art49-derogations

评估第 49 条的豁免情形

概述

《GDPR》第 49 条规定了一组有限的豁免情形，允许在没有充分性决定（第 45 条）或适当保障措施（第 46 条）的情况下进行国际数据传输。EDPB 在《第 2/2018 号关于第 49 条豁免情形的指南》（于 2018 年 5 月 25 日通过，最后更新于 2018 年 2 月 6 日）中一贯强调，必须从严解释这些豁免情形，且其目的是作为例外，而非规则。它们不能作为系统性、大规模或定期传输的依据。

豁免条件

第 49(1)(a) 条 — 明确同意

条件：数据主体已明确同意拟议的传输，并且在同意前已获知，由于缺乏充分性决定和适当保障措施，此类传输可能给数据主体带来的风险。

要求：

1. 具体明确：同意必须明确涵盖向指定第三国传输，而不仅仅是处理活动本身。
2. 知情：必须告知数据主体：
   • 数据将传输至的具体第三国或多个国家
   • 该国没有充分性决定
   • 没有适当保障措施（SCC、BCR）
   • 因此产生的具体风险（例如，政府可能在缺乏与欧盟同等保护的情况下访问数据）
3. 明确表示：必须作出明确无误的肯定声明；默示同意或预先勾选的选项均不符合要求。
4. 自由作出：数据主体拒绝同意不得因此遭受不利后果；必须是真正的选择。
5. 可撤回：数据主体可随时撤回同意；撤回不影响此前传输的合法性。

Athena Global Logistics 示例用例：一位欧洲客户要求将其货运跟踪数据分享给位于非充分性国家的专属经纪人。客户获知相关风险后，通过签署传输同意书明确表示同意。

限制（EDPB 第 2/2018 号指南）：

• 不能用于系统性、重复性或大规模传输
• 不适用于雇主与雇员关系，因为双方存在权力不平衡（同意不太可能是自由作出的）
• 不能代替建立系统性传输机制

第 49(1)(b) 条 — 为履行合同所必需

条件：为履行数据主体与控制者之间的合同，或为应数据主体请求而采取的订立合同前措施，有必要进行该项传输。

要求：

1. 直接合同关系：合同由数据主体与控制者订立（而非由两个控制者之间，或控制者与第三方之间订立）。
2. 必要性：该传输必须是履行合同的客观必要条件，而非仅仅有用或在商业上方便。
3. 密切且实质性的关联：该传输必须与履行具体合同义务密切相关。
4. 偶发性：此项豁免适用于偶发传输；不得系统性地依赖此项豁免。

Athena Global Logistics 示例用例：一位欧洲个人客户与 Athena 签订合同，将个人物品运往非充分性国家。为履行运输合同，有必要将客户的地址和联系方式传输给目的地国家的配送合作伙伴。

EDPB 的从严解释：

• 合同必须由数据主体本人订立，而非由企业客户订立后再传输员工数据
• 传输在商业上有必要这一事实并不足够；传输必须是合同履行所必需的
• 如果存在无需传输数据即可履行合同的替代方式，则可能不适用此项豁免

第 49 条第 1 款 (c) 项——为数据主体利益订立合同所必需

条件：为订立或履行控制者与另一自然人或法人为数据主体利益而订立的合同，必须进行该传输。

要求：

1. 控制者与第三方之间的合同：与第 49 条第 1 款 (b) 项不同，本项适用于数据主体并非合同当事方的情形。
2. 符合数据主体的利益：合同必须服务于数据主体的利益（例如，代其投保，或为其安排旅行）。
3. 必要性：该传输必须是履行合同客观上所必需，而不只是方便。
4. 偶发性：不能以此作为系统性传输的依据。

Athena Global Logistics 示例用例：Athena 代表客户向非欧盟保险公司安排货物保险。将客户的详细信息传输给保险公司符合客户的利益，可确保其获得保障。

第 49 条第 1 款 (d) 项——重要公共利益原因

条件：因重要公共利益原因必须进行该传输。

要求：

1. 欧盟或成员国法律认可：该公共利益必须得到欧盟法律或控制者所受其约束的成员国法律认可。
2. 重要性：并非任何公共利益都符合条件；其重要性必须达到较高程度（例如，为税收执法开展国际合作、打击洗钱、进行跨境刑事调查）。
3. 必要性：该传输必须是实现该公共利益所必需。
4. 私人实体不得用于商业目的：私营公司不得以公共利益为由，为商业数据传输提供正当理由。

Athena Global Logistics 示例用例：根据德国与第三国之间的双边海关合作协议，并依据欧盟法规 952/2013《欧盟海关法典》的要求，将客户身份信息和货运数据传输给第三国海关主管机关。

第 49 条第 1 款 (e) 项——法律请求

条件：为提出、行使或抗辩法律请求必须进行该传输。

要求：

1. 已启动或拟议中的程序：必须存在实际法律程序，或有具体且可明确识别的程序启动可能性（不能仅仅是理论上的可能）。
2. 必要性：只能传输法律请求所需的数据。
3. 适用范围广：涵盖司法程序、行政程序和庭外程序，包括监管调查。
4. 偶发性：传输必须与具体程序相关，不得将其作为常规传输依据。

