GDPR 中国数据传输：从 SCC 到落地架构的中国 SaaS 实战手册
Alexander Sverdlov
高级安全顾问
本文要点
- 中国至今没有 GDPR 充分性认定。把欧盟个人数据传到中国境内，必须用 SCC、BCR 或 Article 49 例外，而且都要叠加「传输影响评估（TIA）」和「补充措施」
- Schrems II 判决之后，欧盟监管机构盯的不是合同条款，而是目的地国法律是否允许政府随意获取数据。PIPL 第 41 条、网安法第 28 条、国家情报法第 7 条是 TIA 必答题
- 14 家中国 SaaS 客户里，11 家最终选了「欧盟数据留在欧盟」 的架构（AWS Frankfurt 或 OVHcloud），SCC 只覆盖支持流程中无法避免的远程运维访问
- SCC 2021 版有 四个模块（Module 1 至 4），中国 SaaS 通常需要 Module 2（控制者到处理者）和 Module 3（处理者到子处理者），用错模块直接被欧盟法务退回
- 补充措施不是写在合同里就完事。加密 + 假名化 + 访问审计 是技术三件套，缺一不可。客户端密钥管理（BYOK / HYOK）是 2026 年欧盟大客户的新标配
- 从「客户提出 TIA」到「双方法务签字」，中位周期 11 周。提前把 TIA 模板、SCC 附件、技术架构图准备好，可以压到 4 周
2026 年 3 月，一家上海做 HR 分析 SaaS 的客户给我发消息：他们刚和德国一家工业集团签下 38 万欧元的年合同，合同里 GDPR 数据处理协议（DPA）已经签了。两周后，客户的法务部门追加了一份「Schrems II 传输影响评估」问卷，22 个问题，其中 14 个直接问中国法律：「中华人民共和国国家情报法第 7 条要求组织和公民支持情报工作的义务，是否会强制贵公司向中国情报机构披露我方个人数据？」
他们的法务负责人当时回了一句「我们已经签了 SCC，应该没问题」。两天后客户回信，措辞礼貌但很明确：合同将在 30 天内暂停付款，直到 TIA 通过他们的内部审查。两个月之后我们交付了完整的 TIA 答卷、改造后的架构、和一套补充措施实施记录。客户的德国总部 DPO 签字，合同恢复执行，年底续约扩到 65 万欧元。
下面这套打法，来自 14 家中国 SaaS 客户在过去 18 个月里走完的欧盟跨境传输流程。每一步都踩过坑，每一步也都验证过。
第一步
为什么 GDPR 跨境传输对中国 SaaS 特别难
GDPR 第 44 至 49 条管「个人数据从欧盟传到第三国」。对中国公司来说，这一段比 GDPR 其他任何部分都棘手，原因有三个，是结构性的，不是改个流程就能绕过去的。
这三点的共同后果是：欧盟客户的法务团队默认对来自中国的处理者持「怀疑姿态」。他们不是反对你，而是必须按 EDPB（欧洲数据保护委员会）2021 年 06/2020 号建议书的要求做尽职调查。你的目标不是说服他们「不需要做 TIA」，而是把 TIA 做得让他们的内部审查能签得下来。下面五节就是怎么做到这一点的具体方法。
第二步
六种合法传输机制：哪一种适合中国 SaaS
GDPR 第 44 至 49 条总共给出了六种把欧盟数据合法传到第三国的路径。对中国 SaaS 来说，绝大多数选项要么用不上，要么不实用。下表是 14 家客户走过的真实组合。
| 机制 | GDPR 条款 | 对中国 SaaS 可行性 | 14 家客户采用情况 |
|---|---|---|---|
| 充分性认定 | Art. 45 | 不适用，中国未获认定 | 0 家 |
| 标准合同条款 SCC | Art. 46(2)(c) | 最常用。必须叠加 TIA + 补充措施 | 14 家全部 |
