进入本案之前，还是老生常谈地重复介绍下GDPR下跨境传输合规的大框架（比较熟悉的朋友可以直接跳到下一part）。

GDPR在整个欧洲经济区（欧盟27国+冰岛、列支敦士登、挪威）范围内提供了高水准的个人数据保护，并为个人提供了数据保护权利。而当个人数据被转移到欧洲经济区之外时，个人行使数据主体权利可能受阻，并且高水平保护可能难以为继。

为了解决这个问题，GDPR第五章专门规定了个人数据跨境转移（指欧洲经济区之外）场景下的合规义务，而这些合规义务要实现的目标就是数据在转移后，其在欧盟内受到的高水平保护得以延续。

对于中国企业而言，几乎唯一可用的就是SCCs（标准合同条款）。SCCs，顾名思义，欧盟委员会制定好一套格式合同，企业只要采用这套合同并且保证履行合同义务，自然就能实现跨境前后的同等保护，满足GDPR的合规要求。既然如此简单，为什么TikTok还会犯低级错误呢？

那是因为，SCC并不单纯是一个文件签署的问题。SCC以及其他适当保障合规工具适用的必要条件是：数据出口方必须以个案评估的形式，核实第三国的法律或实践是否可能会影响所采用的合规工具的有效性。如是，数据出口方必须采取补充措施弥补因第三国法治所产生的保护空白/削弱，最终再次达到同等保护的水平。

鉴于TikTok允许在中关联公司远程访问存储于中国境外的欧盟经济区用户个人数据的行为构成数据跨境传输，因此需要满足GDPR同等保护的要求。而DPC认为中国法律体系（包括《反恐怖主义法》《反间谍法》《网络安全法》和《国家情报法》）中的若干方面与欧盟保护水平不相符。双方就此展开了长达四年的拉锯。

对于中国法评估是处罚决定的核心。感兴趣的朋友可以从280段开始读到455段。

作为背景信息，首先需要介绍两份重要的指南：

（1）《关于补充传输工具以确保符合欧盟个人数据保护水平的建议措施》（Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data）。这个指南推荐（=要求）在跨境传输场景下，如采用SCC或其他适当保障合规工具的，需要采用六步走的方式保证实现真正意义的“同等保护”。

• Step 1：了解传输活动，包括传输个人数据类型、数据主体类型、数据进口方、所涉系统，以及整个传输活动的必要性等。

• Step 2：选定合规工具（e.g., SCC）并且确认选择了正确的工具。

• Step 3：评估传输工具的有效性（就是我们常说的TIA，transfer impact assessment）：数据进口国的现行法律或实践做法是否有可能影响所采用合规工具的有效性？换言之，在SCC的场景下，数据进口国的法律/做法是否妨碍了SCC条款的实现。

• Step 4：如果第三步的答案为“是”，那么就需要采用补充措施，来弥补SCC条款实现的不确定性。

• Step 5：补充措施可能涉及的与监管沟通的程序（主要针对BCR作为合规工具的情况，SCC不用）

• Step 6：在适当节点重新评估已传输至第三国的个人数据的保护水平。

（2）《关于欧洲基本保障措施的建议》（Recommendations 02/2020 on the European Essential Guarantees for surveillance measures）。该建议是EDPB为了指导企业正确评估第三国国家意志为监控目的获取数据的另一个指南性文件。

1.TT的SCC附件/TIA写得好细。这么好的套话下次我用用~

决定书这部分的各种表都挺不错的，值得借鉴。

（我每次写nature of processing都觉得费劲）

2. 没有revealing or deducing 特殊类型字段的意图不代表客观条件上没有掌握这些字段

3. DPC接受进口国身份藏在告知文本两层之下

更新后的隐私政策中，“China”字眼也不是一眼可见的，而是需要点击到下位页面才能发现，但这种做法为DPC所接受。

4. 除了法律环境外还可以通过论证第三国监管机构对于控制者掌握数据提出披露要求等干预行为的发生概率极低来做支持同等保护

TT主张，在评估第三国现行法律和实践的影响时，需分析公权力在实践中要求披露等干预行为的发生概率，而非仅依据法规或法条解释。披露要求在实践中引发风险的可能性或严重程度应基于客观因素确定，包括可公开获取的信源、同行先例、判例以及独立机构的报告等。对此，DPC认同这套逻辑，并表示：如果数据控制者评估确认风险是“理论上的或遥远，那么在特定情形下，叠加补充措施，是可以用于验证、保证并证明“实质上等同的保护水平”的。

我觉得这是DPC的一个突破性松口，给了出海中企一点点数据回传合规的喘息空间。

但DPC同时强调这个结论在TT的案例里不成立。因为即便在这套逻辑下，TT也只是强调属地原则和法律不适用性，而没有分析适用后的影响，所以TT根本就没能有效证明中国监管机构获取EEA用户数据是theoretical or remote, 或者hypothetical or unlikely to materialize in practice。可惜，真的好可惜！TT你真的太轻敌了！

1. 通篇读下来，我能感到TT很努力，但好像又努力不到点儿上，比如处罚决定中DPC着墨最多的中国法域外效力部分，TT的抗辩翻来覆去就那两句，毫无招架之力。而且过于看重“属地原则”的证明力，没有两手准备考虑如何构建“中国法适用但还是能达到同等保护”的叙事（有可能是真的没辙了）。

2. DPC蛮不容易的，几年时间里需要仔细评估TT递交的海量资料并且抓到要点作出回应。200页的决定书一个字一个字打出来也不轻松（要是车轱辘话能少一点就更好了）。同时我也认可DPC的逻辑，无论是我的个人观点还是基于处罚决定披露的TT的抗辩，都很难得出一个令其满意的“同等保护”答案。

3. 但能怎么办呢？生意不做啦、网不上啦、饭不吃啦、地球村不建设啦？还是希望欧盟的监管机构不要太死板太傲慢，考虑一下第三国的国情，也考虑一下利益平衡，差不多得了！

4. 除了上面的部分DPC还对GDPR第49条减损条款适用（503段到517段）和罚金计算（750段开始到最后）的分析，主要内容和此前发的两篇文章（GDPR第49条适用条件深度解析；手把手帮你计算GDPR罚金）重叠，就不再赘述了。