关于 transfer-impact-assessment
该技能为依赖 GDPR 跨境传输机制的组织提供传输影响评估（TIA）方法。它依照 EDPB 六步法，指导梳理传输、评估目的地法律并制定补充措施及复核安排。
主要功能
- 01梳理跨境个人数据传输
- 02识别传输法律机制
- 03评估目的地法律与保障
- 04规划技术、合同及组织措施
- 05制定程序与定期复核
适用场景
- 01评估 SCC 覆盖的数据传输
- 02审查第三国政府访问风险
- 03确定加密或假名化补充措施
- 04因法律变化重新评估传输
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/transfer-impact-assessment确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
assets/template.mdperforming-transfer-impact-assessment/assets/template.mdperforming-transfer-impact-assessment/references/standards.mdworkflows.mdperforming-transfer-impact-assessment/scripts/process.pyreferences/standards.mdworkflows.mdscripts/process.py详细介绍
开展传输影响评估
概述
根据欧盟法院在 Schrems II 案（案件编号 C-311/18，2020 年 7 月 16 日）中的判决，依赖标准合同条款（SCC）或其他 GDPR 第 46 条传输机制的组织必须开展传输影响评估（TIA），评估目的地国家的法律框架是否能为个人数据提供实质上等同的保护水平。欧洲数据保护委员会（EDPB）通过了《关于确保符合欧盟个人数据保护水平的补充传输工具措施的建议 01/2020》（第 2.0 版，于 2021 年 6 月 18 日通过），为此项评估确立了六步方法。
EDPB 六步方法
第 1 步：了解你的数据传输
梳理所有向第三国传输的个人数据，并识别以下信息：
| 要素 | 所需信息 |
|---|---|
| 传输识别信息 | 每项传输或每组传输的唯一参考编号 |
| 数据出口方 | 法律实体名称、设立地点、角色（控制者／处理者） |
| 数据进口方 | 法律实体名称、设立地点、角色（控制者／处理者） |
| 传输机制 | SCC（注明模块）、BCR、第 49 条减损情形 |
| 数据类别 | 传输的个人数据类型，包括任何特殊类别数据 |
| 数据主体 | 数据被传输的个人类别 |
| 目的 | 传输后处理数据的具体目的 |
| 目的地国家 | 进口方处理数据所在的国家 |
| 后续传输 | 进口方向其他司法管辖区进一步传输的情况 |
| 格式和渠道 | 数据传输方式（API、SFTP、电子邮件、物理介质） |
| 存储期限 | 数据在目的地国家保留的时长 |
Athena Global Logistics 传输映射示例：
| 传输参考编号 | 出口方 | 进口方 | 目的地 | 机制 | 数据类别 |
|---|---|---|---|---|---|
| TIA-2025-HK-001 | Athena Global Logistics GmbH | TransPacific Freight Solutions Ltd | 香港特别行政区 | SCC 模块 2 | 客户姓名、地址、海关编号、货运数据 |
| TIA-2025-IN-001 | Athena Global Logistics GmbH | Athena Freight Services India Pvt Ltd | 印度 | SCC 模块 1 | 员工姓名、联系方式、绩效记录 |
| TIA-2025-US-001 | Athena Global Logistics GmbH | Meridian Cloud Services Inc | 美国 | EU-US DPF + SCC 备用方案 | 客户数据、运营分析数据 |
第 2 步：识别所依赖的传输工具
针对每项传输，确认第 46 条传输机制：
- SCC（第 46(2)(c) 条）：明确具体模块（1-4）和版本（2021/914）。
- BCR（第 47 条）：确认批准状态和适用范围。
- 临时合同条款（第 46(3)(a) 条）：确认监管机构（SA）的授权。
