法国CNIL对某跨国快消品公司DPO未参与数据跨境传输SCC签订流程被罚案

【案件背景】
2022年，法国CNIL发现某跨国快消品公司在与亚太区域共享服务中心签订涉及法国员工数据跨境传输的标准合同条款（SCC）时，DPO完全未参与SCC的起草、风险评估和审批流程。所有决策均由法务部和IT部自行完成。

【违法事实】
GDPR第39(1)(b)条要求DPO就数据保护影响评估提供建议并监控其执行。SCC作为数据跨境传输的核心保障工具，其风险评估和条款制定需要DPO的深度参与。将DPO排除在此类重要的数据保护决策之外属于DPO义务的实质性违反。

【处罚决定】
CNIL处以15万欧元罚款，要求DPO必须被纳入所有涉及数据保护影响评估和跨境传输的决策流程。

【典型意义】
一是DPO是数据跨境传输合规的关键参与者而非'橡皮图章'；二是跨国公司的数据共享安排因其复杂性和高风险性尤其需要DPO的早期深度参与。