欧盟法院（CJEU）2020 年 7 月 16 日在 Schrems II 案中的判决使 EU-US Privacy Shield 失效，并明确指出：标准合同条款（SCC）虽然原则上仍然有效，但如果目的地国家的法律削弱了其所提供的保护，则不得依赖。控制者和处理者必须针对每一次传输进行传输影响评估（TIA）。

EDPB 第 01/2020 号建议提出了一套六步方法论。若执行得当，一份 TIA 会记录该传输、目的地国家的法律制度、所采取的补充措施以及您的结论——经得起审计。若执行不当，它就只是一次走形式的勾选练习，在执法面前不堪一击。

2023 年的 EU-US Data Privacy Framework（DPF）恢复了向经认证的美国进口方传输的充分性。但它并不涵盖所有传输，可能被重新质疑（Schrems III 已提起），而且大多数非美国传输仍依赖需要 TIA 的 SCC。

该案（C-311/18）废除了 Privacy Shield，并向 SCC 使用者发出了警示。CJEU 认定：

• SCC 作为一种传输工具仍然有效。
• 但是——控制者在传输之前必须核实，目的地国家的法律提供了实质上等同的保护。
• 当第三国法律（特别是包括 FISA Section 702 和 EO 12333 下的美国监控）削弱了这种等同性时，必须采取补充措施以恢复之。
• 如果没有任何措施能够恢复等同性，则必须暂停传输。

实际上：仅有 SCC 是不够的。TIA 是证明您已完成相关工作的书面证据。

1. 了解您的传输。映射每一次向 EEA 以外的个人数据传输——包括来自 EEA 以外的远程访问。
2. 确定传输机制。SCC、BCR、克减、充分性决定。
3. 评估第三国的法律与实践——它是否提供实质上等同的保护？
4. 确定补充措施——技术性、合同性、组织性。
5. 采取所选措施所要求的程序性步骤。
6. 在适当的间隔或当情况发生变化时重新评估。

您无法对您不了解的事物进行 TIA。请清点：

• EEA 以外的所有处理者和次级处理者。
• 来自 EEA 以外的支持工程师的远程访问（这是一次传输）。
• 托管您数据的云区域——包括复制和备份位置。
• 您的处理者所进行的后续传输。

以您的第 30 条 ROPA 作为起点，但要对照实际基础设施进行核实。云提供商往往默认将数据复制到或故障转移至非 EEA 区域——这算作一次传输。

• 充分性决定（第 45 条）——无需 TIA。当前的充分性认定：安道尔、阿根廷、加拿大（商业机构）、法罗群岛、根西岛、以色列、马恩岛、日本、泽西岛、新西兰、大韩民国、瑞士、英国、乌拉圭、美国（在 DPF 下）。仍建议记录所依赖的充分性认定。
• SCC（第 46(2)(c) 条）——模块 1（控制者对控制者）、模块 2（控制者对处理者）、模块 3（处理者对处理者）、模块 4（处理者对控制者）。最常见的是模块 2。需要 TIA。
• BCR（第 47 条）——在经批准的有约束力的企业规则下进行的集团内部传输。对于非 EEA 目的地仍建议进行 TIA。
• 克减（第 49 条）——明示同意、合同履行、重大利益、重要公共利益。仅限狭窄、例外性的使用。
• UK IDTA / UK Addendum——英国传输使用 IDTA 或对 EU SCC 的 UK Addendum。

TIA 的核心。对于每个目的地国家，评估：

• 监控法律与实践。政府对私营公司所持数据的访问——范围、监督、相称性、司法救济。
• 目的地国家中 EEA 居民的数据主体权利——是否有意义且可执行？
• 监管机构的独立性。
• 法治指标——司法独立、透明度。
• 针对所传输数据类型和进口方所属行业的特定公共机构访问权力。

EDPB 第 02/2020 号建议提出了“基本保障”框架。对于美国传输，FISA Section 702 和 Executive Order 12333 是关键关切。对于非美国国家：应具体评估该国法律——许多 TIA 在未经审查的情况下，对低风险国家默认套用一个笼统的“充分”，而这正是监管者所标记的问题。

三类。请组合应用每一类：

4.1 技术措施

• 加密——采用强加密技术，密钥专门保存在 EEA（或具有充分性认定的国家）。进口方不得拥有解密访问权。
• 假名化——使进口方在没有 EEA 所持信息的情况下无法重新识别。
• 拆分处理——通过分片使进口方永远无法看到完整的数据集。
• 多方计算、安全飞地、机密计算——在适用情况下的新兴技术。

4.2 合同措施

• 审计权、关于政府访问请求的透明度义务、质疑访问请求的义务、告知数据主体的义务、对非法披露的赔偿。
• SCC 模块 2 附件 II 已包含其中许多内容——在不足之处予以补充。

4.3 组织措施

• 禁止自愿向当局披露的内部政策。
• 针对人员的政府访问培训。
• 处理访问请求的书面程序。
• 透明度报告。
• 限制目的地国家中谁能看到什么的严格访问控制。

• 正式签署 SCC（以及在适用情况下的 UK Addendum）。
• 记录 TIA——书面、注明日期、经利益相关方签署。
• 更新隐私声明以告知数据主体有关该传输的信息。
• 更新第 30 条 ROPA 条目。
• 在使用第 49 条克减的情况下，记录明确的依据并确保传输不具重复性。
• 如果评估结论是没有任何补充措施能够恢复实质性等同性，则暂停传输或通知监管机构。

重新评估的触发因素：

• 目的地国家法律或实践的实质性变化。
• 影响评估的新监管机构指引或法院裁决。
• 进口方、次级处理者或处理范围的变更。
• 向传输中新增数据类别。
• 以年度审查作为默认节奏。

2023 年 7 月 10 日，欧盟委员会就 EU-US Data Privacy Framework（DPF）通过了一项充分性决定。对于向已就 DPF 进行认证的美国公司的传输，其法律效果等同于一项完整的充分性决定——经 DPF 认证的传输无需 SCC、无需 TIA。

• 谁可以使用：在美国商务部 DPF 计划下获得认证的美国公司。
• 它涵盖什么：向该特定经认证进口方的传输。
• 它不涵盖什么：未同样获得认证的次级处理者；下游传输；向未获认证公司的传输。
• 风险：Schrems III（案件 C-446/23）于 2023 年提起，质疑 DPF 的充分性。大多数从业者会并行保留 SCC 作为双重保险，以防充分性认定被宣告无效。

实用建议：在您的美国进口方已获 DPF 认证的情况下，就该传输依赖 DPF 充分性，但在后台保持已签署的 SCC，并无论如何都运行 TIA 作为面向未来的保障。

• Google Analytics 裁决（奥地利 DPA 2021 年、法国 CNIL 2022 年、意大利 Garante 2022 年）——认定在缺乏补充措施的情况下，使用涉及向美国传输数据的 Google Analytics 属于违法行为。
• Meta / Facebook（爱尔兰 DPC 2023 年）——因依据 SCC 在缺乏充分保障措施的情况下将欧盟用户数据传输至美国而被处以 12 亿欧元罚款。
• 挪威 DPA — TikTok（2023 年）——初步认定传输违法。
• 由 NOYB 主导的多起投诉——对由 Cookie 驱动的分析数据传输持续施压。