2025年5月2日，爱尔兰数据保护委员会（DPC）依据《通用数据保护条例》（GDPR）对 TikTok 处以5.3亿欧元行政罚款，理由是其在未充分保障数据主体权利的前提下，将欧洲经济区（EEA）用户的个人数据非法传输至中国。DPC 认定 TikTok 违反了 GDPR 关于跨境传输的核心义务，并要求其在六个月内使数据处理完全合规。这是继2023年因未成年用户数据被罚3.45亿欧元之后，TikTok 在欧盟遭遇的又一次重大合规处罚。

TL;DR

• 2025年5月2日，爱尔兰 DPC 对 TikTok 处以5.3亿欧元罚款，认定其非法将 EEA 用户数据传输至中国，并给予六个月整改期。
• 两项核心违规：违反 GDPR 第46(1)条（传输缺乏充分保障措施），以及第13(1)(f)条（隐私政策未披露数据流向中国及中国境内员工的远程访问）。
• DPC 认为 TikTok 现行标准合同条款（SCCs）及内部控制不足以抵消中国相关法律对数据权利构成的风险。
• TikTok 曾称未在中国境内存储 EEA 数据，2025年4月更正承认“少量”数据曾被错误存储，DPC 将就此启动进一步调查并可能追加处罚。

调查结论及法律依据

爱尔兰 DPC 自2021年9月起对 TikTok 启动正式调查，历时近四年。DPC 于2025年初依 GDPR 第60条“一致性机制”向其他成员国监管机构提交初步决定，在未收到反对意见后于5月2日作出最终裁决。调查围绕两个核心问题展开：TikTok 是否在缺乏充分保障的情况下向中国传输 EEA 用户数据，以及是否履行了 GDPR 项下的透明度义务。

第46(1)条方面，若企业将个人数据传输至未获欧盟“充分性决定”（adequacy decision）的第三国，须通过标准合同条款（SCCs）并辅以补充措施，确保数据在接收国获得等同于欧盟的保护。DPC 认为 TikTok 未能充分评估中国相关法律对个人数据权利构成的潜在风险，其 SCCs 与内部控制不足以有效减轻风险。跨境传输前应如何做影响评估，可参考CNIL 就数据转移影响评估（TIA）指南征求意见。SCCs 本身并非万能，Meta 案已表明其在特定法律环境下可能被认定无效，详见Meta 数据跨境合规新考量。

第13(1)(f)条方面，DPC 指出 TikTok 2021年发布的 EEA 隐私政策存在重大遗漏：未明确告知用户数据将被传输至包括中国在内的第三国，也未披露中国境内员工可能远程访问存储于美国或新加坡服务器上的用户数据。这损害了用户对个人信息处理的知情权与控制权。

提供不实信息或面临追加处罚

值得注意的是，TikTok 在配合调查过程中曾提供与事实不符的信息。据 DPC 披露，TikTok 最初明确表示未在中国境内存储任何 EEA 用户数据，随后于2025年4月主动更正，承认在内部调查中发现“少量”EEA 数据曾被“错误地”存储于中国境内。DPC 已表示将就该隐瞒或误导行为启动进一步调查，不排除追加处罚。

TikTok 的官方回应

针对该处罚，TikTok 迅速发表声明表示强烈反对，并明确将依法上诉。TikTok 认为裁决未充分考量其为保护欧洲用户数据投入的技术与组织性保障，特别强调其推进的“Project Clover”项目旨在提升数据本地化处理与访问控制。TikTok 还否认曾向中国政府提供任何欧洲用户数据，并称从未收到此类请求。类似的跨境传输执法并非孤例，Uber 也曾因向美国跨境传输司机数据被罚，详见Uber 因违规向美国跨境传输司机数据被罚2.9亿欧元。

对出海企业的启示

本案将成为针对向中国传输个人数据的全球性先例，预示此类跨境传输将面临更严格的审查。落地上有三点值得关注。

• 重审传输机制：系统性复核现有数据传输路径，确保提供与 GDPR 等同水平的保护，包括强化加密、深化传输影响评估（TIA），并评估在欧盟本地设立数据中心、实现用户数据本地存储的可行性。DPC 明确指出，SCCs 在特定法律环境下可能不足以独立满足 GDPR 要求。
• 透明度转向实质审查：透明度评估不再局限于是否履行形式披露，而是审查所提供信息的准确性与完整性。即使技术措施合规，若隐私政策存在模糊、遗漏或误导，仍可能违反 GDPR。企业应从“以监管为对象”转向“以数据主体为中心”，尤其在跨境传输、高风险处理活动上详尽披露。
• 关注规则演进：为平衡数据主权与数字经济，中欧双方未来可能就跨境传输机制展开更系统的磋商，企业应跟踪规则变化，为可预期的合规路径预留调整空间。

TikTok 在欧盟已多次被点名，从儿童数据到跨境传输再到《数字服务法》，可对照TikTok 3.45亿欧元罚款：儿童数据保护刻不容缓一并观察其合规压力的累积。DPC 的裁决全文与后续进展，可关注爱尔兰数据保护委员会官网 https://www.dataprotection.ie 。