跨境數(shù)據(jù)實(shí)務(wù)｜歐美數(shù)據(jù)跨境傳輸框架的法律博弈案例分析【走出去智庫】

走出去智庫（CGGT）觀察

9月3日，歐盟普通法院維持歐盟與美國(guó)達(dá)成的數(shù)據(jù)傳輸協(xié)議，駁回了法國(guó)議員菲利普·拉通貝對(duì)此提起的訴訟。拉通貝起訴稱該協(xié)議由于廣泛大量收集個(gè)人數(shù)據(jù)，未能充分保障對(duì)私人和家庭生活的尊重。

走出去智庫（CGGT）特約法律專家、鴻鵠律師事務(wù)所（Bird & Bird）合伙人龔鈺認(rèn)為，歐盟委員會(huì)通過了對(duì)歐盟-美國(guó)數(shù)據(jù)隱私框架（EU-U.S. Data PrivacyFramework）的充分性認(rèn)定，而且該框架是歐美達(dá)成的第三次數(shù)據(jù)傳輸協(xié)議，設(shè)置了兩層救濟(jì)機(jī)制。歐盟普通法院駁回拉通貝的主張，理由包括救濟(jì)機(jī)制有獨(dú)立性保障、數(shù)據(jù)收集受事后監(jiān)督等，能夠保障從歐盟傳輸至美國(guó)的個(gè)人數(shù)據(jù)受到充分的保護(hù)。

歐盟法院為何駁回拉通貝的訴訟？今天，走出去智庫(CGGT)刊發(fā)鴻鵠律師事務(wù)所（Bird & Bird）龔鈺律師團(tuán)隊(duì)的文章，供關(guān)注歐盟跨境數(shù)據(jù)監(jiān)管的讀者參閱。

要點(diǎn)

1、獲得歐盟充分性認(rèn)定的國(guó)家或地區(qū)有：安道爾、阿根廷、加拿大（商業(yè)組織）、法羅群島、根西島、以色列、馬恩島、日本、澤西島、新西蘭、韓國(guó)、瑞士、英國(guó)、烏拉圭和美國(guó)。

2、考慮到此前兩次宣告無效的前車之鑒，為促成歐盟-美國(guó)數(shù)據(jù)隱私框架，時(shí)任美國(guó)總統(tǒng)拜登專門發(fā)布《關(guān)于加強(qiáng)美國(guó)信號(hào)情報(bào)活動(dòng)保障措施的行政命令》對(duì)隱私盾框架下的救濟(jì)措施進(jìn)行了改良，設(shè)立了獨(dú)立且有約束力的兩層救濟(jì)機(jī)制。

3、歐盟普通法院駁回了有關(guān)歐盟-美國(guó)數(shù)據(jù)隱私框架下的救濟(jì)機(jī)制DPRC不具有獨(dú)立性的主張。

正文

2025年9月3日，歐盟普通法院（General Court）發(fā)布對(duì) T-553/23 號(hào)案件拉通貝訴歐盟委員會(huì)（Latombe v Commission）的判決。

根據(jù)該判決，歐盟普通法院確認(rèn)，在歐盟-美國(guó)數(shù)據(jù)隱私框架之下，美國(guó)為從歐盟傳輸至該國(guó)機(jī)構(gòu)的個(gè)人數(shù)據(jù)提供了充分的保護(hù)水平。

01

法律背景

根據(jù)歐盟《通用數(shù)據(jù)保護(hù)條例》（GDPR）對(duì)于個(gè)人數(shù)據(jù)跨境傳輸?shù)挠嘘P(guān)規(guī)定，GDPR賦予歐盟委員會(huì)評(píng)估歐盟以外的國(guó)家或地區(qū)對(duì)個(gè)人數(shù)據(jù)的保護(hù)是否達(dá)到了和歐盟一樣同等且充分的保護(hù)水平、并做出充分性認(rèn)定的權(quán)利。

目前，獲得歐盟充分性認(rèn)定的國(guó)家或地區(qū)有：安道爾、阿根廷、加拿大（商業(yè)組織）、法羅群島、根西島、以色列、馬恩島、日本、澤西島、新西蘭、韓國(guó)、瑞士、英國(guó)、烏拉圭和美國(guó)（僅限于參與歐盟-美國(guó)數(shù)據(jù)隱私框架的商業(yè)實(shí)體）。

