观点 | TikTok案之后，中企出海欧洲数据跨境合规如何破局？——从SCC的形式合规，走向TIA的实质抗辩
（来源：金诚同达）
作者 | 郑文洁 高菁蔚
引言
2026年6月3日，爱尔兰高等法院在 TikTok Technology Limited v Data Protection Commission [2026] IEHC 347 一案中，就TikTok针对爱尔兰数据保护委员会（DPC）关于数据跨境传输的处罚决定提出的上诉作出实体判决，维持DPC关于TikTok违反《通用数据保护条例》（GDPR）第46条（向第三国传输个人数据的适当保障措施）及第13条第1款(f)项（透明度义务）的核心认定[1]。法院虽撤销了DPC部分暂停传输等纠正措施，并要求DPC重新考虑，但针对TikTok数据跨境传输合规性的核心违规判断仍然成立。
本案引发广泛关注，原因并不仅在于5.3亿欧元罚款本身，而在于其进一步明确了GDPR数据跨境传输监管的趋势：企业使用标准合同条款（Standard Contractual Clauses，以下简称“SCC”）并不意味着自动完成合规。SCC能否有效发挥作用，取决于企业是否针对第三国法律环境进行了充分的数据跨境传输影响评估（Transfer Impact Assessment，以下简称“TIA”），并能够证明其评估结论具有充分依据。
对于计划进入欧洲市场的中国企业而言，TikTok案传递出的核心信息并不是“中企无法向欧洲开展业务”，而是：数据跨境合规已经从“选择合适的合规工具”阶段，进入“证明该工具有效运行”的阶段。未来，中企出海欧洲需要关注的不只是签署SCC，而是如何建立一套能够经受监管审查的数据流分析、第三国法律评估、风险缓释措施和合规证据体系。
需要特别指出的是，TikTok案并非否定SCC机制，也不是欧盟首次提出TIA要求。事实上，自Schrems II以来，TIA一直是GDPR跨境传输合规的重要组成部分。但此前，不少企业在合规实践中对TIA的理解停留在形式完成层面，而TikTok案进一步表明，监管机构和法院正在从“是否完成TIA”转向审查“TIA是否充分、合理且能够证明企业已有效评估并降低第三国风险”。
01.
从Schrems到TikTok案：GDPR跨境传输监管重点已从SCC转向TIA
理解TikTok案，需要回顾欧洲数据跨境传输监管的发展逻辑。
（一）Schrems I：第三国法律保护水平成为关键问题
2013年，美国前防务承包商雇员爱德华·斯诺登（Edward Snowden）曝光“棱镜门”（PRISM）事件，揭露美国情报机构的大规模监控计划。奥地利公民马克斯·施雷姆斯（Max Schrems）据此向Facebook欧洲总部所在地爱尔兰数据保护局提出投诉，认为Facebook依据《安全港协议》（Safe Harbor）将其个人数据传输至美国存储的做法未能提供充分保护，要求禁止该行为。爱尔兰数据保护局以《安全港协议》具有约束力为由，拒绝就其投诉展开调查。施雷姆斯随后向爱尔兰高等法院上诉，该法院将案件提交欧盟法院（CJEU）进行初步裁决。此案即“Schrems I案”。
2015年，欧盟法院在Schrems I案件中认定，欧盟与美国之间的“安全港”（Safe Harbor）机制无效，原因在于美国相关监管制度无法确保欧盟个人数据获得与欧盟法律“实质等同”（essentially equivalent）的保护。
该案确立了一个重要原则，即数据传输目的地国家的法律环境，是判断跨境传输是否安全的重要因素。
“Schrems I案”在2015年判决“安全港协议”无效后，为了恢复当时因该判决而中断的庞大跨大西洋数据传输（当时影响超过4500家公司），欧美双方经过紧急谈判，于2016年迅速达成了“隐私盾协议”（Privacy Shield）。它相当于“安全港”的升级版，旨在提供更严格的数据保护义务和更多欧洲公民的救济途径。
（二）Schrems II之后——监管实践仍在发展，TIA成为法律要求，企业必须开展逐案评估
Schrems II之前，SCC更多被视为主要合规工具。监管机构虽然关注第三国风险，但实际执法重点并没有全面转向TIA。尤其是美国，因为欧美之间长期存在安全港协议（Safe Harbor）及隐私盾协议（Privacy Shield），很多美国企业更多依赖欧美之间的制度安排。
2020年，欧盟法院（CJEU）在“Schrems II案”中作出裁决，一方面确认标准合同条款（SCC）本身仍可作为《通用数据保护条例》（GDPR）第46条项下的合法数据传输工具；但另一方面，法院也判令“隐私盾协议”无效，理由与美国监控权力过大、欧盟公民缺乏有效司法救济途径有关。同时，法院对数据出口方提出了更高要求——不能仅凭签署SCC就认定数据获得充分保护，而必须履行三项具体义务：（1）评估第三国法律是否会影响SCC所提供的保护水平；（2）判断是否需要采取补充措施；（3）若补充措施仍不足以提供充分保护，则应暂停数据传输。
