2020年，欧盟法院在Schrems II案中宣告欧盟—美国“隐私盾”无效，同时确认标准合同条款（Standard Contractual Clauses，“SCC”）原则上仍可作为向第三国传输个人数据的工具，但数据出口方不能止步于签署合同，而应结合具体传输以及第三国法律环境，验证数据主体能否获得与欧盟“实质等同”的保护水平。欧洲数据保护委员会（European Data Protection Board，“EDPB”）随后发布关于补充措施的建议，将这一要求进一步转化为识别传输、开展传输影响评估（Transfer Impact Assessment，“TIA”）、评估第三国法律及实践、采取补充措施并持续复审的操作框架。[1]

此后的执法逐渐把上述原则落实到不同层次。Meta案表明，即使采用新版SCC并实施补充措施，只要这些措施仍不足以解决第三国法律造成的保护缺口，相关传输仍可能不符合GDPR第46条关于适当保障措施的要求；Uber案则从另一端说明，在不存在充分性决定的情况下，如果企业长期没有采用有效的传输工具，违法判断并不需要进入复杂的补充措施分析。[2]

2025年爱尔兰数据保护委员会（Data Protection Commission，“DPC”）对T平台作出的决定，以及2026年爱尔兰法院随后作出的多份判决，将这一审查进一步推向了数据处理事实、论证质量和监管程序本身。T平台并非没有SCC、数据传输评估（Data Transfer Assessment，“DTA”）、中国法专家意见或者技术措施；争议恰恰在于，这些安排是否真正覆盖了中国境内人员远程访问并在中国境内实际处理欧洲经济区（European Economic Area，“EEA”）用户数据的场景，以及企业是否能够向监管机关证明其结论。DPC最终就第46条和第13条相关违法行为分别处以4.85亿欧元和4500万欧元罚款，并作出暂停传输和整改命令；2026年6月，爱尔兰高等法院维持了核心违法认定，但因DPC对后续中国法意见和Project Clover技术证据的评价存在问题，将纠正措施发回重新考虑。[3]

因此，T平台案例的价值已经不限于回答“SCC和TIA还有没有用”。若将其放回Meta、Uber、Netflix等近年来欧盟针对数据跨境问题的执法实践中，更值得观察的是上述案例揭示的一套逐渐成形的监管逻辑：跨境数据传输在什么情况下会被认定违法；认定违法后监管机关可以采取何种措施；以及企业真正进入调查以后，仍有哪些整改、论证和程序救济的空间。

本文围绕上述问题展开，并进一步讨论这些变化对于中国企业下一阶段跨境数据治理的影响。

一、跨境数据传输何时构成违法：从传输工具到实质证明

GDPR第五章首先要求企业回答一个基础问题：向第三国传输数据是否具有合法传输机制。但过去数年的案件表明，对于已经采用SCC的大型跨国企业，监管审查的重点已经逐渐从“有没有传输工具”转向“该工具在具体数据流和第三国法律环境下是否真正有效”，并进一步要求企业能够证明其判断。

（一）从“有没有SCC”到“SCC能否在具体场景中发挥作用”

Uber案体现的是第一层问题。荷兰数据保护局（Autoriteit Persoonsgegevens，“AP”）于2024年认定，Uber在“隐私盾”失效后的一段时期内停止使用SCC，且未采用其他有效传输工具，却继续将欧洲司机的账户、位置、身份证件、支付以及部分医疗、犯罪等数据传输至美国，相关安排缺乏有效的第三国传输工具，因此违反GDPR第44、46和49条的规定，并被处以2.9亿欧元罚款。[4]

Meta则体现了第二层问题。Schrems II之后，Meta Ireland改用欧盟委员会2021年新版SCC，并实施额外补充措施，但DPC仍认定这些安排没有解决Schrems II所识别的美国政府访问风险，因此其继续进行的欧美数据传输违反第46条第1款关于适当保障措施的要求。[5]

Meta案的重要意义并非“SCC失效”，而是再次确认：SCC本身只是法律工具，不能当然证明具体传输已经确保数据主体获得与欧盟保障水平实质等同的保护水平。 当第三国法律可能影响进口方履行SCC，而合同本身又无法约束第三国公共机关时，企业还需要判断技术、组织和其他补充措施是否足以弥补相应保护缺口。这一逻辑基本延续了Schrems II及EDPB Recommendations 01/2020所确立的框架。[6]

