传输影响评估（TIA）——配合欧盟标准合同条款第 14 条

章节结构（9）

1. 1. 一、传输映射：把每一条出境链路找出来（步骤 1）

   EDPB 建议 01/2020 的第一步是"了解你的传输"。本节产出一张传输清单，每一行一条链路，字段包括：链路编号、出口方与进口方主体、进口方所在国、数据类别与数据主体类别、传输目的、传输方式（复制传输 / 境内存储但境外可访问 / 远程运维访问 / 备份与灾备 / 日志与遥测）、数据量级与频率、留存期限、是否存在再传输（onward transfer）及其接收方。两类链路最常被漏掉：一是运维与支持人员的远程访问（不产生数据副本，但同样构成传输）；二是可观测性链路（日志、崩溃报告、模型推理记录）。本节还应确认一个基本前提：传输的数据确实是必要且最小化的——建议在此处直接给出为减少传输而已经做过的裁剪（字段删减、聚合、假名化），因为后续的风险评估结论很大程度取决于"到底传了什么"。

   需要附的证据

   • · 传输清单（字段如上，含链路编号以便后续章节交叉引用）
   • · 数据流图（标注境内外边界与访问方向）
   • · 第 30 条处理活动记录中相应的传输条目
   • · 最小化措施说明与实施前后的数据字段对比
   • · 远程访问账号清单与访问日志样本

   常见失分点

   • · 只统计"数据复制到境外"的链路，把远程访问与临时排障访问排除在外；
   • · 日志与遥测链路未纳入，而它们经常包含用户输入原文；
   • · 再传输（进口方转给其分包商）一栏空白，导致链条在第一层就断了；
   • · 清单没有编号，后续章节无法与具体链路对应，评审时只能整体讨论。

2. 2. 二、识别所依据的传输工具（步骤 2）

   第二步是确认每条链路依据第五章的哪一项工具：第 45 条充分性决定、第 46 条适当保障（标准合同条款、有约束力的公司规则、经批准的行为准则或认证机制）、还是第 49 条减损。若目的地已有充分性决定覆盖且本次传输落在该决定的范围内（注意范围限定，例如仅覆盖特定框架下的认证实体），则无需继续做第 3 步的法律环境评估；若依赖第 49 条减损，须注意其适用是例外性的、通常不适于常规或大规模传输。绝大多数中国企业走的是标准合同条款路径，此时要写明：使用的是哪一（几）个模块（模块一控制者到控制者、模块二控制者到处理者、模块三处理者到处理者、模块四处理者到控制者）、签署主体与日期、附件 I（当事方、传输说明、主管监管机关）与附件 II（技术与组织措施）是否已按真实情况填写、以及是否使用了对接条款（docking clause）纳入新增当事方。

   需要附的证据

   • · 各链路的传输工具判定表（链路编号 → 工具 → 依据）
   • · 已签署的标准合同条款全文与附件 I–III
   • · 模块选择的理由说明（角色判定依据）
   • · 若依赖充分性决定：范围核查记录（接收方是否在覆盖范围内）
   • · 若依赖第 49 条减损：适用条件的书面论证与例外性说明

   常见失分点

   • · 模块选错（把处理者到处理者的关系签成控制者到处理者），整套条款的义务分配随之错位；
   • · 附件 II 照抄模板范例，与实际部署的技术措施对不上，第 14(b)(iii) 条的评估因此失去基础；
   • · 把第 49(1)(a) 条的明示同意当作常规大规模传输的长期依据；
   • · 集团内新增实体未通过对接条款纳入，实际传输没有合同覆盖。

3. 3. 三、传输的具体情形（第 14(b)(i) 条）

   第 14(b)(i) 条明确列举了在作出第 14(a) 条保证时必须充分考虑的具体情形：处理链条的长度、涉及的主体数量与所用的传输通道；拟进行的再传输；接收方的类型；处理目的；所传输个人数据的类别与格式；传输所处的经济部门；以及所传输数据的存储地点。逐项写实，不要概括。"格式"一项常被忽略但很关键：明文、加密密文（密钥在何处）、哈希、假名化标识、还是聚合统计，直接影响后续法律环境评估的结论强度。"经济部门"也有实质意义：某些部门（电信、金融、关键基础设施）在目的地国可能面临额外的政府访问要求。存储地点要具体到国家与可用区，并写明是否存在跨区复制与灾备副本。

