scc-implementation

实施标准合同条款

概述

欧盟委员会 2021 年 6 月 4 日的实施决定 (EU) 2021/914 为根据法规 (EU) 2016/679 向第三国传输个人数据引入了现代化的标准合同条款（SCC）。这些 SCC 取代了根据指令 95/46/EC 通过的旧条款，并自 2022 年 12 月 27 日起成为强制性工具。模块化架构允许各方根据其在传输关系中的角色选择适当的条款组。

模块选择决策框架

模块 1：控制者到控制者（C2C）

适用情形：数据出口方是控制者，数据进口方作为独立控制者，自行决定对所接收数据进行处理的目的和方式。

Athena Global Logistics 的典型场景：

• 与海外合作物流公司共享货运追踪数据，由对方为优化自身路线而独立处理这些数据
• 向外国集团实体提供员工数据，该实体作为独立控制者，以遵守当地劳动法
• 将客户数据传输给海外保险合作伙伴，由其作为独立控制者承保货物保单

模块 1 的关键条款：

• 第 8.1 条 — 数据保护保障措施：数据进口方必须仅为附件 I 所述的具体目的处理数据，并依据进口方适用法律具备独立的法律依据
• 第 8.2 条 — 目的限制：进口方不得为与数据传输目的不相容的目的处理数据
• 第 8.3 条 — 透明度：进口方必须应数据主体的要求，向其提供条款副本及附件 I 中的信息
• 第 8.4 条 — 准确性：双方必须采取合理措施，确保数据准确且为最新数据
• 第 8.5 条 — 保存期限与删除：数据仅在附件 II 规定的期限内处理；合同终止时删除或返还数据

模块 2：控制者到处理者（C2P）

适用情形：数据出口方是控制者，数据进口方作为处理者，代表出口方处理数据。

Athena Global Logistics 的典型场景：

• 聘用总部位于第三国的云基础设施提供商，托管运输管理系统
• 使用海外薪资处理机构，为当地聘用的员工计算薪资
• 与第三国呼叫中心签约，由其代表公司处理客户服务咨询

模块 2 的关键条款：

• 第 8.1 条 — 指示：处理者只能根据控制者有文件记录的指示处理数据，具体内容见附件 II
• 第 8.2 条 — 目的限制：仅为附件 I 所列的具体目的处理数据
• 第 8.3 条 — 透明度：控制者必须告知数据主体有关数据传输及进口方身份的信息
• 第 8.5 条 — 分处理：仅在事先获得具体或一般书面授权后方可使用分处理者；必须通过合同向其施加相同的数据保护义务
• 第 8.6 条 — 国际后续传输：向分处理者传输数据时必须提供同等水平的保护
• 第 8.8 条 — 安全性：采取附件 II 所述的技术和组织措施
• 第 8.9 条 — 文件记录与合规：处理者必须保存记录并允许审计

模块 3：处理者到处理者（P2P）

适用情形：数据出口方是处理者（代表欧盟控制者行事），数据进口方是子处理者。

Athena Global Logistics 的典型场景：

• 公司作为某欧洲航运联盟的数据处理者，将仓储数据管理分包给第三国的子处理者
• 公司签约的托管 IT 服务提供商进一步将个人数据委托给离岸开发中心处理

模块 3 的主要条款：

• 第 8.1 条 — 指示：子处理者只能根据指示链处理数据，而该指示链最终源自控制者
• 第 8.5 条 — 后续子处理：只有在事先取得控制者的具体或一般书面授权后（通过初始处理者取得），方可进一步分包处理
• 第 8.8 条 — 安全措施：附件 II 中的安全措施同等适用
• 第 8.9 条 — 文档记录与合规：须保留完整的审计链，直至控制者

模块 4：处理者到控制者（P2C）

适用情形：数据出口方是处理者，数据进口方是数据被返还或传输给的控制者。

Athena Global Logistics 的典型场景：

• 将处理后的分析结果返还给最初提供原始货运数据的非欧盟客户控制者
• 合同终止时，欧洲云处理者将个人数据返还给其非欧盟控制者客户

模块 4 的主要条款：

• 第 8.1 条 — 进口方应按照 GDPR（如适用）或同等标准履行其义务来处理数据
• 第 8.2 条 — 对作为控制者的进口方规定目的限制和透明度义务

模块选择决策树

START: Identify the role of the data EXPORTER (EU-based party)
  |
  ├── Exporter is a CONTROLLER
  |     |
  |     ├── Importer determines its OWN purposes → MODULE 1 (C2C)
  |     |
  |     └── Importer processes ON BEHALF of exporter → MODULE 2 (C2P)
  |
  └── Exporter is a PROCESSOR
        |
        ├── Importer is a SUB-PROCESSOR → MODULE 3 (P2P)
        |
        └── Importer is the CONTROLLER (data return) → MODULE 4 (P2C)

附件 I：当事方名单及传输详情

A 节 — 当事方名单

字段	数据出口方	数据进口方
名称	Athena Global Logistics GmbH	TransPacific Freight Solutions Ltd
地址	Friedrichstrasse 112, 10117 Berlin, Germany	88 Harbour Road, Wan Chai, Hong Kong SAR
联系人	Elisa Brandt，数据保护主管	James Leung，首席隐私官
与传输相关的活动	国际货运代理、报关代理、欧洲业务的仓库管理	亚太地区业务的区域货运集运、最后一公里配送协调、清关
角色	控制者	处理者（模块 2）

