数据跨境流动 | 爱尔兰高等法院暂时允许Facebook继续个人数据跨大西洋传输

编者按：

公号君一直非常关注数据跨境流动。对此议题，本公号曾发表的文章如下：

另外一个与此相关的系列研究是：个人数据与域外国家安全审查系列文章。这个系列具体的文章列表，请见文末。

近日，爱尔兰最高法院暂时支持了Facebook爱尔兰继续向美国传输个人数据的诉求。本文对此作出初步分析。

最新进展

8月底，爱尔兰数据保护委员会（IDPC）发布了一项初步决定，指示Facebook暂停向美国转移源自欧盟的个人数据。【详见：数据跨境流动 | 爱尔兰DPA即将禁止FACEBOOK的数据跨境传输】该初步决定是在7月欧盟法院（CJEU）就个人数据跨境转移作出具有里程碑意义的判决（即Schrems II判决）之后作出的【详见：数据跨境流动 | 美欧“隐私盾协议”被判无效背后的逻辑】。CJEU在7月的判决中宣布欧盟-美国隐私盾协议在跨境数据传输方面无效，并对使用标准合同条款（SCC）作为支持向美国和其他地方跨境传输数据的机制进行了重大限制。【详见：数据跨境流动 | 欧盟EDPB对欧盟隐私盾协议被判无效的相关问答（全文翻译）】

2020年9月10日，Facebook爱尔兰公司主张采取法律行动，寻求禁止IDPC提出的禁止Facebook将个人数据从欧盟转移到美国的初步决定。Facebook爱尔兰称，IDPC的行为违反了几项行政法原则，包括在发布初步决定之前没有进行适当的调查，过早的判断和偏见，没有遵循IDPC的程序，违反公平程序，以及歧视性待遇等。【Facebook向法庭提交的宣誓书(Affidavit)的全文，附在本文章后】

Facebook支持其诉求的宣誓书称，"[Facebook]并不清楚，在这种情况下，它如何能继续在欧盟提供Facebook和Instagram服务"。Facebook还警告称，如果它 "单独被调查并被暂停向美国传输数据，这将有可能造成严重的竞争扭曲"。

9月14日，爱尔兰高等法院发布单方面命令，暂时中止IDPC提出的禁止Facebook向美国传输数据的建议。法院计划在今年晚些时候就此事举行听证会。

初步分析

由于IDPC的初步决定处于保密状态，因此外界对决定全文和要点不得而知。但此次在Facebook提交的宣誓书中，我们得以窥见初步决定的重点部分内容，截图如下：

在上文可知，IDPC的初步决定书的主要关注点在于——在Schrems II判决作出之后，Facebook爱尔兰能不能通过“标准格式条款”（SCCs），将欧盟用户的数据传输至Facebook Inc（即Facebook美国）。

在初步决定书中，IDPC作出了如下判断，SCCs不足以提供与欧盟GDPR及相关法律“实质上等同”（essentially equivalent）的保护水平，因此，IDPC建议Facebook爱尔兰暂停向Facebook美国的数据传输活动。

简短评论

很明确，按照欧盟法院的Schrems II判决，如果一个组织希望依靠标准合同条款(SCCs)或具约束力的公司规则(BCRs)将个人数据转移到欧洲经济区(EEA)以外，则其必须评估个人数据目的地国家的法律，是否能确保所接收的个人数据得到充分的保护。一旦评估的结果是目的地国家的保护水平不充分，该组织和数据接收者还需要采取额外的保障措施，以确保为个人数据提供基本同等程度的保护。

IDPC的初步决定即是根据上述逻辑得出的。此次爱尔兰高等法院支持Facebook爱尔兰的诉求，主要是因为IDPC在做出决定时程序性方面的瑕疵，并不是对实体问题做出判断。

因此我们还是需要等待欧盟对SCCs的修改，或EDPB对所谓的“额外的保障措施”发布正式的指导。【详见：数据跨境流动 | 德国巴符州DPA率先解释与SCC配套的“额外的保障措施”】

于此同时，按照Schrems II判决的逻辑，除了欧盟成员国，以及欧盟正式给与“充分性认定”的国家和地区之外【详见：数据跨境流动 | 最新判决将显著影响英国与欧洲大陆之间的数据自由流动】，能够继续使用SCCs来作为个人数据跨境传输的法律工具，都要划上一个大大的问号。（完）

Facebook爱尔兰提交的宣誓书

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过300人。关于DPO社群和沙龙更多的情况如下：

DPO社群成果

线下沙龙实录见：

传染病疫情防控与个人信息保护系列文章

美国电信行业涉及外国参与的安全审查系列文章

中国的网络安全审查系列文章：

美国的出口管制制度系列文章：

自动驾驶系列文章：

欧盟“技术主权”进展跟踪系列文章：

第29条工作组/EDPB关于GDPR的指导意见：

数据安全法系列文章：

个人数据与域外国家安全审查系列文章

人脸识别系列文章：

围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：

供应链安全：

美国方面的个人信息保护立法：