Athena Global Logistics 示例用例：一名前雇员在非欧盟司法管辖区提起劳动争议诉讼，公司为进行抗辩而必须向该司法管辖区传输其雇佣记录。

第 49 条第 1 款 (f) 项——切身利益

条件：为保护数据主体或他人的切身利益必须进行该传输，且数据主体在身体上或法律上无法给予同意。

要求：

1. 生死攸关：切身利益通常涉及危及生命的情形（医疗急救、自然灾害）。
2. 无能力给予同意：数据主体必须无法给予同意（失去意识、丧失行为能力或法律上无行为能力）。
3. 严格必要性：仅传输保护切身利益所严格必需的数据。
4. 适用情形罕见：此项豁免适用范围非常狭窄，仅适用于真正的紧急情况。

Athena Global Logistics 示例用例：在国际运输作业期间发生医疗紧急情况后，将一名船员的医疗记录传输给第三国医院。

第 49 条第 1 款(g)项 — 公共登记簿

条件：传输来自根据欧盟或成员国法律设立、旨在向公众提供信息的登记簿，且该登记簿可供公众普遍查询，或可供能够证明具有正当利益的任何人查询。

要求：

1. 依法设立的公共登记簿：登记簿必须依法设立，且明确以向公众开放为目的。
2. 不得传输整个登记簿：只能传输特定条目，不得批量复制整个登记簿。
3. 满足查询条件：必须满足设立登记簿的法律规定的访问条件。

Athena Global Logistics 示例用例：为开展尽职调查，将德国 Handelsregister 中的公司注册数据传输给非欧盟商业合作伙伴；Handelsregister 是德国法律规定的公共登记簿。

第 49 条第 1 款第二项 — 令人信服的正当利益

条件：在不适用其他例外情形时，若满足以下条件，可以进行传输：(a) 该传输并非重复进行；(b) 涉及的数据主体人数有限；(c) 为实现控制者追求的令人信服的正当利益所必需；(d) 数据主体的利益、权利和自由不会凌驾于这些利益之上；以及 (e) 控制者已评估传输涉及的所有情况，并提供了适当的保障措施。

要求：

1. 最后手段：这是最后手段例外，仅在不符合任何其他第 49 条条件且无法采用第 45 条／第 46 条机制时适用。
2. 非重复进行：仅限一次性或极少发生的传输。
3. 数据主体人数有限：受影响的个人数量较少。
4. 令人信服的正当利益：门槛高于通常的第 6 条第 1 款(f)项正当利益；必须具有令人信服的性质。
5. 利益衡量测试：控制者必须记录其利益与数据主体权利和自由之间的利益衡量过程。
6. 适当的保障措施：控制者必须提供有关个人数据保护的适当保障措施。
7. 向监管机构通知：控制者必须将该传输告知监管机构。
8. 向数据主体告知：控制者必须告知数据主体该传输以及所追求的令人信服的正当利益。

Athena Global Logistics 示例用例：在不适用其他例外情形时，为配合非欧盟监管机构调查历史合规事项，一次性传输一名前员工的联系方式；该传输仅涉及一名个人。

第 49 条例外情形选择决策树

Is there an adequacy decision for the destination country? (Art. 45)
  ├── YES → Transfer under adequacy; Art. 49 not needed
  └── NO → Can appropriate safeguards be established? (Art. 46)
        ├── YES → Use SCCs/BCRs/etc.; Art. 49 not needed
        └── NO → Is the transfer systematic, repetitive, or large-scale?
              ├── YES → Art. 49 derogations generally NOT available
              │         (establish Art. 46 safeguards instead)
              └── NO → Apply Art. 49 derogation assessment:
                    ├── Has the data subject explicitly consented? → Art. 49(1)(a)
                    ├── Is transfer necessary for DS contract? → Art. 49(1)(b)
                    ├── Is transfer for a contract in DS interest? → Art. 49(1)(c)
                    ├── Is transfer for important public interest? → Art. 49(1)(d)
                    ├── Is transfer for legal claims? → Art. 49(1)(e)
                    ├── Is transfer for vital interests? → Art. 49(1)(f)
                    ├── Is transfer from a public register? → Art. 49(1)(g)
                    └── None of the above? → Art. 49(1) compelling legitimate interests
                          (last resort, with SA notification)

文档记录要求

对于每一项依赖第 49 条例外情形进行的传输，必须记录以下内容：

1. 所依赖的例外情形：具体的第 49 条款项
2. 理由说明：该例外情形为何适用于此次具体传输
3. 为何无法采用第 45 条／第 46 条机制：说明为何无法采用充分性认定或适当的保障措施
4. 必要性分析：为何该传输是必要的（而不仅仅是有用或方便）
5. 数据最小化：确认仅传输了最低限度的必要数据
6. 偶发性：确认该传输并非系统性或重复进行
7. 对数据主体的风险：评估该传输所产生的风险
8. 采取的保障措施：为降低风险而实施的任何保障措施
9. 对于第 49 条第 1 款(a)项：同意表副本及已提供相关信息的证据
10. 对于第 49 条第 1 款的令人信服的正当利益情形：监管机构通知记录、利益衡量测试文档以及适当保障措施说明