TikTok Ireland未充分评估中国法律保护水平+透明度缺陷非法向中国传输EEA用户数据被罚5.3亿欧元案

【案件背景】
2025年5月2日，爱尔兰数据保护委员会（DPC）宣布对TikTok Technology Limited 处以5.3亿欧元行政罚款，理由是TikTok在将EEA用户个人数据传输至中国的过程中，未能提供足够的法律保障和透明度。调查于2021年9月启动，审查TikTok将EEA用户数据转移至中国的合法性以及透明度义务的履行情况。TikTok在整个调查期间向DPC表示未将EEA用户数据存储在中国的服务器上，但2025年4月，TikTok通知DPC发现2025年2月部分EEA用户数据实际上已存储在中国服务器上，与此前调查中提供的证据相矛盾。

【违法事实】
经DPC调查认定，TikTok违反了两项GDPR条款：一是违反第46(1)条（跨境传输合法性）被罚4.85亿欧元——TikTok未能核实、保证并证明标准合同条款（SCCs）和补充措施能够有效确保通过中国员工远程访问方式传输的EEA用户个人数据获得与欧盟内本质等同的保护水平。TikTok辩称远程访问传输不受中国法律的约束，但其提交给DPC的中国法律评估报告却显示中国法律框架（包括《反恐怖主义法》《反间谍法》《网络安全法》《国家情报法》）与欧盟标准存在实质性差异。DPC认为TikTok未能充分评估中国法律和实践对被传输EEA数据的保护水平，因此无法选择合适的保障措施和补充措施；二是违反第13(1)(f)条（透明度义务）被罚4500万欧元——TikTok 2021年EEA隐私政策未指明个人数据被传输至中国，也未说明数据处理涉及中国人员对美国/新加坡存储数据的远程访问。TikTok于2022年12月更新的隐私政策被认可为合规，因此违规期限定为2020年7月至2022年12月。

【处罚决定】
DPC处以总计5.3亿欧元罚款，其中透明度违规4500万欧元、传输违规4.85亿欧元。同时要求TikTok在6个月内使其数据处理方式符合GDPR第五章要求，如期限届满未实现合规，将下令暂停TikTok向中国传输数据。TikTok表示将上诉，称其已通过'三叶草计划'（Project Clover）投资超120亿欧元用于欧洲用户数据安全（在三家挪威和爱尔兰数据中心存储欧洲数据）。

【典型意义】
本案是首次针对数据向中国传输实施GDPR执法的标志性案例，具有多重标志意义：一是传输影响评估（TIA）的实质性审查标准被全面激活——TikTok虽使用了SCCs，但未能完成对目的地国（中国）法律的深入评估，DPC表明：SCCs的形式使用不构成传输的合规通行证；二是向DPC提供不准确信息构成重大的程序性违规——TikTok先是否认数据存储在中国，后被证实确有少量数据存储在中国，这使DPC对其合规态度产生严重疑虑，也是4.85亿欧元高额罚款的重要考量因素；三是远程访问构成GDPR下的'跨境传输'——DPC首次明确提出中国员工的远程访问构成独立的跨境传输行为，这一定性对中国出海企业的数据架构具有直接影响。