T平台案则把问题进一步推进到：这种评估究竟需要做到什么程度。

T平台涉案数据主要存储于中国境外的数据中心，但中国境内集团实体人员可以基于产品和功能更新、算法调整、故障排查等业务需要远程访问其中一部分数据。T平台并不争议该远程访问构成GDPR第五章意义上的数据传输。[7]

其DTA和早期中国法意见的重要论证之一，是有关数据存储于中国境外，根据中国法律的属地原则，中国公共机关通常不能直接要求取得这些境外存储的数据。DPC并未简单否定这一论证，却认为T平台没有充分回答另一个更具体的问题：当中国境内人员实际远程访问数据时，相关个人数据已经在中国境内的计算机和处理环境中被检索、展示或者使用，此时有关中国法律是否可能作用于这些主体、人员和正在中国处理的数据。爱尔兰高等法院将问题概括为：“为什么这些法律不适用于正在中国境内处理的个人数据？”[8]

由此，法院认可了DPC关于“可被远程访问的数据”（remotely accessible data）与“已经被远程访问的数据”（remotely accessed data）的区分，认为在本案场景下，这一区分“适当，而且确有必要”。[9]

这可能是T平台案对现有TIA实践最重要的增量。它并没有提出一种新的传输工具，也没有宣告“中国法律当然导致对华传输违法”。其更直接的要求是：对第三国法律进行的评估必须与真实处理活动形成连接，服务器的所在地仅是考量因素之一。 服务器位于欧洲、新加坡或美国，并不能代替对中国境内实际访问和处理场景的分析；一般性的法律属地原则，也不能代替针对具体数据、主体、人员以及处理方式的适用性判断。

这种具体化要求也会进一步传导到补充措施。企业列明加密、多因素认证、访问控制、日志或者合同承诺，并不能当然回答监管机关所识别的问题。如果第三国境内人员基于正常业务需要仍能够查看明文数据，企业需要进一步说明有关措施如何降低具体的公共机关访问风险，或者是否需要通过假名化、权限调整、业务迁移等方式改变实际处理条件。

（二）从“完成评估”到“能够证明评估充分”

T平台还提出了一个更基础的抗辩：Schrems II要求控制者“verify”第三国保护水平，但并未规定企业承担独立的“demonstrate”义务。换言之，只要控制者实际进行了评估并形成自己的结论，监管机关如认为传输违法，应进一步证明第三国事实上不存在实质等同保护。

高等法院没有接受这一理解。法院结合GDPR第5条第2款的问责原则以及第24条指出，控制者不仅负有开展验证的义务，在监管机关要求时还必须能够证明其已经履行并充分完成相关验证义务；监管机关有权审查该验证是否充分，并可以因评估本身存在重大缺口而认定第46条违法。[10]

这使TIA的功能发生了一个值得注意的变化。TIA不再只是企业内部形成一个“可以传”或者“不可以传”的结论，而成为一套能够被监管机关审查的论证过程。其基础事实是否准确、第三国法律为何适用于或者不适用于具体处理活动、补充措施如何对应风险，以及最终结论由什么证据支撑，都可能成为监管检查对象。

对于大量依赖中国总部研发、客服、安全、财务和集团管理能力的出海企业，这一变化尤其重要。真正需要回答的已经不仅是“数据存在哪里”，而是数据实际上由谁、在哪里、以什么方式被处理，以及企业为什么认为这一处理仍然符合第46条关于适当保障措施的要求。

（三）透明度：T平台不是一般披露规则的全部

T平台案还存在一条独立的透明度违法线。DPC认定，T平台 2021年隐私政策没有充分说明有关数据传输涉及中国，也没有说明中国境内人员远程访问存储于新加坡和美国的数据这一处理性质，因此在2020年7月至2022年12月期间违反第13条第1款第（f）项；高等法院维持了该项违法认定。[11]

但这一结论不宜机械扩展为“所有企业都必须在隐私政策中逐项列出内部远程访问安排”。透明度判断仍应回到GDPR第12、13和15条：企业应以清晰、易懂的方式说明处理活动，并在存在第三国传输时提供相应目的地和保障措施信息。Netflix案对此提供了更完整的参照。荷兰AP对Netflix的处罚并非认定其第三国传输本身违法，而是认为其在处理目的和法律基础、接收方、保存期限，以及数据传往欧洲以外地区时所采用的保护安排等多个方面提供的信息不够清楚；相关违法依据主要是第5、12、13和15条。[12]