這也是我們常說的歐盟跨境傳輸白名單。如果將歐洲經(jīng)濟(jì)區(qū)（EEA）內(nèi)的個(gè)人數(shù)據(jù)傳輸至屬于白名單的國(guó)家/地區(qū)，企業(yè)無需專門針對(duì)該等數(shù)據(jù)跨境傳輸采取額外的保障措施，因?yàn)闅W盟委員會(huì)認(rèn)為這些白名單國(guó)家/地區(qū)能提供與GDPR同等的數(shù)據(jù)保護(hù)水平，對(duì)個(gè)人數(shù)據(jù)主體的保護(hù)水平并不會(huì)因?yàn)榭缇硞鬏敹靡詼p損。

02

歐盟-美國(guó)數(shù)據(jù)隱私框架

2023年7月10日，歐盟委員會(huì)通過對(duì)歐盟-美國(guó)數(shù)據(jù)隱私框架（EU-U.S. Data PrivacyFramework）的充分性決定，認(rèn)為美國(guó)在該框架下能夠?yàn)镋EA至美國(guó)的數(shù)據(jù)傳輸提供與歐盟相當(dāng)?shù)某浞直Ｗo(hù)水平。

由此，美國(guó)企業(yè)可以通過承諾履行一攬子隱私義務(wù)加入該框架，在該框架下將數(shù)據(jù)從EEA境內(nèi)的實(shí)體傳輸至美國(guó)，而無需其他數(shù)據(jù)保障措施。

事實(shí)上，歐盟-美國(guó)數(shù)據(jù)隱私框架是歐盟和美國(guó)為解決數(shù)據(jù)傳輸問題而達(dá)成的第三次協(xié)議。前兩次協(xié)議分別是2000年達(dá)成的安全港框架（U.S.-EU Safe Harbor Framework）和2016年達(dá)成的隱私盾框架（EU-U.S. Privacy Shield Framework），都被歐盟法院著名的Schrems系列案件宣布無效，原因是美國(guó)沒有提供與歐盟相當(dāng)?shù)膫€(gè)人數(shù)據(jù)保護(hù)水平，而且美國(guó)的情報(bào)監(jiān)視程序侵犯了歐盟公民的基本權(quán)利，而美國(guó)沒有為歐盟公民提供有效的司法救濟(jì)。

值得注意的是，考慮到此前兩次宣告無效的前車之鑒，為促成歐盟-美國(guó)數(shù)據(jù)隱私框架，時(shí)任美國(guó)總統(tǒng)拜登專門發(fā)布《關(guān)于加強(qiáng)美國(guó)信號(hào)情報(bào)活動(dòng)保障措施的行政命令》對(duì)隱私盾框架下的救濟(jì)措施進(jìn)行了改良，設(shè)立了獨(dú)立且有約束力的兩層救濟(jì)機(jī)制，美國(guó)司法部長(zhǎng)所指定的符合條件國(guó)家的公民可以通過本國(guó)的官方機(jī)構(gòu)向美國(guó)提出關(guān)于情報(bào)機(jī)構(gòu)的申訴：

第一級(jí)救濟(jì)機(jī)制：國(guó)家情報(bào)主任辦公室的公民自由保護(hù)官（CLPO）負(fù)責(zé)受理并初步審查情報(bào)活動(dòng)中是否存在違規(guī)行為，以及在必要時(shí)對(duì)符合條件的申訴采取適當(dāng)?shù)木葷?jì)措施。

第二級(jí)救濟(jì)機(jī)制：若申訴人不接受CLPO審查的結(jié)果，可以向美國(guó)司法部設(shè)立的數(shù)據(jù)保護(hù)審查法庭（DPRC）對(duì)CLPO決定提起上訴。DPRC將有權(quán)進(jìn)行調(diào)查，從情報(bào)機(jī)構(gòu)獲得相關(guān)信息，審查CLPO所管轄違規(guī)行為的決定在法律上是否正確、是否有實(shí)質(zhì)性證據(jù)支持，并能夠作出具有約束力的救濟(jì)決定；如果DPRC發(fā)現(xiàn)收集的數(shù)據(jù)違反了行政命令中規(guī)定的保障措施，DPRC將能夠下令刪除這些數(shù)據(jù)。