| 具约束力公司规则 BCR | Art. 47 | 仅适合跨国集团内部传输，审批 2-3 年 | 0 家（启动 1 家） |
| 行为准则 / 认证 | Art. 46(2)(e)(f) | EuroPrivacy 认证刚起步，认可度有限 | 0 家 |
| 数据主体明示同意 | Art. 49(1)(a) | 仅一次性、非系统性传输适用，不能作为持续机制 | 0 家 |
| 合同必需 / 重大公共利益 | Art. 49(1)(b)-(g) | 极窄，监管机构严格审查滥用 | 0 家 |
SCC（Standard Contractual Clauses，标准合同条款）2021 年欧盟委员会修订之后是唯一对绝大多数中国 SaaS 实用的机制。BCR（具约束力公司规则）适合大型跨国集团，审批周期 2 至 3 年，对成长期 SaaS 投入产出比太低。其他几种基本可以忽略，写在 DPA 里只会让客户法务困惑。
SCC 2021 版分四个模块。中国 SaaS 用错模块是常见错误：
- Module 1 - C2C（控制者到控制者）：你和欧盟客户都是各自的「控制者」时使用。SaaS 模式极少用，常见于数据共享伙伴关系。
- Module 2 - C2P（控制者到处理者）：欧盟客户是控制者，你作为 SaaS 处理者。90% 的中国 SaaS 用这个模块，对应 GDPR Article 28 处理者职责。
- Module 3 - P2P（处理者到子处理者）：你已经是处理者，把数据再传给境外子处理者（例如阿里云海外节点、客服外包）。需要和 Module 2 一起签。
- Module 4 - P2C（处理者到控制者）：罕见。你作为处理者向欧盟控制者回传数据时使用，例如分析结果反馈。
操作上：每签一家欧盟客户，把 Module 2 + Module 3 作为 DPA 附件交付。Module 3 的「子处理者清单」必须准确列出每一家境外服务商及其所在地。我们见过的最常见错误是把 Module 1 用在 SaaS 关系上，结果客户法务退回三次，浪费两个月。
第三步
传输影响评估（TIA）：Schrems II 真正的考题
TIA（Transfer Impact Assessment）是 Schrems II 判决之后 EDPB 在 06/2020 号建议书里要求的「目的地国法律评估」。欧盟客户的内部 DPO 会问你六个问题，缺一不可。我们把这六个问题拆成可以直接抄到你 TIA 文档里的模板。
第三问「中国法律评估」是大部分中国 SaaS 卡住的地方。诚实的答法不是「中国法律和 GDPR 类似，没问题」，那样会被识破。正确做法是承认风险存在，然后用补充措施降到欧盟客户能接受的程度。例如：「PIPL 第 41 条规定境外司法或执法机构请求调取中国境内个人信息，须经中国主管机关批准。我们的欧盟客户数据不存储在中国境内，因此该条款对本次传输不直接适用。中国境内员工对欧盟数据的访问需经双因素认证 + 审计 + 加密通道，技术上排除了未授权调取。」
14 家客户里，写好 TIA 模板可以复用 80% 给后续的欧盟客户。第一份 TIA 通常要花 60 至 100 小时（含外部法律意见书），第二份只需要 15 至 20 小时。把 TIA 模板当作长期资产维护，是这套合规投入的最大单点回报。
第四步
补充措施：让欧盟客户能签字的技术三件套
SCC 第 14 条要求传输方在 TIA 评估出风险后实施「补充措施」（supplementary measures）。EDPB 把补充措施分成技术、合同、组织三类。对中国 SaaS 来说，欧盟客户法务真正信的是技术措施，合同和组织措施只是配套。下面是 14 家客户里被欧盟 DPO 接受率最高的技术三件套。