因此，T平台对透明度实践更合理的启示是：企业既不应将内部数据架构和技术文件机械搬入隐私政策，也不宜在内部TIA已经识别长期、实质性的第三国处理情况下，对外仍只使用“可能在全球范围内处理”等高度概括的表述。跨境披露的颗粒度仍应结合具体处理活动、用户合理预期以及有关事实对于理解数据使用和相关风险的重要性进行判断。

二、违法认定之后：停止传输、整改与罚款

跨境传输被认定违法，并不对应一种固定的监管结果。GDPR第58条第2款赋予监管机关责令整改、限制或者禁止处理、暂停向第三国传输以及处以行政罚款等多种权力。近年来的大型案件说明，对于高度依赖全球数据流的企业而言，真正影响业务连续性的可能不仅是罚款金额，更是相关数据是否仍能继续跨境流动。[13]

（一）历史违法与当前是否仍需停止传输，是两个不同问题

Meta案显示了监管机关可能采取的措施强度。DPC最终不仅对Meta处以12亿欧元罚款，还要求其自起算日（commencement date[14]）起12周内暂停未来向美国的数据传输，并在收到通知之日起6个月内使已经传输至美国的数据处理符合GDPR第五章要求，包括停止有关违法存储和处理。值得注意的是，DPC最初的draft decision（决定草案）主要拟采取暂停传输措施；行政罚款及对既有数据的进一步整改要求，是在其他监管机关提出异议并经Article 65争议解决后进入最终决定的。[15]

T平台案同样采取了“罚款＋暂停传输＋停止相关处理”的组合措施。但其后续上诉进一步区分了两个问题：一是调查所覆盖的历史期间是否违反第46条；二是DPC作出最终决定时，暂停传输等面向未来的纠正措施是否仍然必要、适当并符合比例原则。

T平台在调查期间持续推进Project Clover，并提交新的中国法意见、假名化和差分隐私等技术材料以及NCC Group的独立监督和测试信息。高等法院明确指出，这些后续措施不能倒推证明T平台在调查期间已经履行第46条义务——企业的验证义务本应在传输之前完成。[16]

但对于暂停传输等未来措施，相关材料却可能具有重要意义。法院认为，DPC在本案特殊情况下没有充分处理第三份中国法意见，也没有充分解释为何Project Clover中的相关技术措施仍不足以改变暂停传输的判断。法院并未认定Project Clover本身已经满足GDPR，而是认为如此复杂的技术问题应首先由专业监管机关进行充分评价并说明理由，最终撤销原纠正命令，并将应当采取何种纠正措施的问题发回DPC重新考虑。[17]

这一结果形成了一个重要但容易被忽视的区分：

事后整改通常不能消除已经发生的历史违法，但可能影响面向未来的暂停传输、停止处理等监管措施是否仍然必要、适当并符合比例原则。

因此，一旦核心数据流受到监管质疑，企业不应只把注意力放在如何证明过去的TIA没有问题。改变当前技术、业务或者数据架构，使监管机关在决定纠正措施时面对一个已经发生实质变化的风险状态，可能具有同等甚至更现实的价值。

（二）集团营业额可以进入罚款计算，但主体独立性仍有意义

对于大型集团，罚款风险也不能简单根据收到处罚决定的欧洲实体自身规模估算。

2021年WhatsApp案中，EDPB已经明确，竞争法意义上的“undertaking（经济单元）”概念可以用于GDPR罚款分析，集团营业额不仅关系第83条规定的最高罚款限额，在适当情况下也可用于确定实际罚款，以确保处罚有效、符合比例并具有威慑性。[18]

2025年CJEU在ILVA案中进一步确认：当违法子公司属于一个更大的经济单元（undertaking）的一部分时，集团整体营业额既可用于确定法定罚款上限，也可以用于评价违法企业的实际经济能力。该案中直接被追责的是丹麦子公司ILVA A/S，而非其母公司，但这并未阻止集团营业额进入罚款分析。[19]