- 行为守则（第 46(2)(e) 条）：确认已批准的守则和具有约束力的承诺。
- 认证机制（第 46(2)(f) 条）：确认认证状态和适用范围。
记录可能受目的地国家法律框架影响的具体条款，尤其是：
- 第 14 条（SCC）——涉及公共机关访问数据的当地法律和义务
- 第 15 条（SCC）——数据进口方在政府访问数据时的义务
第 3 步：结合所有情况评估传输工具是否有效
这是 TIA 的核心。根据欧洲四项基本保障（EDPB 建议 02/2020）评估目的地国家的法律框架：
基本保障 1：处理应基于清晰、准确且易于获取的规则
| 评估问题 | 分析 |
|---|---|
| 政府访问个人数据是否有立法依据？ | 明确授权政府访问的具体法律（例如，美国的 FISA 第 702 条、EO 12333；香港的《国家安全法》；印度的《信息技术法》第 69 条） |
| 相关规则是否公开可获取？ | 评估相关法律及其实施条例是否已公布且易于获取 |
| 政府访问的范围是否明确定义？ | 评估法律是否规定了受访问限制的数据类别、人员或情形 |
| 访问是否存在例外或条件？ | 明确任何限制、门槛或事先授权要求 |
基本保障 2：必要性与比例原则
| 评估问题 | 分析 |
|---|---|
| 政府访问是否仅限于严格必要的范围？ | 评估法律是否要求证明每项访问请求均属必要 |
| 访问范围是否与所述目标相称？ | 评估是否允许批量／大规模监控，还是必须针对特定对象进行访问 |
| 是否有防止滥用的保障措施？ | 评估对已访问数据的最小化要求、目的限制和保留期限限制 |
基本保障 3：独立监督机制
| 评估问题 | 分析 |
|---|---|
| 是否需要事先获得司法或独立授权？ | 确定法院或独立机构是否必须在执行前批准访问请求 |
| 是否有持续监督？ | 评估独立机构是否监督政府的访问活动 |
| 监督机构是否真正独立？ | 评估监督机构成员的任命、任期和免职条件 |
基本保障 4：个人可获得有效救济
| 评估问题 | 分析 |
|---|---|
| 个人能否在法院对政府访问提出质疑？ | 评估个人是否有权对监控措施申请司法审查 |
| 是否有有效的通知机制？ | 确定是否会通知个人其受到监控（即使通知有所延迟） |
| 个人能否获得救济？ | 评估可用的救济方式（赔偿、删除数据、禁令救济） |
第 4 步：采取补充措施
如果第 3 步的评估发现，传输工具本身并不足以有效保护数据，则应确定并实施补充措施，以弥补保护缺口：
技术措施
| 措施 | 有效性 | 适用情形 |
|---|---|---|
| 端到端加密（传输中和静态数据），密钥由欧盟持有 | 高——可防止数据进口方和政府访问明文 | 数据存储或传输场景，且数据进口方无需处理明文 |
| 使用由欧盟持有映射表的假名化 | 高——传输的数据无法关联到已识别的个人 | 数据进口方无需识别个人的分析、研究或汇总场景 |
| 分拆处理 | 高——第三国境内没有任何单一实体持有完整数据集 | 多方计算，或在多个司法管辖区之间分拆处理 |
| 传输层加密（TLS 1.3） | 中——可保护传输中的数据，但无法防止静态数据被强制披露 | 作为所有传输的基线措施；对于高风险司法管辖区，单独使用并不足够 |
合同措施
| 措施 | 有效性 | 适用场景 |
|---|---|---|
| 有义务对不成比例的政府访问请求提出异议 | 中等——取决于目的地国家的法律地位和司法独立性 | 所有基于 SCC 的传输（第 15 条已要求采取此措施） |
| 对收到的政府访问请求承担透明度义务 | 中等——提高透明度，但无法阻止访问 | 所有传输 |
| 出口方或独立审计员可行使审计权 | 中等——可核实合规情况，但属于事后审查 | 所有传输 |
| 保密金丝雀（承诺定期发布透明度报告） | 低至中等——可提供间接信号，但无法阻止访问 | 可能适用禁言令的美国传输 |
组织措施
| 措施 | 有效性 | 适用场景 |
|---|---|---|
| 制定严格的内部访问政策，限制可访问已传输数据的人员 | 中等——缩小政府可能访问数据的范围 | 所有传输 |
| 定期发布政府访问请求透明度报告 | 中等——提高问责性 | 所有传输 |
| 针对政府访问情形开展数据保护影响评估 | 中等——主动识别风险 | 向高风险司法管辖区传输 |
| 由进口方采用 ISO 27001/27701 认证 | 中等——对安全和隐私控制进行独立验证 | 所有传输 |
步骤 5：采取补充措施时的程序步骤
