eu-us-dpf-assessment

欧盟－美国数据隐私框架评估

概述

欧盟委员会于 2023 年 7 月 10 日依据委员会实施决定 (EU) 2023/1795，通过了欧盟－美国数据隐私框架（DPF）的充分性决定。该充分性决定允许将个人数据从欧盟／欧洲经济区传输至已向美国商务部（DoC）完成 DPF 自我认证的美国组织，无需采用 SCC 或 BCR 等额外传输机制。DPF 取代了已失效的隐私盾框架，并通过引入第 14086 号行政令限制美国信号情报活动，旨在解决欧盟法院在 Schrems II 案（Case C-311/18）中提出的担忧。

DPF 充分性决定——关键要素

法律依据

• 2023 年 7 月 10 日的委员会实施决定 (EU) 2023/1795，依据 GDPR 第 45(3) 条
• 美国第 14086 号行政令（2022 年 10 月 7 日）——加强美国信号情报活动的保障措施
• 司法部长条例（2023 年 6 月 29 日），设立数据保护审查法院（DPRC）
• 英国扩展：英国－美国数据桥（2023 年 10 月 12 日生效）将 DPF 保护扩展至英国向美国传输数据的情形

充分性决定的适用范围

DPF 充分性决定仅适用于向符合以下条件的美国组织进行的数据传输：

1. 已向商务部主动完成 DPF 自我认证
2. 受联邦贸易委员会（FTC）或交通部（DoT）的调查和执法权管辖
3. 列入 DoC 在 dataprivacyframework.gov 维护的 DPF 名单

充分性决定不涵盖向以下对象的数据传输：

• 美国政府机构
• 尚未完成自我认证的美国组织
• 受 FTC 或 DoT 以外监管机构监管的美国组织（例如，受 OCC 监管的银行、受 FCC 监管的电信运营商）

自我认证流程

资格要求

1. 该组织必须受 FTC（依据《FTC 法》第 5 条）或 DoT（依据 49 USC）的管辖。
2. 该组织必须承诺遵守所有 DPF 原则。
3. 该组织必须公开披露符合 DPF 要求的隐私政策。
4. 该组织必须指定独立的申诉机制来处理投诉。
5. 该组织必须向 DoC 缴纳年度认证费用。

认证步骤

步骤	操作	时间安排
1	审查 DPF 原则并评估组织的准备情况	2-4 周
2	制定或更新隐私政策，使其符合 DPF 原则	2-3 周
3	选择并聘用独立申诉机制（IRM）	1-2 周
4	指定负责 DPF 合规事宜的联系人	1 周
5	在 dataprivacyframework.gov 完成自我认证申请	1 周
6	提交所需文件和隐私政策 URL	1 周
7	缴纳年度认证费用（按收入分级）	提交申请时
8	DoC 审核并将组织列入 DPF 名单	提交后 2-4 周
9	在到期日前完成年度重新认证	初次认证后 12 个月

年度认证费用标准（2025）

组织年度收入	费用
不超过 USD 5 million	USD 0（小型组织免缴费用）
USD 5 million — USD 25 million	USD 575
USD 25 million — USD 500 million	USD 1,150
USD 500 million — USD 5 billion	USD 2,300
超过 USD 5 billion	USD 3,450

DPF 原则

1. 告知原则

经自我认证的组织必须告知个人：

• 收集的个人数据类型
• 处理目的
• 访问和更正数据的权利
• 可能向其披露数据的第三方类型或身份
• 为限制使用和披露而提供的选择和方式
• 可用的独立申诉机制
• 组织在向第三方进行后续转移时承担的责任

2. 选择原则

在以下情况下，组织必须提供机会，让个人选择退出：

• 向第三方披露个人数据（代表组织行事的代理方除外）
• 将个人数据用于与最初收集时或之后经授权的目的存在实质差异的用途

对于敏感数据（健康状况、种族／族裔出身、政治观点、宗教信仰、工会成员身份、性生活、犯罪记录），在披露数据或将其用于新目的之前，必须取得明确的肯定性同意（选择加入）。

3. 后续转移问责原则

向第三方控制者转移数据时，必须：

• 签订合同，规定第三方提供与 DPF 原则相同水平的保护
• 要求第三方在无法继续履行此义务时通知组织

向代理方（处理者）转移数据时，必须：

• 签订合同，将处理限制在指定目的范围内
• 要求代理方提供相同水平的保护
• 要求代理方通知组织，并采取合理措施停止和补救未经授权的处理

4. 安全原则

组织必须采取合理且适当的措施，根据处理涉及的风险和数据性质，保护个人数据免遭丢失、滥用、未经授权的访问、披露、更改和销毁。

5. 数据完整性和目的限制原则

个人数据必须：

• 与处理目的相关
• 适用于预期用途
• 准确、完整且为最新数据
• 不得以与其收集时或之后经授权的目的不相容的方式进行处理

6. 访问原则

个人有权：

• 确认组织是否正在处理其数据
• 在合理时间内获得其数据
• 对数据的准确性提出异议，并要求更正、修改或删除数据

只有在有限情况下才可限制访问（例如，提供访问会侵犯他人权利、提供访问所需的负担或费用不成比例，或披露会违反法律义务）。

7. 申诉、执行和责任原则

组织必须提供：

• 易于使用、独立且费用合理的争议解决机制
• 验证是否遵守 DPF 承诺的程序
• 对不合规问题的补救措施
• 组织未能遵守时应承担的后果（FTC／DoT 的制裁）