2026 年欧盟大企业新增的明确要求是 BYOK（Bring Your Own Key，客户自带密钥）。客户希望即使你的中国工程师在堡垒机上看到一行行密文，也没有解密能力，因为 KMS 主密钥在客户自己的 AWS KMS 或 HashiCorp Vault 里。AWS、Azure 都提供 BYOK 接入，工程改造一般 4 至 8 周。HYOK（Hold Your Own Key，HSM 留客户机房）成本更高，目前 14 家客户里只有 2 家做到了，主要服务金融和医疗类欧盟客户。
第五步
数据驻留架构：四种模式与适用场景
最快让欧盟客户安心的方法是从架构上把数据留在欧盟。这样 SCC 只覆盖少量必要的运维访问，TIA 也更容易通过。14 家客户走过四种典型架构，下表给出取舍。
实操建议：起步阶段选模式 B（数据留在 AWS Frankfurt 或 OVHcloud），用相同代码库部署一个独立的欧盟租户。CI/CD 流水线在中国总部，但部署到欧盟集群，发布前的镜像不含真实欧盟个人数据。欧盟运维由值班团队远程接入欧盟堡垒机，所有操作有审计日志，季度向客户呈交访问报告。当欧盟收入超过 200 万欧元，再考虑设立爱尔兰或荷兰子公司转 Module 1 的 C2C 架构（模式 C）。
常见误区：使用「欧盟节点的阿里云」算不算欧盟驻留？
部分客户的法务会盯这个问题。阿里云法兰克福节点的物理基础设施确实在德国，但运营主体是中国母公司的欧洲子公司，DSL 第 35 条 / 国家情报法第 7 条对母公司的义务理论上仍可能延伸。我们的建议是：在 EDPB 给出明确指引前，避免把欧盟敏感数据放在「中资云的欧盟节点」上。AWS、Azure、Google Cloud、OVHcloud 都是更安全的选择。
第六步
11 周到 4 周：TIA 周期压缩路线图
14 家客户的真实数据：第一份 TIA 从客户发问卷到双方签字，中位 11 周。预先把模板和架构准备好的客户，可以压到 4 周。下图是 4 周快通道的拆解。
值得强调的是「中国侧并行」：你完成欧盟侧的 SCC 签字后，如果传输路径里仍包含从欧盟节点流向中国境内的数据（例如运维访问），按 PIPL 第 38 条还要走中国侧的三选一：网信办安全评估、个人信息出境标准合同、或个人信息保护认证。中等量级的中国 SaaS（每年欧盟个人信息条数 < 10 万）通常走「标准合同」备案最经济，约需 30 至 60 天。
Atlant Security 如何帮你
GDPR 跨境传输全套交付
我们为 30 至 300 人的中国 SaaS 提供 GDPR 跨境传输的全套交付。从 TIA 主文档撰写、SCC 模块选型、欧盟数据驻留架构方案、补充措施技术落地、PIPL 出境标准合同备案到欧盟客户法务答辩，整套流程一站式完成。所有交付物中英双语、按欧盟客户法务团队的标准格式提交。
- 固定价格 USD 18,000 起（首份 TIA + SCC + 补充措施实施）
- 4-8 周完成首份完整传输包；后续客户复用降至 1-2 周
- 14 家中国 SaaS 客户的欧盟传输实战经验
- 欧盟和中国双侧法律意见书 + 工程改造路线图
- 合同签字之前付款比例不超过 30%
常见问题
中国 SaaS CEO 在欧盟传输上常问的问题
PIPL 的「标准合同」可以代替 GDPR 的 SCC 吗？
不能。这是两套独立的法律工具，方向相反。GDPR SCC 是欧盟用来管控「数据流出欧盟」的；PIPL 标准合同（俗称 CN SCC）是中国用来管控「数据流出中国」的。一次完整的中欧双向传输，往往两个都要签：欧盟客户合同附 GDPR SCC，中国境内出境部分附 CN SCC 并向当地网信办备案。两套合同的法律性质不同，不能互相替代。
我们的欧盟客户没要求 TIA，是不是就不用做？
