国际传输是指将个人数据提供给欧洲经济区以外的接收方。这种做法是允许的，但前提是不能在实践中损害《通用数据保护条例》（GDPR）规定的数据保护水平。
法律基础
GDPR第五章规范数据传输。第45条允许向欧盟委员会已做出充分性决定的国家/地区传输数据；对于美国，欧盟-美国数据隐私框架自2023年7月10日起适用，且仅适用于已获认证的组织。第46条列出了适当的保障措施，其中2021年标准合同条款以及具有约束力的公司规则最为常用。第49条规定了特殊情况下的例外情况。根据2020年7月16日Schrems II案的判决，仅靠一项法律文书是不够的：还需要对接收国的法律进行评估，开展数据传输影响评估，并在必要时采取补充措施，例如使用欧洲保存的密钥进行加密。
在实践中如何运作
第一步是确定数据实际存储位置以及哪些人拥有访问权限，包括来自欧洲以外的支持人员。最后一点常常被忽略：支持团队的远程访问也属于数据传输。接下来是工具的选择和评估，并且必须以书面形式记录。合同应规定供应商有义务通知数据位置或子处理者的变更。
哪里出了问题
组织机构依赖供应商的认证，却未核实其是否真正涵盖相关服务。第二个错误是签署标准合同条款时未填写附件，导致缺少对处理过程的描述。第三，评估过程没有记录在案，尽管问责原则明确要求如此。
相关术语
数据传输与数据处理协议、数据保护影响评估和SaaS 协议相关。
您知道您的数据存储在哪里吗？我们的IT法律专家会为您梳理数据传输路线和安全保障措施。
