个保审计业务？
-
GDPR：
合法性基础：模型训练阶段的个人信息处理合法性基础、Meta基于“正当利益”使用个人信息训练AI案、广告合规重磅裁决：TCF 2.0 被裁定违反GDPR
数据跨境：手把手帮你选SCCs（GDPR版）、GDPR第48条（跨境减损条款）解析、TikTok爱尔兰数据跨境处罚案及处罚决定书研习笔记、Uber荷兰数据跨境处罚案
DPO：EU Representative vs DPO
GDPR罚金计算规则
PIPL与GDPR对比
-
GDPR之外：