   需要附的证据

   • · 按第 14(b)(i) 条七项要素逐项填写的情形说明表
   • · 数据格式说明（加密方式、密钥管理位置、假名化方法）
   • · 存储位置证明（云服务商区域配置截图、合同中的区域承诺条款）
   • · 再传输接收方清单与其所在国
   • · 处理链条图（含每一跳的主体与通道）

   常见失分点

   • · 写"数据已加密"但不说明密钥由谁持有——若密钥随数据一并在目的地，加密对政府访问几乎无效；
   • · 存储地点只写云服务商名称，不写区域，无法判断实际落地国；
   • · 忽略灾备副本所在区域，而灾备区域常常在另一个法域；
   • · "接收方类型"写"合作伙伴"，未说明其是否可能被目的地国法律认定为电子通信服务提供者等特定主体。

4. 4. 四、目的地国法律与实践评估（第 14(b)(ii) 条 / 步骤 3）

   第 14(b)(ii) 条要求考虑目的地第三国的法律与实践——包括要求向公共机关披露数据或授权其访问的法律——在该次传输具体情形下的相关性，以及适用的限制与保障。第 14(a) 条同时给出了判断基准：尊重基本权利与自由的实质、且不超出民主社会中为保障 GDPR 第 23(1) 条所列目标之一所必需与相称的法律与实践，不与条款相抵触。因此本节不是罗列目的地国全部法律，而是**只评估与本次传输相关的**访问权力：写明具体法律条文、适用主体范围（是否覆盖本进口方的业务类型）、可获取的数据类型、是否需要司法授权、是否有告知与救济途径、以及实践中的适用情况（已公开的统计、透明度报告、已知案例）。评估中国法时，至少覆盖数据安全法第三十六条（未经主管机关批准不得向外国司法或执法机构提供存储于境内的数据）这一对企业有利的阻断性规定，以及可能要求配合的安全与刑事程序法律；对本企业不适用的部分，明确写明不适用的理由。写不出实证时要诚实标注"无公开信息"，并据此调高不确定性，而不是用推测填满。

   需要附的证据

   • · 目的地国相关法律条文的原文引用与官方来源链接
   • · 适用性分析（本进口方是否落入各该法律的适用主体范围）
   • · 政府访问请求的历史统计或透明度报告（若可公开）
   • · 当地法律意见书（若已取得，注明出具机构与日期）
   • · "无公开信息"事项清单与其对结论的影响说明

   常见失分点

   • · 把目的地国法律清单整体罗列一遍，却从不回答"这些法律是否适用于本进口方"；
   • · 只引用对自己有利的条文（如阻断性规定），回避可能被要求配合的条文，结论可信度归零；
   • · 用"据了解""业内普遍认为"替代法条引用；
   • · 结论写"风险可接受"但通篇没有任何实证材料支撑；
   • · 评估一次后长期不更新，而目的地国法律与实践在持续变化。

5. 5. 五、政府访问请求的处理安排（第 15 条）

   标准合同条款第 15 条对进口方在公共机关访问时的义务作了具体规定，本节把这些义务落成可执行的内部流程。第 15.1 节要求：进口方在收到目的地国法律下公共机关（含司法机关）就依本条款传输的个人数据发出的具有法律约束力的披露请求，或察觉公共机关依目的地国法律直接访问此类数据时，应尽快通知出口方并在可能时通知数据主体；通知应包含所请求的个人数据、请求机关、请求的法律依据与所作答复。若目的地国法律禁止通知，进口方同意尽最大努力争取豁免该禁止，以便尽可能多、尽可能早地沟通，并同意记录其所作努力以便应出口方要求证明。在目的地国法律允许的范围内，进口方同意在合同期内定期向出口方提供尽可能多的请求相关信息（特别是请求数量、所请求数据类型、请求机关、是否提出异议及异议结果等）。第 15.2 节要求进口方审查披露请求的合法性——特别是该请求是否仍在请求机关的权限范围内——并在经审慎评估后认为有合理理由认为该请求依目的地国法律、适用国际法义务与国际礼让原则属不合法时提出异议；在同等条件下，进口方还应寻求上诉途径；提出异议时应寻求临时措施以中止请求的效力直至有管辖权的司法机关就实体作出裁定；在依适用程序规则被要求披露之前不得披露所请求的个人数据。第 15.2 节还有两项常被漏掉的要求：(b) 进口方同意记录其法律评估与对披露请求提出的任何异议，并在目的地国法律允许的范围内向出口方提供该文档，亦应主管监管机关要求提供；(c) 进口方同意在回应披露请求时，基于对请求的合理解释，只提供所允许的最小信息量——这一条要落成流程里的一个具体动作：谁来裁剪、按什么标准裁剪、裁剪结论由谁复核并留痕。中国企业还须把数据安全法第三十六条的前置审批流程嵌入其中：向外国司法或执法机构提供境内存储数据前需经主管机关批准，这一步骤应写进流程与时限。