因此，在ILVA之后，“欧洲子公司是独立法人，所以只能按其自身营业额罚款”的抗辩空间已经相当有限。但这并不意味着欧洲主体的独立性完全失去意义。既然第83条采用的是竞争法意义上的经济单元概念，实际判断仍然取决于母子公司之间的经济、组织和法律关系以及母公司是否施加决定性影响。欧洲主体在经营决策、数据治理、人员预算和管理授权方面形成真实且可证明的自主性，仍可能为责任边界及undertaking分析提供有利事实基础。

需要强调的是，这只能被理解为风险缓释，而不能作为可靠的“罚款防火墙”。现有GDPR判例并没有确认某一种公司治理安排可以当然排除集团营业额的适用；相反，WhatsApp和ILVA显示，在构成同一经济单元时，即使违法和处罚直接针对子公司，集团经济能力仍可能被考虑。

T平台 2026年的罚款争议恰好把问题推进到了下一层。[2026] IEHC 419所涉及的争议已经不只是“能否考虑ByteDance集团营业额”，而包括集团营业额应当如何进入具体罚款确定过程、相关集团主体的程序权利以及同一或相关处理活动导致多项违法时第83条第3款如何适用。爱尔兰高等法院将有关罚款金额的争议与核心违法问题分开处理，并认为其中部分欧盟法问题适合进一步通过Article 267 TFEU获得澄清。[20]

由此可以形成两个同时成立的结论：欧洲主体保持真实、可证明的独立性，对明确责任边界和降低集团层面风险仍有积极作用；但目前并不能期待通过法人主体安排或者治理结构完全隔离GDPR罚款风险。 对大型中国集团而言，更现实的目标，是把主体关系和实际决策权安排清楚，同时为集团营业额仍可能进入处罚分析的情形做好风险和程序准备。

（三）调查应对中的程序以及整改空间

值得补充的是，监管调查启动并不意味着企业只能等待最终处罚。T平台和Meta等案件表明，调查期间的持续整改、证据提交以及程序救济，仍可能影响案件进程和最终措施，但其作用和边界需要区分。

一方面，程序策略不必等到最终决定后才开始考虑。 Meta在Schrems II后的调查中，即针对DPC启动调查及Preliminary Draft Decision提起judicial review，暂缓了相关调查程序[21]。爱尔兰高等法院最终驳回其实体主张，但并未仅因DPC尚未作出最终决定而拒绝审查[22]。T平台则采取了不同路径：调查期间主要持续补充DTA、中国法意见和Project Clover等材料，DPC作出最终决定后，再通过statutory appeal挑战罚款决定和纠正措施，并申请stay暂缓相关纠正措施的执行[23]。两案说明，在重大跨境调查中，企业应当从调查早期即同步评估实体陈述、整改以及可能的程序救济窗口。不过，具体何时可以进入法院、是否需要先行行政复议以及能否暂缓执行，仍取决于成员国程序法；GDPR第60、65条所规定的监管机关协作和EDPB争议解决机制，也不能等同于企业自身的行政上诉渠道。

另一方面，调查期间及之后的整改虽然通常不能倒推消除历史违法，却可能改变监管机关正在评价的当前风险状态。 T平台后续Project Clover措施不能证明其此前已经履行第46条义务，但高等法院仍要求DPC在决定是否继续采取暂停传输等措施时，充分评价新的中国法意见和技术证据。类似地，在适用Regulation (EU) 2018/1725的Microsoft 365案件中，欧盟委员会在EDPS认定违规[24]后继续调整合同、第三国数据流及技术组织措施，EDPS最终于2025年确认相关违规已经得到整改并关闭执法程序[25]。其共同启示是，调查阶段最有价值的整改往往不是继续增加文件，而是实质改变访问权限、处理方式、供应商安排或数据架构。

三、对中国企业的启示：从合规文件到监管韧性

上述案件最终指向的并不是一份更复杂的SCC或者更长的TIA，而是企业治理能力本身。对于中国企业而言，下一阶段跨境数据治理至少需要重新思考主体架构、TIA方法以及监管事件发生后的业务韧性。