- 在 SCC 附件或单独的附录中记录补充措施。
- 在开始或继续传输之前实施技术措施。
- 执行反映补充措施的合同修订。
- 核实进口方具备实施这些措施的技术能力和法律许可。
- 如有要求，通知主管 SA（针对《第 46(3)(a) 条》下的临时合同条款）。
步骤 6：按适当间隔重新评估
- 安排定期 TIA 审查：至少每年一次，或在出现以下任何触发情形时进行：
- 目的地国家颁布影响政府访问的新法律
- 目的地国家作出影响隐私保护的法院裁决
- EC 充分性决定格局发生变化
- EDPB 或国家 SA 更新指南
- 已传输数据的性质、数量或敏感性发生重大变化
- 进口方收到政府访问请求
- 记录每次重新评估的日期、触发情形、调查结果，以及对补充措施作出的任何变更。
- 如果重新评估得出无法确保有效保护的结论，则暂停传输并通知主管 SA。
特定国家评估摘要
United States
| 因素 | 评估 |
|---|---|
| 主要监控法律 | FISA 第 702 条、EO 12333、《CLOUD Act》、国家安全函（18 USC 2709） |
| 必要性／比例性 | EO 14086（2022 年 10 月）引入了必要性和比例性要求；适用于所有信号情报活动 |
| 独立监督 | FISC（第 702 条的事先授权）；PCLOB（监督）；DPRC（为欧盟数据主体提供救济） |
| 救济措施 | 根据 EO 14086 建立的 DPRC 机制；其裁定具有约束力 |
| 总体评估 | 如果进口方已通过 DPF 认证：适用充分性决定。如果未通过 DPF 认证：采用附带补充措施（加密、合同透明度）的 SCC |
中华人民共和国
| 因素 | 评估 |
|---|---|
| 主要监控法律 | 《网络安全法》（第 28、37 条）、《国家情报法》（第 7、14 条）、《数据安全法》（第 35-36 条）、《个人信息保护法》（第 38-43 条） |
| 必要性／比例原则 | 《国家情报法》第 7 条规定了广泛的协助义务；未明确要求遵循比例原则 |
| 独立监督 | 情报部门获取信息不受独立司法监督；检察机关的监督并非独立于国家 |
| 救济 | 外国数据主体针对国家监控可获得的司法救济有限 |
| 总体评估 | 高风险；补充措施必须包括使用由欧盟持有密钥的强加密；考虑在传输前实施数据最小化和假名化；对于某些类别的数据，可能无法在提供有效保护的情况下传输 |
印度
| 因素 | 评估 |
|---|---|
| 主要监控法律 | 《2000 年信息技术法》第 69 条（拦截）、《1885 年电报法》第 5 条、《2023 年数字个人数据保护法》第 36 条（政府豁免） |
| 必要性／比例原则 | 第 69 条要求获得部长级授权，但比例原则审查有限；中央监控系统（CMS）具备大规模监控能力 |
| 独立监督 | 拦截无需事先获得司法授权；审查委员会由行政部门任命 |
| 救济 | 根据《信息技术法》可获得的救济有限；可向高等法院申请令状，但实际途径受限 |
| 总体评估 | 中高风险；补充措施应包括加密、合同透明度和审计权；TIA 应根据数据类别和进口方情况评估具体风险 |
香港特别行政区
| 因素 | 评估 |
|---|---|
| 主要监控法律 | 《截取通讯及监察条例》（第 589 章）、《国家安全法》（2020 年）、《维护国家安全条例》（2024 年） |
| 必要性／比例原则 | 第 589 章要求拦截须获司法授权；但《国家安全法》赋予广泛权力，比例原则审查有限 |
| 独立监督 | 截取通讯及监察事务专员根据第 589 章提供监督；《国家安全法》案件由指定法官审理 |
| 救济 | 根据第 589 章可申请司法复核；根据《国家安全法》可获得的实际救济有限 |
| 总体评估 | 中等风险（《国家安全法》颁布后风险上升）；补充措施应包括加密和合同义务；评估数据的敏感性及政府关注的可能性 |
TIA 文档要求
每项 TIA 都必须形成文档，并包括：
- 传输识别（步骤 1：数据映射）
- 传输机制详情（步骤 2：分析）
- 目的地国家法律评估，并引用具体法律条文（步骤 3）
- 针对每项已识别法律的欧洲基本保障措施分析（步骤 3）
- 已确定的补充措施及其理由（步骤 4）
- 补充措施的实施状态（步骤 5）
- 重新评估计划及触发条件（步骤 6）
- 总体结论：可以进行传输／采取补充措施后可以进行传输／必须暂停传输
- 由 DPO 或数据保护负责人签署
- 版本历史记录，追踪所有更新和重新评估
评论
支持 Markdown