瑞典隐私保护局（IMY）于 2023 年 7 月 3 日认定 CDON、Coop、Dagens Industri、Tele2 四家企业通过 Google Analytics 将用户个人数据传输至美国违反 GDPR，对 Tele2 罚款 1200 万瑞典克朗（约 110 万美元）、对 CDON 罚 30 万瑞典克朗（约 3 万美元），并裁令仍在使用该工具的企业停用。关键认定是：即便签署了标准合同条款（SCC），在美国法律保护不足的情况下，仍需在 SCC 之外采取额外保障措施。

TL;DR

• IMY 于 2023 年 7 月 3 日对 Tele2、CDON 分别处以 1200 万、30 万瑞典克朗罚款，并令其余企业停用 Google Analytics。
• 调查源于隐私组织 NOYB 的投诉，IMY 认定通过 Google Analytics 传输的浏览器/设备标识符、动态 IP 等属可识别个体的个人数据。
• 依据 Schrems II，SCC 未被否定，但在其对第三国当局无约束力、且接收国保护不足时，不足以单独保障跨境传输。
• 这是欧盟监管机构自 2020 年收到大量 Google Analytics 投诉以来首次作出的罚款处罚。

案情：从 NOYB 投诉到审计

事件起因是 IMY 接到欧洲数字权利组织 NOYB（None of Your Business）的投诉，指控这些企业违法向美国传输个人数据。IMY 审计后认为，通过 Google Analytics 传输到美国的数据可关联识别到个体，属个人数据；四家企业虽以签署 SCC 为由进行传输，但在 SCC 之外还需额外保障措施。据此，IMY 对 Tele2、CDON 处以罚款，其中 Tele2 已主动停用 Google Analytics，IMY 同时裁令其余三家停用。谷歌回应称 Google Analytics 无法识别或跟踪线上个人，其用途仅限于帮助网站了解访问者情况。

为什么 SCC 不足以支撑传输

IMY 的调查可追溯至 2020 年欧盟法院的 Schrems II 判决——该判决因美国情报机关可能获取用户数据、且欧盟公民在美国缺乏有效司法救济，宣布用于欧美跨境传输的“隐私盾”无效。尽管隐私盾失效，许多公司仍以其为依据继续传输，NOYB 随即在 27 个欧盟成员国及另外 3 个欧洲经济区国家向 101 个数据控制者提出投诉。

按 GDPR 第五章，跨境转移须满足充分性认定（第 45 条）或适当保障措施（第 46 条）等条件。由于安全港的充分性认定被判无效，无法以第 45 条为依据向美国传输；Schrems II 虽未否定 SCC 作为转移工具，但指出 SCC 在对第三国当局没有约束力时，无法在实践中确保充分保护。因此，若评估认为工具应达到的保护水平在实践中无法维持，数据出口方必须暂停传输，或采取合同、技术、组织层面的额外保障措施。负责本案的法律顾问 Sandra Arvidsson 表示，这一决定为所有使用 Google Analytics 的组织敲响了警钟。同一年，Meta 因仅靠 SCC 转移欧盟数据被罚 12 亿欧元 也印证了同样的逻辑。

网站运营商的降险措施

欧盟各监管机构对 Google Analytics 的态度趋同：2022 年初，法国监管机构以本地网站使用 Google Analytics 违反 GDPR 为由要求其停用或改用替代工具；更早前一家奥地利网站也因此被认定违规；丹麦和挪威的数据保护局也表明可能持类似立场。对仍打算在欧洲经济区使用该工具的运营商，可考虑的措施包括：

• 采用可将个人数据留在欧洲经济区内的分析工具替代方案；
• 采用法国监管机构提出的“代理服务器”方案，禁止将 IP 地址、位置、浏览器指纹等可识别信息传给 Google Analytics；
• 激活 IP 匿名化、在控制面板中选择最有利隐私的设置（如最短数据保留期）、在 Cookie 横幅上请求用户同意传输、并留存转移影响评估记录；
• 定期审查数据处理流程、做好第三方数据处理合规管理，明确双方对数据保护的责任。

Cookie 同意的具体执法标准，可参考法国 CNIL 对谷歌 Cookie 同意的处罚 ；NOYB 对中国企业的类似跨境投诉，见NOYB 投诉六家中国公司的数据跨境违规 ；转移影响评估的操作，参考CNIL 的数据转移影响评估（TIA）指南 。

展望：DPF 提供的新路径

2023 年 7 月 10 日，欧盟委员会通过实施决定，规定参与欧盟-美国数据隐私框架（EU-US DPF）的美国商业实体可接收来自欧盟/欧洲经济区的个人数据，为欧美跨境传输提供了新的合规路径。但企业能否据此自由传输、还需配套哪些措施，取决于是否加入框架清单及后续实施情况——详见欧盟-美国数据隐私框架 DPF 正式生效 。