Meta Ireland系统性、重复性、持续性非法向美国跨境传输欧洲用户数据被罚12亿欧元案

【案件背景】
2023年5月22日，爱尔兰数据保护委员会（DPC）宣布对Meta Platforms Ireland Limited 处以12亿欧元（约合人民币92亿元）的行政罚款，这是迄今全球GDPR执法史上金额最高的单笔罚单。调查自2020年8月启动，DPC审查了Meta Ireland通过其Facebook服务将欧洲经济区（EEA）用户的个人数据从欧盟/欧洲经济区传输至美国的合法性基础。2020年7月，欧盟法院在Schrems II案中裁定欧盟-美国'隐私盾'协议无效，此后企业继续向美国传输数据只能依赖标准合同条款（SCCs）并辅以补充措施，Meta继续使用新版的2021年SCCs进行数据传输。

【违法事实】
经DPC调查并经过欧洲数据保护委员会（EDPB）争议解决机制裁决：一是违反了GDPR第46(1)条——Meta虽然使用了欧盟委员会2021年通过的新版SCCs，并辅以补充措施，但DPC认定这些安排未能解决欧盟法院在Schrems II判决中指出的对数据主体基本权利和自由的风险，Meta未能核实、保证并证明补充措施和SCCs能有效确保EEA用户个人数据获得与欧盟内本质等同的保护水平；二是违规行为具有系统性、重复性和持续性特征——Facebook在欧盟拥有数百万用户，传输的个人数据量巨大，EDPB主席表示这构成了对欧盟公民个人数据的'系统性、重复性和持续性'转移；三是美国监控法律的风险未被充分缓解——美国《外国情报监视法》第702条等法律赋予美国政府机构广泛的数据访问权限，Meta的补充措施（如加密技术）无法在技术层面阻止美国政府依法获取数据。

【处罚决定】
DPC对Meta Ireland行使以下纠正权：一是处以12亿欧元行政罚款（EDPB决定将罚款计算起点设为法定最高额的20%-100%）；二是责令自通知之日起5个月内暂停向美国传输个人数据；三是自通知之日起6个月内停止在美国处理（包括存储）违规传输的EEU用户个人数据。Meta表示将提起上诉，并警告该裁决将为欧-美企业跨境数据传输树立'危险先例'。

【典型意义】
本案是全球数据跨境传输合规的'地震级'案例，具有深远影响：一是12亿欧元的天价罚款彻底震动了全球跨国企业的数据传输治理架构——表明仅依靠SCCs形式的合同安排不足以解决目的地国监控法律带来的本质风险；二是确立了'实质等同保护'的验证责任——数据传输方不能仅依赖SCCs的工具选择，还必须对目的地国的法律环境和实践进行深入的'传输影响评估（TIA）'，证明补充措施能有效弥补目的国法律与欧盟标准之间的实质差异；三是对全球互联网巨头敲响警钟——Meta在提起上诉的同时，已开始推动欧盟数据本地化（将美国数据中心迁移方案纳入规划），标志着'全球化数据中心'模式在GDPR框架下面临根本性挑战。