欧盟个人数据传输的两项新工具（SCCs）：历史演变、法律影响和应对策略

[1] Directive 95/46/EC, CHAPTER IV. 

[2] GDPR项下的个人数据跨境传输指向欧盟/欧洲经济区以外的国家或地区传输个人数据，包括个人数据在物理上跨越国境发生转移的情形以及个人数据在境外被远程访问的情形。

[3] GDPR, Article 45, para. 1.

[4] GDPR, Article 47.

[5] Commission Decision 2001/497/EC, Clause 6.

[6] Commission Decision 2004/915/EC, III.

[7] Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data, Recommendations 02/2020 on the European Essential Guarantees for surveillance measures.

[8]  Commission Implementation Decision C (2021) 3972 final, (18), (19), (22).

[9] Commission Implementation Decision C (2021) 3972 final, (7).

[10] Commission Implementation Decision C (2021) 3972 final, (18).

[11] Annex to the Commission Implementation Decision C (2021) 3972 final, Clause 14. 

[12]  Annex to the Commission Implementation Decision C (2021) 3972 final, Clause 15.

[13] Commission Implementation Decision C (2021) 3972 final, (21).

[14] Annex to the Commission Implementation Decision C (2021) 3972 final, Clause 2 (a).

[15] Annex to the Commission Implementation Decision C (2021) 3972 final, Clause 7.

[16] 需要注意的是，若中国企业本身适用于GDPR，且直接从欧盟个人数据主体处收集个人数据，此种情形下企业应当满足GDPR第一至第四章的内容，而无需适用第五章关于个人数据跨境传输的要求。

[17] https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en  此外，请注意韩国正在通过充分性认定的最后流程。

[18] Commission Implementation Decision C (2021) 3972 final, (7) “…The standard contractual clauses may be used for such transfers only to the extent that the processing by the importer does not fall within the scope of Regulation (EU) 2016/679…”.

[19] 《个人信息保护法（草案二审稿）》第三十八条：个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当至少具备下列一项条件:

（一）依照本法第四十条的规定通过国家网信部门组织的安全评估；

（二）按照国家网信部门的规定经专业机构进行个人信息保护认证；

（三）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务，并监督其个人信息处理活动达到本法规定的个人信息保护标准；

（四）法律、行政法规或者国家网信部门规定的其他条件。