03

訴訟起因和爭(zhēng)議焦點(diǎn)

此次訴訟由法國(guó)公民菲利普?拉通貝（Philippe Latombe）發(fā)起，其個(gè)人數(shù)據(jù)被多個(gè)信息技術(shù)平臺(tái)收集并傳輸至美國(guó)，因此請(qǐng)求歐盟普通法院撤銷歐盟委員會(huì)于2023年7月10日做出的對(duì)歐盟-美國(guó)數(shù)據(jù)隱私框架（EU-U.S. Data Privacy Framework）的充分性決定。

因此，訴訟的爭(zhēng)議焦點(diǎn)為：“歐盟-美國(guó)數(shù)據(jù)隱私框架”是否能否保障美國(guó)為從歐盟傳輸至該國(guó)機(jī)構(gòu)的個(gè)人數(shù)據(jù)受到充分的保護(hù)水平？

拉通貝先生主張?jiān)摮浞中詻Q定應(yīng)當(dāng)被撤銷，原因在于：（1）歐盟-美國(guó)數(shù)據(jù)隱私框架下的救濟(jì)機(jī)制DPRC既不公正也不獨(dú)立，而是依附于行政部門；（2）美國(guó)情報(bào)機(jī)構(gòu)在未獲得法院或獨(dú)立行政機(jī)關(guān)事先授權(quán)的情況下，對(duì)從歐盟傳輸過境的個(gè)人數(shù)據(jù)進(jìn)行批量收集的做法，未以足夠清晰、精確的方式加以限定，因此該做法不具有合法性。

04

裁判要旨及未來走向

歐盟普通法院駁回了拉通貝先生所提出的訴訟主張。主要原因如下：

首先，普通法院駁回了有關(guān)歐盟-美國(guó)數(shù)據(jù)隱私框架下的救濟(jì)機(jī)制DPRC不具有獨(dú)立性的主張。

關(guān)于DPRC，歐盟普通法院指出，從案卷材料中可明確，DPRC法官的任命及其運(yùn)作設(shè)有多項(xiàng)保障措施與條件，以確保其成員的獨(dú)立性。此外，僅司法部長(zhǎng)有權(quán)因法定事由免去DPRC法官的職務(wù)，且司法部長(zhǎng)及情報(bào)機(jī)構(gòu)不得妨礙或不當(dāng)影響法官的工作。

歐盟普通法院還指出，根據(jù)歐盟委員會(huì)此前就歐盟-美國(guó)數(shù)據(jù)隱私框架作出的充分性決定，歐盟委員會(huì)必須持續(xù)監(jiān)督該決定所依據(jù)的法律框架的適用情況。因此，若在充分性決定通過時(shí)美國(guó)有效的法律框架發(fā)生變化，委員會(huì)可在必要時(shí)決定暫停、修訂或廢除該充分性決定，或限制其適用范圍。

其次，歐盟普通法院駁回了有關(guān)個(gè)人數(shù)據(jù)批量收集的主張，并據(jù)此全面駁回了該項(xiàng)訴訟：

關(guān)于個(gè)人數(shù)據(jù)批量收集問題，歐盟普通法院指出，Schrems II案的判決中并無任何內(nèi)容表明此類收集必須獲得獨(dú)立機(jī)構(gòu)的事先授權(quán)；相反，從該判決中可明確，授權(quán)此類收集的決定至少必須接受事后司法審查。

在本案中，案卷材料顯示，根據(jù)美國(guó)法律，美國(guó)情報(bào)機(jī)構(gòu)開展的信號(hào)情報(bào)活動(dòng)須接受DPRC的事后司法監(jiān)督。因此，普通法院認(rèn)定，不能認(rèn)為美國(guó)情報(bào)機(jī)構(gòu)對(duì)個(gè)人數(shù)據(jù)的批量收集未達(dá)到Schrems II案就此規(guī)定的要求，也不能認(rèn)為美國(guó)法律未能確保提供與歐盟法律所保障的實(shí)質(zhì)等同的法律保護(hù)水平。

