IT/AV终端检测认证事业部

数据存在中国，客户在欧盟：跨境传输这道坎，制造商到底怎么过？

德国客户的订单、法国用户的APP账号、荷兰子公司的员工资料，实际上都躺在深圳的服务器里。很多厂家以为签一份SCC就合规了，结果客户审计时要TIA拿不出来、要路径图也画不出来。本文讲清楚：数据有没有出境、合规只有哪几条路、落地要走哪几步。

认定前提：你的数据到底有没有出境

Any transfer of personal data ... to a third country or to an international organisation shall take place only if ... the conditions laid down in this Chapter are complied with.

第一，传输不等于复制。判断标准是第三国的主体能不能接触到数据，不是数据有没有落盘。

第二，远程访问也算。深圳工程师远程连上法兰克福的服务器看一眼日志，全程没下载文件，这依然构成传输。EDPB在Guidelines 05/2021里说得很明确：只要能访问、查看，就属于第五章意义上的传输。

对着这张表自查，中一条就存在出境场景：云平台部署在国内、运维远程连接、SDK数据回传、客服/售后远程桌面、员工资料存储等——只要第三国主体能接触到数据，就属于出境。

路径选择：中国制造商能走的合规通道

... only if the controller or processor has provided appropriate safeguards, and on condition that enforceable data subject rights and effective legal remedies for data subjects are available.

提醒：SCC不是免责证明。2020年欧盟法院在Schrems II案（案号C-311/18）里明确：数据出口方（exporter）还要评估目的地国的法律会不会影响保护效果。

放到中国企业身上很具体——《国家情报法》第7条的协助义务、《数据安全法》第35条的依法调取，都会让评估结论偏向"存在风险"。

再做一份TIA。TIA（Transfer Impact Assessment，传输影响评估）要回答三件事：

• 目的地国法律（政府能不能拿到数据、有没有救济途径）
• 数据本身（是否涉及第9条特殊类别数据、规模多大）
• 已有措施（签了什么、技术上做了什么）

顺带校正一个常见写法：TIA不是GDPR哪一条明文规定的义务，它来自Schrems II判决和EDPB的建议文件。

补充措施按EDPB三分法做。EDPB在Recommendations 01/2020里把补充措施分成三类：

• 技术（最有效）：传输与端到端加密、假名化，密钥放在欧盟侧
• 合同：政府访问抗辩条款、透明度报告承诺
• 组织：最小权限、访问审批、远程会话留痕、禁止下载截图

做完要有一句明确结论：措施是否有效、要不要调整、甚至要不要停止传输。

落地要走六步，最容易掉在第几步

跨境传输落地六步：

1. 盘点出境路径（云平台、远程访问、SDK、客服远程桌面）
2. 判断每条路径是否构成第44条意义上的传输
3. 选择合规通道并签署SCC等适当保障文件
4. 完成TIA传输影响评估并形成结论
5. 按EDPB三分法落实补充措施（技术/合同/组织）
6. 建立台账并持续维护（SCC续签、路径变更、人员更替）

⚠️ 最容易掉的坑：

• 第六步最容易掉：SCC升级或到期没续签，传输依据就没了，而通常没人提醒你
• SCC签了，TIA没做：文件在，结论拿不出来，客户审计时就是纸面合规
• 远程访问没人管：售后、IT、客服、研发都可能从国内连进来，很多厂家一个都没登记
• 文件不做台账：人换了、云商换了，签的文件早就对不上现在的业务

最后

真要自查，先问一句：我们所有从欧盟到中国的数据链路，能不能在一张图上画完？