TikTok 5.3亿欧元处罚启示：欧盟个人数据回传国内的合规路径分析（下）

摘要：2025年4月30日，爱尔兰数据保护委员会（“DPC”）正式作出针对TikTok Technology Limited（“TikTok”）的处罚决定，认定TikTok在中国境内远程访问欧洲经济区（“EEA”）用户的个人数据的过程违反《通用数据保护条例》（“GDPR”），并处以5.3亿欧元罚款。本文将分析DPC对TikTok的处罚依据及理由，并总结对中国企业的数据合规启示。

2025年4月30日，DPC正式作出针对TikTok的处罚决定，认定TikTok在中国境内对欧洲经济区用户的个人数据的过程违反GDPR，并处以5.3亿欧元罚款。上一篇文章中，我们已分析了DPC在GDPR框架下对个人数据跨境传输的合规框架。本文将聚焦DPC如何认定TikTok传输EEA个人数据的合规路径，并总结分析对中国企业的合规启示。

一、DPC  对 TikTok  跨境数据传输合规义务的具体认定

TikTok基于SCCs向中国境内传输EEA个人数据，而在GDPR框架下，TikTok必须在数据传输前开展数据跨境传输影响评估（“TIA”），评估第三国的法律及司法实践是否会影响SCCs的有效性，即确保数据主体实际上受到基本等同于欧盟的保护水平，尤其应特别关注该第三国公权力机构访问转移的个人数据相关方面，否则必须采取补充措施，以保证达到同等保护水平。然而，DPC最终认定TikTok未能满足GDPR下的合规要求，具体而言：

（一）DPC 认为TikTok未能在数据传输前充分履行评估义务

调查过程中，TikTok提交了五份TIA报告，并在报告中的第二部分评估中国现行法律及实践是否可能削弱SCCs的有效性。TikTok评估认为，即便通过SCCs传输，中国法律与实践提供的保护水平与欧盟要求仍存在一定差异，需采取额外保护措施。但基于属地原则，中国主管机关无权强制要求提供在中国境外存储的数据，而相关EEA个人数据均存储于境外，因此，基于SCCs与其采取的补充措施，EEA个人数据主体实际上受到基本等同于欧盟的保护水平。