数据跨境流动 | 欧盟新版标准合同条款全文翻译

编者按：

本公号长期关注数据跨境流动政策、法律、实践，发表了以下系列成果：

今天和大家分享的是《GDPR下将个人数据传输至第三国的标准合同条款的实施决定（草案）的附录》的全文翻译。译者为王新锐律师等。

译者序

欧盟委员会于2020年11月12日发布了《第2016/679号条例（GDPR）下将个人数据传输至第三国的标准合同条款的实施决定（草案）》，并以附录形式发布了新版数据跨境传输标准合同条款的草案（“新版SCC”）。上述两份文件虽尚未正式通过生效，但仍反映了欧盟委员会在Schrems II一案后对于利用标准合同条款进行数据跨境传输的态度和指示意见。

新版SCC不仅包含了适用于多种场景的通用条款，还面向以下四种不同场景提供了更具有针对性的模板条款：（1）控制者之间的传输；（2）从控制者传输至处理者；（3）处理者之间的传输；（4）从处理者传输至控制者。

第一节的通用条款阐明了SCC适用的目的与限制，明确数据主体可作为第三方受益人主张SCC相关权利以及例外情况。除此之外，新版SCC还提供了可选用的接入条款，即第三方满足一定条件后成为条款的缔约方，并由此附有相应的权利与义务。

新版SCC第二节第2条考虑当地法律可能对跨境传输产生的影响，要求缔约方保证其没有理由相信目的国法律会妨碍数据进口方履行SCC下的义务，而以上保证需建立在有效评估的基础上。此类评估应考虑到传输的具体情况（包括接收方的类型、处理目的、传输的个人数据的性质等）、目的地国家的相关法律（是否有披露要求等）以及SCC所规定的保护措施外的任何保护措施。

除了以上通用条款的规定，新版SCC中还针对不同传输场景提供较有针对性的适用条款，例如，对于数据主体权利的实现：若是控制者之间的传输，数据进口方应响应数据主体就处理其个人数据及行使其在本条款下的权利而提出的任何询问及要求；若是从控制者传输至处理者，则针对任何从数据主体处直接接收的询问或要求，数据进口方应迅速通知数据出口方。除非（直至）获得数据出口方授权，数据进口方不得自行回应该询问或要求。

在Schrems II一案后，需在欧盟开展数据跨境传输的企业亟待相关监管机关给出进一步指示，新版标准合同草案从某种程度上反映出监管的态度，尤其强调了数据跨境传输在目的地国家的合法合规性。我们认为，虽然新版SCC当前只是草案，但对于我国涉及数据跨境传输的立法和监管以及企业实践均具有很大参考价值。若译文有不准确或错误，欢迎指正。

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过300人。关于DPO社群和沙龙更多的情况如下：

域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：

DPO线下沙龙的实录见：

传染病疫情防控与个人信息保护系列文章

美国电信行业涉及外国参与的安全审查系列文章

中国的网络安全审查系列文章：

自动驾驶系列文章：

欧盟“技术主权”进展跟踪系列文章：

数据安全法系列文章：

个人数据与域外国家安全审查系列文章

围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：

美国方面的个人信息保护立法：

中国个人信息保护立法系列文章

第29条工作组/EDPB关于GDPR的指导意见的翻译：

关于美国出口管制制度，本公号发表过系列文章：

供应链安全文章：

人脸识别系列文章：