短期看是。长期看不是。Schrems II 之后 EDPB 把 TIA 列为「数据出口方」的强制义务，意味着即使客户没要，数据控制者（你的客户）一旦被欧盟监管机构抽查，他们仍然要拿出 TIA。建议你主动准备一份「双方共享」的 TIA 模板，客户法务往往会很高兴。这是 14 家客户中续约率最高的销售工具之一。
数据放在 AWS Frankfurt 是不是就完全合规？
合规性大幅简化，但「完全合规」要看你公司主体在哪里。如果你的中国总部仍能远程访问欧盟节点（绝大多数 SaaS 都需要），仍然构成跨境传输，需要 SCC + TIA + 补充措施。差别是：补充措施的范围从「保护静态数据」缩到「保护远程访问通道」，工作量减少 60% 左右。还有一个隐藏问题：AWS 是美国主体，欧盟客户极少数会进一步要求避开美资云，那时就要看 OVHcloud、T-Systems 这类欧洲主权云。
设立爱尔兰子公司值不值？
看欧盟年收入。年收入低于 100 万欧元，子公司维护成本（公司注册 USD 5,000 + 年度合规 USD 25,000 至 60,000 + 本地 DPO 兼职费）通常吃掉大部分利润。年收入达到 200 万欧元，子公司在销售上的「欧洲信任溢价」开始显现，部分客户会指定与欧盟主体签约。年收入超过 500 万欧元，子公司基本是必选。建议先用模式 B（AWS Frankfurt + 中国母公司直签 SCC）跑到 200 万欧元，再启动子公司项目。
BYOK 的工程成本大概多少？
基于现成云 KMS 的 BYOK，工程改造 4 至 8 周，一次性投入 USD 15,000 至 40,000，主要花在密钥旋转流程、密钥缓存策略、多租户隔离上。如果应用层加密设计较好（字段级而非整表加密），改造工作量更小。运行时成本主要是 KMS 调用费，按每月 USD 500 至 2,000 量级。HYOK（HSM 留客户机房）成本要高一个数量级，建议只在客户明确要求时启动。
如果欧盟监管机构调取数据怎么办？
SCC 第 15 条要求处理者收到第三国政府调取请求时通知数据出口方（你的欧盟客户），除非法律禁止。建议你提前在内部建立调取请求处理流程：法务先审、CEO 签字、客户在法律允许的时间内通知。同时维护一份「政府请求透明度报告」，每半年公开一次（即使数字为零）。EDPB 把「透明度报告」视为补充措施的一部分，欧盟客户对此评价很高。14 家客户里 6 家已经开始发透明度报告，单次发布工作量约 3 至 6 小时。
GDPR 跨境传输对中国 SaaS 不是一道考试题，是一个长期工程。Schrems II 之后欧盟监管机构对「中国处理者」的默认怀疑姿态短期内不会改变，但这不等于欧盟市场对中国 SaaS 关上了门。14 家客户的真实经验是：把 TIA 模板、SCC 附件、补充措施技术架构当作可复用资产打磨好，第一份合同会花 4 至 11 周，从第二份合同开始通常 2 周就能签。把这套合规能力做成产品，欧洲市场的签单速度甚至会快于美国市场，因为欧盟法务对「准备充分的中国处理者」的认可度比想象中高。
如果你正在和第一家欧盟客户谈合同，或者已经签了但被 TIA 问卷卡住，趁着客户法务还耐心的窗口期，把数据驻留架构、SCC 模块选型、补充措施清单这三件事先定下来。三个月之后回头看，这是中国 SaaS 进入欧盟市场最值得的一笔投入之一。
想聊聊你公司的具体情况？预约 30 分钟咨询，或直接发邮件给 alexander@atlantsecurity.com。
Alexander Sverdlov
Atlant Security 创始人，两本信息安全著作的作者，亚洲最大网络安全会议演讲嘉宾， 联合国会议小组成员，前微软安全咨询团队成员，前阿联酋核能公司外部网络安全顾问。