   需要附的证据

   • · 政府访问请求处理 SOP（接收、审查、异议、通知、审批各环节的责任人与时限）
   • · 通知模板（含第 15.1(a) 条要求的四项内容）
   • · 禁止通知时"尽最大努力争取豁免"的记录模板与既往记录
   • · 合法性审查与异议的法律支持安排（内部或外部律师）
   • · 数据安全法第三十六条前置审批的申请流程与联系部门
   • · 定期请求统计报告模板（第 15.1(c) 条）
   • · 披露范围最小化的裁剪标准与逐次裁剪记录（第 15.2(c) 条）
   • · 法律评估与异议文档的留存位置及向出口方提供的安排（第 15.2(b) 条）

   常见失分点

   • · 流程只写"收到请求后上报法务"，没有异议、临时措施与不提前披露的具体动作；
   • · 从未准备通知模板，真正收到请求时在法定紧张期内临时起草；
   • · 把数据安全法第三十六条的审批理解为"不能提供"，未设计合法的审批申请路径；
   • · 定期统计报告从未出具，第 15.1(c) 条的持续义务事实上未履行；
   • · "尽最大努力争取豁免"没有留痕，事后无法向出口方证明。

6. 6. 六、补充措施（第 14(b)(iii) 条 / 步骤 4）

   第 14(b)(iii) 条要求考虑为补充本条款下的保障而采取的任何相关合同、技术或组织措施，包括在传输过程中以及在目的地国处理个人数据时所采用的措施；EDPB 建议 01/2020 的第 4 步给出了补充措施的类型与场景分析，并明确该清单并非穷尽。按三类组织本节：技术措施（传输与静态强加密且密钥由出口方在欧盟境内掌管、不向进口方开放明文访问的分割处理、假名化且再识别所需附加信息留在欧盟、端侧处理与仅回传聚合结果、多方安全计算等）；合同措施（透明度与通知承诺、异议承诺、审计权、明确禁止后门与主动配合、政府请求统计披露、违约救济与暂停/终止权）；组织措施（内部访问审批与最小权限、政府请求的强制升级路径、人员背景审查与保密义务、定期内部审计与向出口方报告、事件响应演练）。关键是逐条评估每项措施**是否实际阻断第 4 节所识别的具体访问风险**：单纯的合同与组织措施无法阻止有权机关依法强制访问，必须说明它们与技术措施如何组合发挥作用。若评估结论是没有任何措施能有效阻断某条链路的风险，应据实写出并进入第 7 节的处置。

   需要附的证据

   • · 补充措施清单（措施—所针对的具体访问风险—有效性论证—验证方式）
   • · 加密方案与密钥管理架构说明（含密钥所在地与访问权限）
   • · 假名化方案与附加信息隔离存放的技术证明
   • · 合同中补充条款的原文（与 SCC 一并签署或作为附加协议）
   • · 组织措施的执行证据（访问审批记录、内审报告、演练记录）
   • · 措施有效性的独立验证（渗透测试、第三方审计、代码审查）

   常见失分点

   • · 措施清单很长但没有一条对应到第 4 节识别出的具体访问风险；
   • · 以"数据已加密"作为通用答案，却未说明进口方在处理时是否必须解密——多数业务场景必须解密，加密因此无法阻断访问；
   • · 只有合同与组织措施而无技术措施，却得出"风险已有效缓解"的结论；
   • · 措施写在纸上但从未验证有效性，评审人无法采信；
   • · 把仅在出口方一侧生效的措施算作对目的地风险的缓解。

7. 7. 七、评估结论与程序步骤（步骤 5）

   本节给出每条链路的明确结论，三选一：可以在现有保障下继续传输；需在落实特定补充措施后方可传输（列明措施、负责人与完成时限）；或无法确保等同保护、不得开始传输或应暂停现有传输。结论必须落到链路编号上，不能只有一个整体结论。同时写明程序性事项：若所采取的补充措施与标准合同条款相冲突或直接或间接违反条款，或降低条款所提供的保护水平，不得采用；若需要对条款作超出附件填写以外的改动，须评估是否因此不再属于第 46(2)(c) 条意义上的"未经修改的标准合同条款"，进而可能需要依第 46(3)(a) 条取得监管机关授权。最后记录批准：谁批准、职位、日期、以及批准覆盖的链路与有效期。第 14(f) 条给出了后续路径：在收到第 14(e) 条通知后或出口方另有理由认为进口方无法再履行条款义务时，出口方应迅速确定应采取的适当措施，并在认为无法确保适当保障或经主管监管机关指示时中止传输，必要时终止合同中涉及个人数据处理的部分。