这一判决实质上为数据出口方设置了严格的尽职调查义务。其后欧洲数据保护委员会（European Data Protection Board，EDPB）发布TIA相关建议。理论上，TIA已经成为强制性要求。
但是实践中存在一个问题：TIA究竟需要做到何种程度才算满足充分性要求？相关标准至今仍不够明确。
（三）TikTok案明确企业必须证明TIA经得起监管审查
TikTok案进一步强化了上述原则。DPC和法院不仅关注企业是否开展TIA，还进一步关注企业开展TIA的评估论证是否充分，更加看重评估结果的推导逻辑是否足够经得起推敲，分析是否足够充分，整改中的补充保护措施是否真正能够达到风险缓释的效果。
TikTok案中法院强调，企业不能仅基于自身判断认为第三国能够提供充分保护，而必须能够verify（核查）、guarantee（保障）、demonstrate（证明）其数据跨境安排符合GDPR要求。
换言之，监管机构关注的不再只是企业有没有签SCC、是否完成TIA的形式合规，更监管TIA的评估过程是否严密、充分；TIA是否产生合规效力也不单独依赖企业的自身评估判断，还需要能够被监管机构审查验证。
TikTok案对出海中企的启示在于，今后开展TIA时，不仅要完成TIA这一合规动作，还必须针对具体的数据跨境传输场景展开细致的分析论证，才有望能够得到监管机构的认可。
02.
TikTok案的关键争议：远程访问也可能构成数据跨境传输
TikTok案中，最值得中国企业关注的问题之一，是法院对于“远程访问”（remote access）的认定。TikTok的主要抗辩之一是：欧洲用户数据存储于新加坡、美国服务器，中国员工仅通过远程方式访问，并不存在数据进入中国境内存储的情况。但法院没有接受这一观点。法院认为，GDPR意义上的数据处理并不以长期存储为必要条件。当中国境内员工通过远程连接访问数据时：数据可能被加载至本地设备RAM；CPU、GPU及缓存可能对数据进行临时处理；员工可以查看、分析或操作数据。这些活动已经构成GDPR意义上的“处理”（processing）。
因此服务器所在地并不能单独决定数据是否发生跨境传输。数据访问和处理活动发生在哪里，同样需要纳入评估范围。
这一判断对于中国企业具有直接启示，实务工作中我们发现很多企业存在一个误区，认为只要数据不存储在中国，就不存在跨境传输，但TikTok案的裁判意见明确指出了远程访问亦构成GDPR下的数据跨境，这一点也和中国《个人信息保护法》下面对于数据出境的判断是一致的。对出海欧洲的企业而言，提示企业注意如果存在以下情形，即便数据服务器位于欧洲、新加坡或美国等地，也不能简单认为“不涉及向中国进行数据跨境传输”，例如：
-
中国研发团队访问欧洲用户数据；
-
中国客服团队处理欧洲客户信息；
-
中国安全团队进行日志分析；
-
中国总部进行运营分析等。
03.
TikTok案真正的实务启示：如何提高SCC+TIA的合规成功率？
在实务工作开展中，很多企业会问，关于欧盟的数据回传合规，是否签署SCC、填写TIA模板、完成归档就算是“合格”了？
对于这个问题，TikTok案已经给出了明确的答案，形式合规不能完全满足欧盟当前的监管标准，企业未来应持续关注数据跨境的实质合规。
从TikTok案提供的后续合规启示，为更好提高SCC+TIA的“成功率”，建议出海中企应将数据跨境传输影响评估（TIA）定位为一个动态、实质性的风险评估流程，而非一次性的文件填写工作。结合既往的实务开展经验，我们提供以下四方面角度供企业参考：
1. 技术与法律环境评估并行
技术层面：TIA不能仅停留在宏观描述，必须像TikTok案中法院要求的那样，细化到数据流动的全链路，包括数据在源端、传输通道、目标端服务器及终端设备（如RAM、CPU缓存）上的所有处理活动。
法律层面：不能仅罗列第三国法律条文，而必须进行深度、辩证的分析，评估第三国的数据调取权力（如执法机构、情报部门）是否会对数据主体的权利造成与欧盟“实质等同”保护水平之外的干预。
2. 建立合规“证据链”
确保TIA得出的每一项“合规”或“风险可控”的结论，都有清晰、可核查的论证过程和客观依据（如第三方技术审计报告、法律意见书），而非仅凭企业自身的主观判断。
3. 基于评估结果，采取补充措施
如果评估发现第三国法律环境无法提供“实质等同”保护，必须设计并实施技术性、组织性或合同性的补充措施（如强加密、匿名化/假名化、设立本地实体进行监管互动等）。关键在于，这些措施的有效性本身也需要被持续评估和记录。
4. 实施动态、持续性的监管
欧盟数据保护法要求合规是“进行时”。企业应建立持续的监控和审查机制，当国际法律环境（如第三国出台新数据法）、公司业务模式或技术架构发生变化时，应重新触发TIA流程，确保合规状态持续有效。仅仅签署SCC并归档，无法应对这种动态变化。
04.