B 节 — 传输说明

要素	详情
数据主体类别	货运客户（托运人和收货人）、客户公司的员工、报关代理、仓库工作人员
个人数据类别	全名、工作邮箱、工作电话号码、公司名称、货运地址、海关识别号码、托运货物参考编号、配送时间安排偏好
敏感数据	本协议项下不传输任何敏感数据
传输频率	通过 API 集成持续实时传输；每天 02:00 UTC 批量传输文件
处理性质	存储、检索、匹配托运货物记录、生成海关文件、跟踪配送状态、报告异常情况
传输目的	履行货运代理合同，按要求在亚太地区司法管辖区对货运数据进行区域处理，以便清关和最后一公里配送
保留期限	自相关货运完成之日起 36 个月，之后将按照附件 III 中的流程安全删除数据

C 节 — 主管监管机构

根据第 13 条，主管监管机构为 Berliner Beauftragte für Datenschutz und Informationsfreiheit（BlnBDI），即数据出口方设立所在成员国的监管机构。

附件 II：技术和组织措施

措施类别	已实施的具体措施
传输中数据加密	所有 API 通信均使用 TLS 1.3；批量传输使用采用 AES-256 加密的 SFTP
静态数据加密	所有数据库存储卷均采用 AES-256 加密；备份磁带经过加密，并由单独的密钥管理机制管理
访问控制	基于角色的访问控制（RBAC），遵循最小权限原则；所有管理访问均须进行多因素身份验证；每季度审查访问权限
数据最小化	从 API 负载中剔除特定处理目的不需要的字段；在开发和测试环境中，对非必要的个人标识符进行数据屏蔽
日志记录和监控	使用集中式 SIEM，日志保留 12 个月；对异常访问模式进行实时告警；安全运营中心每日审查日志
事件响应	制定书面事件响应计划，初步评估 SLA 为 24 小时；在确认发生泄露后 48 小时内通知数据出口方；每年开展桌面演练
实体安全	通过 ISO 27001 认证的数据中心；生物识别访问控制；全天候 CCTV 监控；处理区域实行清桌政策
业务连续性	RPO 为 4 小时，RTO 为 8 小时；设有地理位置分离的灾难恢复站点；每年进行 DR 测试并记录结果
员工措施	员工入职时及之后每年均须参加数据保护培训；对所有可访问个人数据的员工进行背景调查；签署保密协议
子处理者管理	合作前进行尽职调查评估；通过合同要求对方承担同等的安全义务；每年审计子处理者的合规情况

附件 III：子处理者名单

子处理者	所在地	处理活动	保障机制
CloudVault Asia Pte Ltd	新加坡	为区域货运管理平台提供云基础设施托管	已于 2025 年 3 月 15 日签署 SCCs 模块 3（P2P）
Pinnacle Data Services Co Ltd	泰国曼谷	海关文件的数据录入和验证	已于 2025 年 1 月 22 日签署 SCCs 模块 3（P2P）

逐条实施核对清单

第 I 节 — 通用条款（所有模块）

条款	主题	实施措施
第 1 条	目的和范围	确认已在序言中记录所选模块；核实各方已在正确的模块上签字首字母
第 2 条	效力和不可变更性	核实标准文本未作修改；确认任何额外保障措施均列于单独的附录中，而非 SCC 正文中
第 3 条	第三方受益人	确认数据主体可作为第三方受益人执行第 1—3、8、9、12、15—17 条
第 4 条	解释	确认解释与 GDPR 保持一致；术语含义与该条例中的含义相同
第 5 条	优先顺序	核实如有冲突，SCCs 优先于其他合同安排
第 6 条	传输说明	核实附件 I.B 已完整填写所有必需信息
第 7 条	加入条款	确定是否有其他方将加入；如有，则准备附件 I.A 修订程序

第二部分 — 双方义务

条款	主题	实施措施
第 8 条	数据保护保障措施	因模块而异；核实所选模块的所有子条款均已完成
第 9 条	使用次级处理者	模块 2/3：记录事先授权机制（特定授权或一般授权）；维护次级处理者名单；建立变更通知程序
第 10 条	数据主体权利	建立程序，由进口方处理数据主体请求；明确响应时限（依据 GDPR 第 12(3) 条，在 30 天内）
第 11 条	救济	确认已指定独立争议解决机构；核实进口方将接受有管辖权法院的管辖
第 12 条	责任	确认双方之间的责任分配；核实是否具备保险或财务能力以应对潜在索赔

第三部分 — 当地法律与政府访问

条款	主题	实施措施
第 14 条	影响合规的当地法律	记录传输影响评估结果；确定进口方管辖区内可能影响 SCC 保护的具体法律
第 15 条	政府访问义务	进口方必须将政府访问请求通知出口方（法律禁止时除外）；进口方必须对不成比例的请求提出异议；进口方必须提供透明度报告

第四部分 — 最终条款

条款	主题	实施措施
第 16 条	不合规与终止	建立升级处理程序：通知 → 30 天补救期 → 暂停 → 终止；终止时返还或删除数据
第 17 条	适用法律	选择出口方所在欧盟成员国的法律（Athena Global Logistics 所在地为德国）
第 18 条	诉讼地与管辖权的选择	选择出口方所在欧盟成员国的法院（德国柏林）

SCC 的签署与记录保存

1. 版本控制：维护所有已签署 SCC 的登记册，记录版本号、签署日期、各方及所选模块。
2. 定期审查：至少每年审查所有已签署的 SCC；如处理活动、进口方管辖区法律或次级处理者安排发生重大变化，也应进行审查。
3. 监管更新：关注 EDPB 指引和欧盟委员会的更新，了解 SCC 文件或补充指引是否有任何修订。
4. 与 TIA 整合：每份 SCC 都必须引用相应的传输影响评估，该评估根据第 14 条记录对进口方管辖区的评估。
5. 配合监管机构：做好准备，应主管监管机构根据第 46(2)(c) 条和第 58(1) 条提出要求时，提供所有 SCC 文档。