但是，值得注意的是，歐盟目前現(xiàn)行的司法體系主要由歐洲法院（Court of Justice）和普通法院（General Court）兩層法院構(gòu)成。歐洲法院為歐盟的最高法院，掌理一般案件的法律審上訴，以及特殊案件的初審。

目前對(duì)于歐盟-美國(guó)數(shù)據(jù)隱私框架的有效性認(rèn)定的判決僅由歐盟普通法院做出，當(dāng)事人可在普通法院的判決通知之日起2個(gè)月10天內(nèi)，就法律爭(zhēng)議問題向歐洲法院提起上訴。

來源：愚公法律評(píng)論(龔鈺律師團(tuán)隊(duì)微信公眾號(hào))

作者簡(jiǎn)介

龔鈺

走出去智庫（CGGT）特約法律專家

鴻鵠律師事務(wù)所（Bird & Bird）合伙人

龔律師領(lǐng)導(dǎo)鴻鵠律師事務(wù)所中國(guó)的數(shù)據(jù)保護(hù)和網(wǎng)絡(luò)安全團(tuán)隊(duì)。他在數(shù)據(jù)保護(hù)、網(wǎng)絡(luò)安全以及科技、媒體、電信相關(guān)的監(jiān)管及交易方面經(jīng)驗(yàn)非常豐富。他曾為來自多個(gè)行業(yè)的中國(guó)和跨國(guó)客戶提供境內(nèi)外法律服務(wù)，擅長(zhǎng)解決行業(yè)相關(guān)的復(fù)雜法律問題。龔律師的觀點(diǎn)經(jīng)常被媒體引用，并且作為業(yè)內(nèi)認(rèn)可的作者發(fā)表TMT及數(shù)據(jù)相關(guān)文章。

龔律師畢業(yè)于曼徹斯特大學(xué)，并獲得法學(xué)學(xué)士學(xué)位。他擁有中華人民共和國(guó)法律職業(yè)資格和美國(guó)紐約州律師執(zhí)業(yè)資格。他還是國(guó)際隱私專業(yè)人員協(xié)會(huì)成員，持有CIPP/E、CIPP/US 和CIPM證書。

業(yè)界榮譽(yù)：

中國(guó)《商法》：

• 2024-25法律精英：律界精銳

• 2023-24法律精英：律界精銳

• 律師新星，2023

法律500強(qiáng)：

• 中國(guó)：數(shù)據(jù)保護(hù)、TMT（外資所）下一代合伙人，2025

• 中國(guó)：數(shù)據(jù)保護(hù)（外資所）新生代合伙人，2024

• 中國(guó)：TMT（外資所）新生代合伙人，2022，2024

• 中國(guó)：生命科學(xué)（外資所）高度推薦律師，2024

• 中國(guó)：公司法及并購(gòu)（外資所）高度推薦律師，2024

• 2023中國(guó)法律大獎(jiǎng)：提名年度新生代合伙人、TMT年度律師

《亞洲法律雜志》（ALB）：中國(guó)十五佳TMT律師，2022

Lexology CMA：TMT - 亞太地區(qū)影響力律師（2024Q1、2023 Q1Q2、2022 Q2Q4）

ALM Law.com: 提名年度數(shù)據(jù)隱私律師, 2024

執(zhí)業(yè)經(jīng)驗(yàn)：

為蔚來汽車、小鵬汽車、吉利汽車、北汽福田、比亞迪、石基信息、菜鳥網(wǎng)絡(luò)、華為、千尋位置、邁瑞醫(yī)療、健世科技、小天才、Vivo、科大訊飛、中銀國(guó)際、中國(guó)農(nóng)業(yè)銀行、美的、螞蟻金服等眾多企業(yè)就數(shù)據(jù)合規(guī)相關(guān)問題提供法律服務(wù)。

免責(zé)聲明

本文僅代表原作者觀點(diǎn)，不代表走出去智庫立場(chǎng)。

延展閱讀

▌地緣政治風(fēng)險(xiǎn):

▌出口管制與制裁:

▌跨境數(shù)據(jù)監(jiān)管:

▌全球科技競(jìng)爭(zhēng):

▌品牌聲譽(yù)管理: