返回案例库
欧盟中国大陆大模型 / 生成式 AI企业软件 SaaS2025
TikTok 因未能证明中国法下保护水平"实质等同"被罚 5.3 亿欧元
主体：TikTok Technology Limited（爱尔兰）
已对照官方来源核实 · 2026-09-12已对照官方原文核实
发生了什么
TikTok 以欧盟标准合同条款加补充措施为基础，允许中国境内员工远程访问欧洲经济区用户个人数据。爱尔兰数据保护委员会作为主监管机构立案，审查传输的合法性以及隐私政策对该传输的告知是否充分。
监管或当事方如何处理
调查中 TikTok 自行提交的中国法评估显示，《反恐怖主义法》《反间谍法》《网络安全法》《国家情报法》等在若干方面与欧盟标准存在实质性差异。DPC 认定 TikTok 未能核实、保证并证明标准合同条款与补充措施足以使远程访问的数据获得与欧盟实质等同的保护水平，违反第 46(1) 条；同时认定 2021 年 10 月版隐私政策在第 13(1)(f) 条要求的传输信息上不合格（不合规期间为 2020-07-29 至 2022-12-01），2022 年 12 月版隐私政策则被认定合规。草案决定于 2025-02-21 提交第 60 条协作机制，其他监管机构未提出异议。
结果
合计行政罚款 5.3 亿欧元，其中第 46(1) 条部分 4.85 亿欧元、第 13(1)(f) 条部分 4500 万欧元；并责令六个月内整改，逾期则中止向中国的传输。此外，TikTok 在 2025 年 4 月告知 DPC，其 2025 年 2 月发现存在少量欧洲经济区用户数据实际存储于中国境内服务器，与其在调查中提交的证据不符，DPC 表示正在与其他成员国监管机构商议是否采取进一步监管行动。
对中国出海企业的启示
- · 把"数据不出境"写进对外材料前，先把远程访问算清楚：中国境内工程师通过跳板机、运维后台、模型调试平台读取欧盟用户数据，在 GDPR 下就是第五章意义上的传输，与数据物理落地在哪无关。
- · 做传输影响评估（TIA）时不要外包给模板：TikTok 败在自己提交的中国法评估上——评估一旦承认本地法与欧盟标准存在实质差异，就必须同步给出能真正抵消该差异的技术措施（端到端加密且密钥不在境内、可验证的访问拒绝机制等），否则该评估会成为对方的证据。
- · 隐私政策里的传输披露要按第 13(1)(f) 条逐项写清：接收国、接收方类别、所依据的传输机制、如何取得该机制副本。用"我们可能与关联公司共享数据"这类措辞覆盖不了该条要求，本案单这一项就是 4500 万欧元。
- · 给监管机构的每一份陈述都要能经得起事后自查。本案真正的二次风险不是罚款，而是"提交了不准确信息"——建立数据存储位置的季度实测与留痕机制，别依赖业务线口头确认。
来源（1）
- 爱尔兰数据保护委员会就 TikTok 向中国传输欧洲经济区用户数据案作出 5.3 亿欧元罚款决定爱尔兰数据保护委员会（DPC） · 发布 2025-05-02 · 核实 2026-09-12
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。