（一）中欧主体架构需要在多重法律坐标下判断

跨国企业经常习惯用“欧洲子公司—中国母公司”描述集团关系，但同一组主体实际上可能同时处于数套不同法律关系之中。

这些关系并不必然一致。EDPB明确指出，Chapter V意义上的数据传输（transfer）要求受GDPR约束的出口方向另一控制者或处理者提供数据。因此，同一集团下的欧洲子公司和中国母公司即使在竞争法意义上可能属于同一undertaking，只要它们是两个不同的数据处理主体，欧洲实体向中国实体提供数据仍可能构成Chapter V传输。[26]

另一个典型结构是中国企业直接面向欧盟用户提供服务。EDPB Guidelines 05/2021明确举例指出，如果欧盟数据主体直接向因Article 3(2)而受GDPR约束的第三国控制者提供数据，初始收集本身不存在一个向其“出口”数据的控制者或者处理者，因此不构成Chapter V意义上的数据传输；但该第三国控制者仍需履行GDPR的其他义务，其后向另一控制者或处理者提供数据时也可能重新触发第五章。[27]

因此，主体架构不存在一种能够同时实现“没有Chapter V、没有GDPR直接责任、又隔离集团罚款”的单一最优模式。欧洲子公司越具有真实独立性，可能越有利于本地治理和undertaking责任边界，但其向独立中国实体提供数据时，数据出口者（exporter）—数据进口者（importer）之间的关系也更加清楚；欧洲分支机构与中国总部越一体化，Chapter V上的主体间传输可能减少，但相应GDPR责任和公司责任则更直接集中于同一主体。

对企业而言，主体设计的目标不应是寻找形式上的监管规避空间，而应在真实业务基础上同时评价经营需要、GDPR地域适用、数据角色、Chapter V传输和集团责任，并确保实际决策权与文件中的主体安排能够相互印证。

（二）TIA需要先解决“常见病”，再追求复杂程度

目前企业TIA实践中比较常见的问题，并不是完全没有开展第三国评估，而是评估逐渐被固化为一项相对独立的文件工作。

有的TIA使用统一国家模板，大量描述第三国法律，却没有充分说明具体业务中谁访问什么数据、为何访问以及有关法律为何可能作用于这一处理；有的文件列举加密、权限管理、日志、合同承诺等大量补充措施，却没有解释每项措施究竟对应什么风险；还有一些企业的业务主体、供应商和技术架构已经发生变化，但SCC附件、TIA、RoPA和隐私政策仍然反映旧的数据流。

T平台案的意义正在于提醒企业，文件数量并不能替代论证链条的完整性。

更可行的评估方式，是按照场景—风险—措施的逻辑展开。首先将抽象的“中国访问欧洲数据”拆成具体业务场景，明确主体、数据类别、目的、访问方式以及明文可见程度；其次分析哪些第三国法律或者实践可能实际作用于这一主体、人员和数据，而不是停留在宏观国家法律介绍；最后再说明加密、假名化、访问隔离、审批、审计或者合同措施分别应对什么问题，并对无法完全消除的剩余风险作出判断。

在此基础上，SCC附件、TIA、RoPA、DPIA和隐私告知虽然具有不同法律功能和不同披露颗粒度，但有关主体、数据类别、主要目的、接收方和处理地点等核心事实应当来自同一套可以持续维护的数据治理底稿。

（三）从“合规状态”转向“监管韧性”

Meta、T平台以及Microsoft 365等案件还提示了一个更长期的问题：企业不能只考虑如何证明当前的数据传输合法，还需要考虑如果监管机关未来不接受这一判断，能否迅速回应而不使监管事件演变为重大业务中断。

这种能力可以理解为跨境数据治理的“监管韧性”。

现实做法是按照业务重要程度和传输风险确定优先级，并通过持续复审机制确保当主体、供应商、访问权限、系统架构或者第三国法律发生实质变化时，原有结论能够及时被重新检验。

从这个意义上说，下一阶段跨境数据治理所追求的是企业受到挑战以后仍然能够还原事实、证明判断、调整架构并恢复业务的能力。

结 语

GDPR全面适用之初，许多企业首先需要建立的是数据保护法律意识，识别基本处理活动和风险，并通过隐私政策、合同、SCC及内部制度完成初步合规落地。

八年之后，监管要求已经明显走向更深的阶段。从Schrems II、Meta到T平台，问题逐渐从“有没有工具”发展到“工具在真实业务中是否有效”，再进一步发展到企业能否让自己的判断经受监管事实核查、技术验证和程序审查。

