Noyb 投诉向中国传输数据

fabiha01

马克斯·施雷姆斯（Max Schrems）创立的数据保护组织Noyb（None of Your Business）已向意大利、希腊、比利时、荷兰和奥地利的数据保护机构提起针对TikTok、全球速卖通、SHEIN、Temu、微信和小米六家中国主要公司的投诉。与几年前针对向美国传输数据的投诉类似，这些新投诉的重点是这些公司在将数据从欧盟传输到中国时，据称没有采取适当和充分的措施来确保数据保护水平与 GDPR 规定的水平基本相当。

根据我们的经验，虽然没有哪家公司对六家公司提出单独投诉，但有关数据保护机构做出的决定可能会对向中国甚至其他国家传输数据产生深远的影响。

与 noyb 对美国的投诉相似
回忆以往对美国公司的投诉，noyb对这六家中国公司的投诉核心是涉嫌违反GDPR第五章。据施雷姆先生的组织称，这些定制公司未能提供足够的保障措施来有效保护受 GDPR 约束的个人数据免遭中国政府的非法访问。

事实上，GDPR 第五章规定，向欧盟委员会尚未作出充分性决定的欧盟以外国家的数据转移，德国商业传真列表 应通过该章节规定的转移机制之一进行保障。采用 GDPR 规定的传输机制的目的是确保转移到“不充分国家”的个人数据仍然能获得与欧盟内部或欧盟委员会已作出充分性决定的国家之一提供的保护水平基本相同的保护水平。

使用新标准合同条款作为转移机制
一般而言，公司使用标准合同条款向第三国进行转移，该条款被欧盟委员会于 2021 年采纳为首选转移机制。然而，与之前采用的标准合同条款不同，2021 年版本包括对政府当局访问 GDPR 所涵盖的个人数据的请求提出异议的义务，如果不可能，则在适用法律允许的情况下，将国家当局的此类访问告知数据输出者。 2021 年新标准合同条款中的另一项义务使其变得更加复杂，要求数据出口商（在数据进口商的支持下）进行转移影响评估 (TIA)，以评估向第三国转移数据给相关数据主体带来的风险。如果风险很高（据称当地法律允许国家当局无差别地访问个人数据），则应实施进一步的安全措施，或者，如果风险太高且无法补救，则不应进行数据传输。

对于向中国转移的情况，新标准合同条款是否足够？
就中国而言，欧洲数据保护委员会（EDPB）已经对2021年数据保护水平低和国家访问权限表示担忧。与noyb对美国公司的索赔情况一样，原则上这应该意味着仅靠标准合同条款不足以使向中国传输数据合法化，并且需要采取额外的安全措施，特别是为了防止中国政府当局的访问。如果证明这是不可能的，特别是因为没有足够的安全措施或不可行，则应避免将受 GDPR 约束的个人数据传输到中国。后者是 noyb 的首选，因为根据他们的投诉，中国是一个“专制监控国家”，当局可以不加区分地访问数据，数据主体不可能根据 GDPR 行使他们的权利。

noyb投诉的深远影响
如果有关数据保护机构认定违反了 GDPR，noyb 提出的索赔可能会对 TikTok、AliExpress、SHEIN、Temu、微信和小米产生重大影响。意大利、希腊、比利时、荷兰和奥地利数据保护机构不仅可以暂时禁止这六家公司向中国传输数据，而且这些决定还可能表明，在缺乏足够补充保护措施的情况下，向中国（或许还有其他国家）传输数据在 GDPR 下通常是不被允许的。事实上，noyb已要求有关五个数据保护机构立即暂停向中国传输数据，并对涉及的六家公司处以行政罚款。

Noyb 的新投诉提醒我们遵守向第三国转移适用法律要求的重要性。标准合同条款不仅是必须的，而且还应辅以足够的安全措施和完整详细的转移影响评估，如上所述，当发现风险时，应寻求欧洲以外转移的替代方案。