如今，企业跨境经营已变得越来越普遍。例如，员工信息可能会与位于海外的母公司共享，而服务提供商也可能从多个国际地点提供服务。个人数据的跨境传输已成为日常运营的一部分。
英国数据保护法要求企业确保，在个人数据被传输至英国境外时，该等数据仍能获得充分保护。如未采取适当的保障措施，个人数据的国际传输可能导致违反合规义务，并使企业面临重大监管罚款及声誉损害。
本文概述个人数据的国际传输，并介绍企业为保持合规应采取的实际步骤。
什么是受限制的个人数据国际传输？
当受到英国《通用数据保护条例》（UK GDPR）保护的个人数据被发送给，或可被位于英国境外的独立法律实体访问时，即构成受限制的国际传输。
可能构成受限制国际传输的常见情况包括：
- 与位于海外的母公司或关联公司共享员工数据；
- 使用位于海外的薪资、人力资源或 IT 服务提供商；或
- 将个人数据存储在托管于英国境外的云端系统中。
许多组织认为，只有当数据被实际发送至另一个国家时才会发生数据传输。然而，从英国境外进行远程访问也可能构成国际传输，因此应以相同方式进行评估。
关于充分性认定的新方法是什么？
以合法方式进行个人数据国际传输最简单的方法，是将个人数据传输至已获英国政府认可、并被认为能够提供充分数据保护水平的国家。
过去，充分性评估主要关注另一国家的法律框架是否在实质上与英国及欧洲的数据保护标准相一致。尽管对于从欧洲国家向欧洲以外国家进行的数据传输，这仍然是适用的方法，但英国的做法在《2025年数据（使用与访问）法案》（ “DUAA”）实施后近期发生了变化。根据新的规定，只要接收国的数据保护标准并未实质性低于英国，便可以作出充分性认定。这一变化旨在采用更加灵活、以结果为导向的评估方式，在维持个人数据保护的同时，支持国际数据流动。
适当保障措施
如果接收国未获得英国的充分性认定，下一步便是在传输个人数据之前实施适当的保障措施。适当保障措施是确保个人数据能够以合规方式传输至英国境外的相关机制。
最常见的保障措施包括：
- 国际数据传输协议（IDTA）
国际数据传输协议是经批准用于将个人数据从英国传输至未获得充分性认定国家的标准合同机制。IDTA 对双方施加合同义务，旨在确保被传输的个人数据获得适当保护。
- 欧盟标准合同条款（SCCs）的英国附加条款
许多跨国组织在将个人数据从欧洲国家传输至位于欧洲以外国家的接收方时，会使用欧盟委员会制定的标准合同条款。英国附加条款旨在使英国脱欧后，组织仍可继续使用 SCCs 将个人数据传输至英国境外。当企业需要在同一套合同框架下同时满足 UK GDPR 和 EU GDPR 的要求时，这一机制尤其有用。
- 具有约束力的公司规则（BCRs）
大型跨国集团可以采用具有约束力的公司规则，以允许集团内位于不同国家的公司之间，在确保适当数据保护水平的前提下进行个人数据的内部传输。尽管获得批准可能需要投入大量资源，但对于拥有大量国际业务的组织而言，BCRs 可以提供一种有效的长期解决方案。
传输风险评估
组织还必须完成传输风险评估（TRA），以确保个人数据在被传输后所获得的保护水平不会实质性低于英国的保护标准。
直到最近，TRA 还需要证明接收国的数据保护水平与英国的保护水平实质上等同。但在 DUAA 实施后，这一要求也发生了变化，现在 TRA 需要确认的是，接收国的数据保护水平不会实质性低于英国。
这一变化应能够为受限制的数据传输提供更加灵活的处理方式。如果 TRA 认定接收国的数据保护水平实质性低于英国，则该数据传输不得继续进行。
企业的实际考虑事项
鉴于充分性认定和 TRA 方面的变化，您应审查现有的隐私治理文件和模板，以确定是否需要作出相应修改。
同时在英国和欧盟开展业务的企业也应注意，UK GDPR 和 EU GDPR 对数据传输的要求虽然相似，但并不完全相同。一项适用于某一司法管辖区的数据传输解决方案，并不一定能够自动满足另一司法管辖区的要求。
3CS 可以如何提供帮助？
国际数据传输合规可能较为复杂，尤其是在组织跨多个司法管辖区开展业务，或依赖多个第三方服务提供商的情况下。我们可以协助您根据 UK GDPR 和 EU GDPR 开展并记录 TRA，同时协助进行数据流梳理、准备及审查 IDTA、实施 SCCs，以及就跨境合规策略提供建议。
我们还提供隐私合规审计、员工培训、治理审查，以及隐私声明、数据处理协议、处理活动记录及其他重要数据保护文件的起草支持。
无论您是在集团内部共享员工信息、引入新的海外服务提供商，还是审查全球合规框架，我们都可以帮助您识别切实可行且与实际风险相称的解决方案。
如需进一步的建议和指导，欢迎与我们联系。