   需要附的证据

   • · 按链路编号给出的结论表（结论、前提条件、有效期）
   • · 待落实补充措施的行动计划（措施、负责人、时限、验收标准）
   • · 暂停或终止传输的决策记录（若适用）
   • · 批准记录（签署人、职位、日期、覆盖范围）
   • · 若对条款作出附件之外的改动：授权需求分析与监管沟通记录

   常见失分点

   • · 全文只有一句"综合评估风险可接受"，没有按链路给结论；
   • · 结论依赖尚未落实的补充措施，却已经开始传输；
   • · 对标准合同条款做了实质改动（如限制审计权、弱化通知义务），未评估是否丧失第 46(2)(c) 条地位；
   • · 批准人不具备承担该风险的职权；
   • · 没有写明结论的有效期，导致评估无限期被视为有效。

8. 8. 八、文档化与向监管机关提供（第 14(d) 条）

   第 14(d) 条明确：双方同意记录依第 14(b) 条所作的评估，并在主管监管机关要求时提供。"双方"意味着进口方也要参与并保存——第 14(c) 条要求进口方保证其在进行第 14(b) 条评估时已尽最大努力向出口方提供相关信息，并同意继续配合确保条款的遵守。因此本节要写明：评估文件的保存主体与地点（出口方与进口方各存一份）、保存格式与期限、版本控制、以及监管调取时的响应流程与时限。同时准备一个"可对外版本"：完整版可能含商业秘密与安全敏感细节，向客户提供时通常需要做脱敏，但脱敏不能删掉结论与关键论证，否则客户尽调会要求提供完整版。建议提前与法务约定脱敏规则，避免每次客户问询都重新裁剪一遍。

   需要附的证据

   • · 评估文件的保存位置与访问权限说明（出口方与进口方各一份）
   • · 版本历史（版本、日期、变更摘要、批准人）
   • · 监管调取响应流程与联系人
   • · 对外可分享版本及其脱敏规则说明
   • · 进口方配合提供信息的记录（第 14(c) 条）

   常见失分点

   • · 只有出口方持有评估，进口方对内容一无所知，第 14(c) 条的配合义务无从谈起；
   • · 没有对外可分享版本，客户尽调时要么给全文（泄露敏感细节）要么拒绝（拖慢交易）；
   • · 脱敏过度，删掉了结论与论证，客户认为等于没提供；
   • · 文件无版本控制，不同客户手上的版本互相矛盾。

9. 9. 九、再评估触发与持续监测（第 14(e)–(f) 条 / 步骤 6）

   EDPB 建议 01/2020 的第 6 步要求以适当间隔重新评估；标准合同条款第 14(e) 条把其中最关键的一类触发写成了合同义务：进口方同意，在同意本条款之后及合同存续期间，若有理由认为其正在或已经受制于不符合第 14(a) 条要求的法律或实践——包括因第三国法律变化，或某项措施（如披露请求）表明此类法律在实践中的适用不符合第 14(a) 条要求——应迅速通知出口方（模块三下出口方应将通知转交控制者）。把触发条件写成清单并指定监测责任人：目的地国相关立法或司法解释变化；进口方收到首次披露请求或请求性质发生变化；进口方的实际控制权或经营范围发生实质变化；传输的数据类别、规模或目的发生变化；补充措施的有效性被证伪（如渗透测试发现绕过路径）；监管机关发布新的指引或作出相关决定。每次再评估记录：触发、变化、结论是否改变、是否需要调整补充措施或暂停传输。再评估间隔建议至少每年一次并写入日程，"有变化时再评估"在实践中等于不评估。

   需要附的证据

   • · 再评估触发条件清单与监测责任人
   • · 定期再评估日程与最近一次再评估记录
   • · 进口方依第 14(e) 条作出的通知记录（若有）
   • · 目的地国法律变化监测的信息来源清单
   • · 再评估导致的措施调整或传输暂停记录

   常见失分点

   • · 把第 14(e) 条写进合同却从未告知进口方的相关团队，通知义务在对方内部无人知晓；
   • · 再评估间隔写"按需"，实际三年未动；
   • · 进口方收到首次披露请求却未通知，出口方在客户审计时才知悉；
   • · 触发条件只包含法律变化，不包含自身业务变化（数据规模、目的扩张）。