

跨境数据流动 | TikTok如何对用户数据进行保护？

跨境大白

2025-11-26

导读：本文将简单介绍TikTok对用户数据的保护机制，以及跨境企业数据传输的合规经验

关键词：数据安全；个人信息保护；区块链；人工智能；大数据；智能合约；涉外法律服务；专业律师

本期关键词：跨境数据；存储；安全；个人信息

本文约1315字，大概需要阅读4分钟。

3月23日晚，TikTok CEO周受资出席了美国众议院能源与商务委员会听证会，接受美国两党议员针对TikTok用户隐私、数据安全以及未成年人安全等相关问题的质询。此前，美国国会众议院外交事务委员会通过《威慑美国技术对手法案》，剑指TikTok。在重重围堵下，字节跳动唯有出售其持有的TikTok股份才能在美国本土正常运营，否则将面临被封禁的风险。

一、TikTok的数据安全保护

在听证会上，周受资强调了四大关键点：TikTok会把安全尤其是青少年的安全问题摆在首位；平台将通过防火墙保护美国用户数据，防止未经授权的外国访问；TikTok仍是一个可以自由表达的平台，不会受到任何政府的操纵；平台将保持透明并对第三方的独立监督员保持开放，接受监督，他们可以对该承诺负责。

那TikTok的数据安全保护具体是如何操作的？

（一）数据访问权限

为实现访问权限的限制，TikTok设立了内部数据分类系统，访问所需的批准级别根据分类系统的数据敏感性而定。当员工在内部访问与级别相匹配的用户数据时，数据仍然受到加密措施的保护，同时由驻美国的安全团队监督并授权批准。

（二）本地化用户数据储存模式

对于商业数据和公共数据，例如用户创造的视频本身，将在TikTok的全球数据库中自由流动。但对于“受保护数据”如用户地址、生日、电话号码等，将默认储存在甲骨文云数据中心。对于这些“受保护数据”的访问权限，都将受到甲骨文强有力的数据访问协议的限制，并受到甲骨文监控和监督机制的约束。

（三）应对网络安全挑战

对于网络安全最重要的判断标准是参考来自专业认证机构的认证。目前，TikTok已经建立了ISO 27001认证（当前国际上最严谨的信息安全领域的体系认证标准之一）和ioXt Alliance认证（物联网设备安全全球标准）。

（四）儿童个人信息

儿童的个人信息同样是此次听证会中关注的焦点。对于13岁以下的青少年，TikTok将开启“青少年模式”的版本。该版本只会向青少年采集用户名、密码、生日、和设备信息，且只有在获得个人单独同意或法律要求的情况下，例如法院命令、预防犯罪、保护公共安全等，才会将信息提供给第三方。

二、对中国企业的建议

尽管TikTok在数据安全方面已经花费超过15亿美元，但基于数据安全与国家安全越趋紧密的联系，及中美在数据、算法、芯片等前沿领域的高度竞争，TikTok仍然面临被封杀的风险。

对于中国有跨境数据的传输需求的企业而言，合规一直是一把悬在头顶的达摩克利斯之剑。

在《个人信息信息保护法》第三十八条、《个人信息跨境处理活动安全认证规范》、《数据出境安全评估办法》和《个人信息出境标准合同办法》的要求下，我国数据跨境转移主要有三条路径：开展个人信息保护认证；通过网信部门组织的安全评估；签署个人信息出境标准合同。

企业应当根据企业定位（是否关键信息基础设施运营者“CIIO”）、出境数据类型（个人信息、重要数据、出口管制事项以及特殊行业数据）及所涉数据规模等因素综合判断选取合适的数据出境合规路径，这将在很大程度上决定企业所应当履行的义务。

例如CIIO，根据《网络安全法》第37条、《数据安全法》第31条及《个人信息保护法》第40条的规定，应当将境内收集和产生的信息储存在境内，且要在向境外提供前通过安全评估。

对于个人信息处理者而言，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意。达到国家网信部门规定数量的个人信息处理者，还需要满足本地储存+安全评估的原则。

可以看出，数据出境安全工作是一个系统工程，企业应提前规划，梳理相关的数据处理活动、数据安全架构并进行整改。只有达到合规状态，企业才能够通过有关个人信息保护影响评估、自评估和出境安全评估，实现跨境数据传输的目的。

陆续更新，敬请期待

版权归闪涛律师团队所有，未经许可不得转载。

如认为本文侵犯版权，请及时联系闪涛律师团队。

团队介绍

闪涛律师团队专注于“一带一路”与海外投资与并购、跨境争议解决、公司与股权、新兴科技法律服务（人工智能、区块链、数据安全与信息保护）、合规管理等领域。

闪涛律师，广东广信君达律师事务所高级合伙人、管委会主任，中山大学/广东外语外贸大学法学院兼职教授、硕士研究生导师，中南财经政法大学博士研究生。

执业证号：

14401200810597414

闪涛律师是中华全国律师协会涉外法律事务领军人才库人选，司法部“全国千名涉外律师人才名录”，司法部、全国律师协会“一带一路”跨境律师人才库首批成员，并已取得国际认证机构EXIN的DPO（数据保护官）认证，具备在欧盟GDPR项下担任大型企业法定DPO职务的资格，并已通过隐私与数据保护专业考试、ISO27001信息安全考试。