从Meta案看“搭桥”逻辑
在TikTok案之外，还有一条平行线索值得关注。
2023年5月，DPC对Meta处以12亿欧元罚款，并责令其暂停将欧盟用户数据传输至美国。Meta随即上诉，罚款暂缓执行。但真正威胁Meta欧洲业务存续的，不是罚款本身，而是暂停传输令——如果生效，Facebook在欧洲将无法运营。
正是在这一压力下，欧美加速谈判并于2023年7月通过了“欧盟-美国数据隐私框架”（DPF），对美国的充分性认定重新生效，Meta得以援引DPF继续传输数据。
但问题并未终结。2026年，隐私组织NOYB已就DPF的有效性向欧盟普通法院提起诉讼，主张DPF下的救济机制DPRC不够独立、美国情报活动仍缺乏有效约束。这一诉讼被称为“Schrems III”的潜在先声。
这条线索揭示了一个规律：欧美之间的数据跨境传输，本质上是通过国家间的制度安排来解决的——从安全港到隐私盾再到DPF，每隔几年搭一次桥，被推倒再重来。企业合规当然要做，但最终决定传输能否持续的，是国家层面充分性认定的“桥”是否立得住。
这也说明GDPR并不是禁止数据跨境，而是在要求数据跨境建立更稳定的制度基础。因此，对于中国企业而言：一方面，应持续完善自身SCC和TIA合规体系；另一方面，也应关注未来中欧之间是否可能形成更加稳定的数据跨境合作机制。
结语
从目前欧盟对数据跨境流动的监管实践来看，未来欧洲数据跨境监管可能呈现两种并行趋势。一方面，在数字主权意识增强、地缘政治风险上升以及数据安全战略地位不断提升的背景下，欧盟对于涉及第三国的数据传输审查可能进一步趋严，企业或将面临更加严格的TIA审查、更高的数据本地化要求以及更频繁的监管关注。另一方面，GDPR本身并非禁止数据跨境流动，而是要求数据流动建立在可信、安全且可验证的保护机制之上。考虑到欧洲经济对全球数字贸易的高度依赖，未来仍可能通过充分性认定、行业认证机制、跨境数据合作框架以及监管协调等方式，逐步探索更加稳定的数据流动解决方案。
因此，TikTok案对于中国企业最大的启示，并不是“中国企业无法向欧洲传输数据”，而是企业正在进入一个“可证明合规”的时代。SCC仍然是GDPR认可的数据跨境传输工具，但其有效性越来越取决于企业能否证明其针对具体业务场景进行了充分的数据跨境影响评估（TIA），是否真实识别并分析了第三国法律风险，是否采取了合理有效的技术和组织措施，以及是否形成了完整、可追溯、能够经受监管审查的合规证据链。
在当前国际环境下，单个企业无法完全改变欧盟对于第三国法律环境的评价，也无法左右国际层面的制度发展，但企业仍可以通过更加精细的数据治理体系、更加扎实的TIA分析以及持续完善的风险缓释措施，提高数据跨境安排获得监管认可的可能性，降低合规风险。TikTok案真正带来的，并非一个“不能出海”的结论，而是一条更加清晰的合规路径：数据跨境合规正在从形式上的工具选择，转向实质性的风险评估与持续证明。对于计划拓展欧洲市场的中国企业而言，未来竞争力不仅来自业务能力，也来自能否建立一套经得起监管检验的数据合规体系。
*实习生李亚宸对此文亦有贡献。
文章附录
[1] TikTok Technology Limited and TikTok Information Technologies UK Limited v Data Protection Commission [2026] IEHC 347 (High Court of Ireland, 3 June 2026)
作者简介
Authors
特 别 声 明
以上文章仅代表作者本人观点，不代表北京金诚同达律师事务所或其律师出具的任何形式之法律意见或建议。