跨境数据合规也因此正在从风险识别和初步落地，进入可审计、可证明、可调整、可复原的持续治理阶段。如何在全球化经营、数据利用与监管要求之间形成既能够经受审查、又具备调整能力的架构，或许正是下一阶段真正考验企业合规智慧的地方。

[注]

[1] CJEU, Data Protection Commissioner v Facebook Ireland Ltd and Maximillian Schrems, C-311/18, Judgment of 16 July 2020；EDPB, Recommendations 01/2020 on Measures that Supplement Transfer Tools to Ensure Compliance with the EU Level of Protection of Personal Data, Version 2.0, 18 June 2021.

[2] DPC, Inquiry concerning data transfers from the EU/EEA to the US by Meta Platforms Ireland Limited for its Facebook service, Final Decision, 12 May 2023；Dutch SA, Uber transfer decision, 22 July 2024.

[3] DPC, Inquiry into TikTok Technology Limited, Final Decision, 30 April 2025；TikTok Technology Limited and TikTok Information Technologies UK Limited v Data Protection Commission [2026] IEHC 347.

[4] Dutch SA, Uber – Transfers of Drivers’ Data to the US, Final Decision, 22 July 2024.

[5] DPC, Meta transfer decision, 12 May 2023.

[6] DPC, Meta transfer decision, 12 May 2023；EDPB Recommendations 01/2020, Version 2.0.

[7] [2026] IEHC 347, paras. 21–24.

[8] 同上，para. 332。

[9] 同上，相关“remotely accessed / remotely accessible”分析，法院认为该区分“appropriate, indeed necessary”。

[10] 同上，paras. 236–249、559–563；法院结合GDPR Articles 5(2) and 24确认控制者应能够证明其对Chapter V保护水平进行了充分验证。

[11] DPC TikTok Final Decision；[2026] IEHC 347, paras. 501 et seq., 573.

[12] Dutch SA, Netflix, Final Decision of 26 November 2024.

[13] GDPR Article 58(2).

[14] DPC Meta Final Decision 10.4&10.5.

[15] DPC Meta Final Decision；EDPB, Binding Decision 1/2023, 13 April 2023.

[16] [2026] IEHC 347, paras. 354–355、360.

[17] 同上，paras. 568–592。法院最终提出vacate corrective orders并将纠正措施问题remit至DPC重新考虑，而并未直接认定Project Clover合规。

[18] GDPR第83条中的“undertaking”应按照欧盟竞争法上的经济单元概念理解；在子公司与集团构成同一经济单元的情况下，集团整体营业额既可以影响罚款法定上限，也可以用于评价违法主体的实际经济能力，以确保处罚具有有效性、比例性和威慑性。EDPB, Binding Decision 1/2021 concerning WhatsApp Ireland, 28 July 2021.

[19] CJEU, ILVA (Fine for an infringement of the GDPR), C-383/23, Judgment of 13.

[20] TikTok Technology Limited and Anor v Data Protection Commissioner [Administrative Fines] [2026] IEHC 419, 30 June 2026。关于罚款计算问题应注意，该判决反映的是正在发展的争议，不宜表述为T平台已经成功推翻5.3亿欧元罚款。

[21] DPC, EU-US Data Transfers – Judicial Review Proceedings, 3 December 2020.

[22] DPC, EU-US Data Transfers – Judicial Review Proceedings, 3 December 2020.

[23] [2026] IEHC 347, paras. 11–18；TikTok Technology Limited & Anor v Data Protection Commission [2026] IESC 27.

[24] EDPS, Decision on the Investigation into the European Commission’s Use of Microsoft 365, 8 March 2024。该案适用Regulation (EU) 2018/1725，而非GDPR。

[25] EDPS, European Commission brings use of Microsoft 365 into compliance with data protection rules for EU institutions and bodies, 28 July 2025.

[26] EDPB, Guidelines 05/2021 on the Interplay between the Application of Article 3 and the Provisions on International Transfers as per Chapter V of the GDPR, Version 2.0, 24 February 2023.

[27] 同上。EDPB以第三国控制者直接向欧盟数据主体收集数据为例，说明在不存在另一个exporter的情况下，初始收集本身不属于Chapter V transfer，但第三国控制者仍因Article 3(2)承担GDPR义务。