欧洲动态 | 法国CNIL就传输影响评估指南草案征求公众意见

文/ 王捷律师团队 

W&W国际法律团队

专注互联网出海法律实务：

W&W国际法律团队深耕海外多地区多条业务线，通过多年来积累的出海法律服务经验以及资源优势，结合本土化的合规经验与国际化的思维，致力于为出海互联网企业提供专业的一站式法律解决方案，为逐鹿海外的互联网企业提供优质及多元化的法律服务，为各类新型业务搭建运营合规体系及提供有效的风险评估及合规解决方案。

互联网前沿领域法律服务：

W&W国际法律团队深耕出海法律实务的同时，也紧跟互联网前沿动态，可以为互联网企业提供前沿领域的法律服务，为企业开拓新的业务领域保驾护航，比如AIGC产品全链路合规法律服务，包括AI与数据合规， AIGC与知识产权布局、侵权风险防范，内容审核标准制定等。

覆盖以下行业领域：

物联网、智能家居、智能汽车、车联网、芯片制造、Web3.0、NFT、AI、电子设备及智能终端制造、数字化安全、IOT、云计算与服务、社交网络平台、电子商务、短视频视听直播、网络游戏、人力资源等行业领域。

（此处仅展示部分内容，如有任何需求，请尽管与我们联系。）

引言

鉴于当前世界各国在科技与网络领域的监管呈现复合型趋势，W&W地区观察专题将触及个人信息保护、数据合规、网络安全、人工智能、数字经济等板块，跟踪并解读全球主流出海目标国在上述领域中的立法、监管动向，提示企业合规要点，为企业开展出海业务、部署国内合规工作提供参考。

01

背景

01

2024年1月8日，法国数据保护机构（CNIL）发布了一份传输影响评估（transfer impact assessment，以下简称TIA）实用指南草案，并征求公众意见。CNIL指出，根据欧洲数据保护委员会（EDPB）关于补充数据传输文件的额外措施的建议，CNIL制定了该指南草案，以帮助数据传出方开展TIA。

03

指南草案包括哪些具体内容？

02

指南草案包括一种方法和一个清单，确定了在进行TIA时需要考虑的各种因素。此外，指南草案还说明了如何按照EDPB建议中列出的六个步骤进行分析以及对应的文件。该指南草案还指出该草案并不构成对第三国的法律和实践以及相关风险的评估。

指南草案还规定了进行贸易影响评估应遵循的以下六个不同步骤：

• 第1步：传出方了解数据传输过程并能正确描述，以便在评估中考虑其特点和敏感性。

• 第2步：记录数据传输所使用的传输路径，并对是否需要开展TIA进行分析。

• 第3步：评估数据目的地国的立法和实践，以及传输工具的有效性。

• 第4步：确定并采取补充措施，包括确定安全措施（技术、合同和组织），确保第三国有足够的数据保护水平，同时考虑到传输（第1步）以及对第三国立法和惯例的评估（第3步）。如果这些措施不足够，传出方应确定需要实施的补充措施，以确保所传输的数据在第三国享有与欧洲经济区内基本同等的保护水平。

• 第5步：实施补充措施和必要的程序步骤。

• 第6步：以适当的间隔重新评估数据保护水平，并监控可能对其产生影响的潜在发展。

最后，指南草案指出，使用指南草案不是强制性的，可以考虑其他要素，也可以采用其他方法。

03

垦丁W&W简评

03

在作为数据传出方的数据控制者或处理者基于GDPR第46条规定的个人信息传输合法路径，将数据从欧洲经济区国家传输到第三国之前，应该开展TIA。TIA的目的是使传出方能够评估传输目的地国家或地区提供的数据保护水平，并考虑目的国或地区当局在访问数据方面的做法等情况。必要时，TIA还应评估补充措施是否能够弥补已发现的缺陷并确保达到欧盟立法要求的数据保护水平。CNIL发布的指南提供了执行TIA过程中建议遵循的六个步骤，指导企业开展TIA。

主编介绍

王 捷 律师

垦丁律师事务所合伙人、广州联合创始人、执行主任

W&W国际法律团队创始人

荣登律商联讯（LexisNexis）2023「40位40岁以下的法律精英」榜单

业务领域：

个人信息保护与全球数据合规、数据合规、互联网与网络法实务合规、企业出海合规、网络安全

王律师持有CIPP/E（国际信息隐私专家认证/欧盟）、区块链应用操作员资格证书、数据安全师、数据合规官资格证书，是联合国世界丝绸之路委员会专家，中国国际贸易促进委员会深圳调解中心专家调解员，广东省法学会信息通讯法学研究会理事，荷兰RuG国际经济法与商法硕士。

王律师曾在阿里巴巴大文娱集团、国际律所与海外仲裁委员会工作积累了12年+科技型公司实务经验，具备中外律所从业背景。专业能力模块包括产品风险管控、业务流程搭建、竞对攻防布局、政府监管合规、海外公司治理等。王律师已为多家头部与一线的知名互联网公司、大中型外资企业及大型国企提供专业法律服务，行业覆盖物联网、智能终端制造、IOT、云计算与服务、社交网络平台、电子商务及平台、智能汽车与车机系统、芯片制造业、网络游戏、Web 3.0、NFT、AI、以及GPT等新兴领域。

王律师擅长解决由互联网、数据及智能技术引发的数据安全风险与合规解决方案落地，包括数据保护与合规、产品风险管控、业务流程搭建、风险分析评估、政府监管合规、竞对攻防布局，已为各类涉互联网企业拓展全球市场提供法律支持，尤其擅长为企业出海欧美、东南亚、印度、日韩、中东、中国港澳台地区等新兴及重要市场提供有效的合规解决方案与落地支持。

同时，王律师独著《Comparison of Various Compliance Points of Data Protection Laws in Ten Countries/Regions》，在全球最高分的六篇论文中，荣获国际知名隐私组织FPF第 12 届政策制定者年度隐私论文奖，该文章同时被评为年度隐私政策制定者“必读”文章。其耕笔的多篇互联网与数据合规文章收录于国际知名专业数据库。

联系方式：[e-mail]

[phone] 

推荐阅读：