TikTok 5.3亿欧元处罚启示：欧盟个人数据回传国内的合规路径分析（上）

摘要：

2025年4月30日，爱尔兰数据保护委员会（“DPC”）正式作出针对TikTok Technology Limited（“TikTok”）的处罚决定，认定TikTok在中国境内远程访问欧洲经济区（“EEA”）用户的个人数据的过程违反《通用数据保护条例》（“GDPR”），并处以5.3亿欧元罚款。这项决定对于中国企业出海欧盟具有重要的警示意义，也为之后中国企业将欧盟数据回传国内提供合规指导。因此，本文将分为上下两篇，上篇将着重介绍DPC处罚决定的背景，并分析GDPR下跨境传输个人数据的合规要求；下篇将分析DPC对TikTok处以罚款的依据及理由，并总结对中国企业的数据合规启示。

2025年4月30日，DPC正式作出针对TikTok的处罚决定，认定TikTok在中国境内远程访问EEA用户的个人数据的过程违反GDPR，并处以5.3亿欧元罚款。这项决定是欧盟首次对欧盟个人数据传输至中国作出处罚决定，也是欧盟首次对个人数据“远程访问”问题进行认定，对中国企业出海欧盟提供了重要的合规指引。 ¹本文将围绕DPC处罚决定，分析GDPR下跨境传输个人数据的合规要求，并总结分析对中国企业的合规启示。

一、DPC处罚决定背景及范围

DPC此次调查缘起于法国监管机构的协助调查请求及荷兰市场信息研究基金会的投诉。在与TikTok沟通过程中，DPC获知TikTok位于中国境内的工作人员会访问TikTok EEA用户的个人数据，以便提供平台运营相关的支持服务。2021年3月26日，TikTok应DPC要求，提交了其针对中国的数据传输评估及其他相关文件。

2021年9月，DPC依职权启动对TikTok的调查。根据决定书，DPC处罚决定仅针对TikTok在2020年7月29日至2023年5月17日期间，中国公司员工通过远程访问方式对EEA用户数据进行访问的情形。由于TikTok直至2025年4月才向DPC披露中国服务器确有存储EEA用户数据的情形，因此DPC强调，此次处罚决定限于远程访问的情形，后续将继续调查在中国服务器存储用户数据的情况。