数据保护审查法院（DPRC）

结构

• DPRC 根据第 14086 号行政命令，于 2023 年 6 月 29 日通过司法部长条例设立。
• DPRC 是一个两级审查机制：
  • 第一级：国家情报总监办公室（ODNI）的公民自由保护官（CLPO）审查投诉并作出具有约束力的裁定
  • 第二级：数据保护审查法院根据投诉人或情报界成员机构的申请，审查 CLPO 的裁定

欧盟数据主体的流程

1. 数据主体向其本国数据保护机构（SA）提交投诉。
2. SA 将投诉转交给 EDPB 秘书处。
3. EDPB 秘书处通过指定渠道将投诉转交给美国。
4. CLPO 开展调查，并判定是否发生了受涵盖的违规行为。
5. 如果认定存在违规行为，CLPO 将指示采取适当的补救措施。
6. 投诉人或情报界机构可申请由 DPRC 进行审查。
7. DPRC 指派一名特别辩护人代表投诉人的利益。
8. DPRC 作出最终且具有约束力的裁定。
9. 结果通过同一渠道传回 SA 和数据主体。

第 14086 号行政命令中的关键保障措施

保障措施	说明
必要性标准	美国信号情报收集必须是推进经验证的情报优先事项所必需的
相称性标准	收集必须符合相称原则，权衡情报需求与隐私影响
禁止目的	不得为了压制异议、基于族裔／种族／宗教使个人处于不利地位、限制新闻自由或获取商业竞争优势而开展收集
大规模收集限制	仅可为特定且明确列举的目标开展大规模收集（例如反间谍、反恐）；必须尽可能做到有针对性
数据保留限制	通过信号情报收集的个人数据，在不再满足经验证的情报目的所需时必须删除
约束力	第 14086 号行政命令规定了具有约束力的义务，可通过 DPRC 强制执行

欧盟委员会年度审查

充分性决定要求欧盟委员会与 EDPB 和欧洲议会合作，定期进行审查：

• 首次审查：于 2024 年进行，并于 2024 年 10 月发布——委员会认定 DPF 继续确保充分的保护水平
• 后续审查：至少每四年一次
• 审查内容：FTC／DoT 的合规执法、DPRC 的运作、第 14086 号行政命令的实施、美国监控法律的进展、FISA 第 702 条的重新授权状态
• 暂停或废除的权力：如果保护水平不再充分，委员会可以暂停或废除该充分性决定

欧盟数据出口方核查清单

依赖 DPF 进行传输之前，欧盟数据出口方必须核实：

核查项	方法
接收方已列入 DPF 名录	搜索 dataprivacyframework.gov
认证有效（未过期或撤销）	在 DPF 名录中查看状态和到期日期
认证涵盖相关数据类别	查看名录中该组织的 DPF 适用范围（HR 数据、非 HR 数据或两者）
接收方受 FTC 或 DoT 管辖	确认 DPF 名录中列出的监管管辖权
接收方的隐私政策提及遵守 DPF	查看所列 URL 上发布的隐私政策
已确定 IRM	确认 DPF 条目中列出的独立救济机制
数据传输属于充分性决定的适用范围	确认接收方是自行认证的组织，而非未认证实体

风险考量与持续监控

法律稳定性风险

• FISA 第 702 条：重新授权有效期至 2026 年 4 月；未来的立法变更可能影响 DPF 充分性评估
• 司法挑战：隐私倡导团体（尤其是 noyb）已表示可能向 CJEU 提起诉讼，挑战 DPF，与 Schrems I 和 Schrems II 诉讼类似
• 政治风险：美国政府更迭可能影响第 14086 号行政命令的持续实施

缓解策略

1. 双重机制方案：将已签署的 SCC 作为 US 数据传输的备用机制，与对 DPF 的依赖并行，以便在充分性决定被暂停或撤销时快速切换。
2. 监测计划：跟踪 EC 审查结果、CJEU 案件立案情况以及 US 立法动态。
3. 合同保障措施：在与 US 数据进口方签订的合同中纳入 DPF 专属的终止和数据返还条款，并在充分性决定失效时触发这些条款。
4. 传输登记文档：将 DPF 记录为传输机制，并记录进口方在 DPF List 中的登记日期及重新认证计划。