西班牙某跨国电信企业未进行传输影响评估（TIA）且SCCs论证不足被罚案

【案件背景】
2024年，西班牙数据保护机构（AEPD）在审查中发现，某在西班牙运营的跨国电信企业将其西班牙用户的服务数据（包括通话记录、账单信息、客户服务交互记录等）通过标准合同条款（SCCs）传输至位于美国、印度和菲律宾的关联公司和第三方服务提供商。该企业在GDPR要求的传输影响评估（TIA）环节存在严重不足。

【违法事实】
经AEPD调查认定：一是未进行充分的数据传输影响评估（TIA）——根据Schrems II裁决和EDPB第01/2020号建议，数据出口方在使用SCCs向第三国传输数据前必须完成传输影响评估，评估目的地国的法律和实践是否实质等同于欧盟的保护水平，但该企业的TIA流于形式，未对各目的地国的具体法律进行逐项分析；二是SCCs的充分性论证不足——企业签署了标准合同条款，但未能证明SCCs中的合同条款能够有效弥补目的地国（特别是印度和菲律宾）法律框架与欧盟标准之间的差异；三是目的国风险评估不均衡——企业对美国的传输进行了初步的风险分析，但对印度和菲律宾的传输几乎未做风险评估，存在明显的评估盲区；四是补充措施的论证缺失——在识别出目的地国法律保护水平不足的情况下，企业未就拟采取的补充技术措施（如端到端加密、假名化处理、合同约定的政府访问请求审查程序等）的有效性进行充分论证。

【处罚决定】
AEPD依据GDPR第46条（跨境传输的适当保障措施），对企业处以行政罚款（具体金额未完全公开），并要求企业完成以下整改：对每个目的地国进行独立的传输影响评估，补充并记录针对各目的地国的具体补充措施，建立常规的TIA更新机制以反映目的地国法律的变化。

【典型意义】
本案从传输影响评估（TIA）质量和多目的地国管理的角度丰富了跨境传输执法实践。一是TIA不能'一份报告涵盖所有目的地国'——每个目的地国的法律框架和实际保护水平不同，TIA必须逐国进行；二是SCCs是跨境传输的起点而非终点——签署SCCs只是完成了工具选择，在此基础上的TIA和补充措施才构成合规的完整闭环；三是对将数据处理外包至多国的企业尤其是警示——不能因为某个目的地国（如美国）已经受到重点审查就忽略对其他目的地国的同等评估；四是AEPD作为欧盟处罚案例最多的监管机构，正在将TIA的审查标准不断细化——从'有没有TIA'到'TIA是否逐国充分'，审查精度持续提升。