EDPB更新数据保护印章，首次明确“认证”作为数据跨境传输机制

跨境数据传输和“认证”的新框架

欧盟《通用数据保护条例》（GDPR）将经批准的认证机制规定为跨境数据传输的法律依据之一。然而，自该机制生效以来，实务中始终缺乏可行且有效的实施路径。

欧洲数据保护委员会（European Data Protection Board，EDPB）已于2026年4月15日通过两份意见弥补了这一空缺：

• 意见14/2026：EDPB已批准现有Europrivacy认证体系的更新标准（第82版），并依据GDPR第42条第5款，将其确立为欧洲数据保护印章。
• 意见15/2026：EDPB已批准对Europrivacy认证标准的专项扩展，明确其可依据GDPR第46条第2款第f项，作为国际数据传输的数据跨境传输机制。

什么是Europrivacy?

Europrivacy是一个面向数据控制者和处理者的通用认证体系，用于证明其符合GDPR的数据保护标准。通过相应的扩展，企业还可以对其他法律法规的合规性进行认证，例如《电子隐私指令》（ePrivacy-Richtlinie）、《数据法案》（Data Act），以及瑞士nDSG、英国UK GDPR或美国CCPA等国家或地区的数据保护相关法律。

该认证由经认可的第三方认证机构依据EDPB批准的认证标准实施，其认证结果在欧盟及欧洲经济区（EEA）所有成员国均获认可，无需分别在各成员国重新申请认证。通过认证的企业将获颁欧洲数据保护印章。

GDPR第46条：“认证”作为跨境数据传输的法律依据

此前，Europrivacy认证体系主要面向受GDPR约束的数据控制者和数据处理者，包括在欧洲经济区（EEA）设有机构的主体，以及虽未在欧洲经济区设立机构但因符合GDPR第3条第2款规定而受其域外适用的主体。此次扩展则将认证对象进一步覆盖至位于欧盟及欧洲经济区之外、且不直接受GDPR约束的企业。对于此类企业而言，该认证具有双重功能：一方面，可作为其数据保护合规性的证明；另一方面，可依据GDPR第46条第2款f项，作为国际数据传输的法律依据。

与标准合同条款（SCCs）等传统数据跨境传输机制相比，其核心区别在于保障的方式与强度：标准合同条款主要依赖合同层面的承诺，而该认证机制在此基础上，引入对数据接收方数据保护体系的独立事前评估，并结合合同义务与持续监督机制。因此，数据保护水平不再仅停留在合同承诺层面，而是通过事前审查与持续监控得到实质性保障。

实务指导

实践中，数据接收方应事先接受对其数据保护体系的独立评估，向位于欧洲经济区的数据输出方承担具有约束力的数据保护义务，并持续确保认证的有效性。该认证须以合同形式纳入相关协议，并向数据主体说明所采用的数据传输法律依据。认证程序的一部分还包括对接收国法律环境的评估，以判断其是否能够落实GDPR基本原则。数据接收方还需持续更新上述评估报告，并及时将相关变更通知数据输出方。在存在共同数据控制者时，该认证不得作为数据传输的法律依据。

数据接收方与输出方的注意事项

对于数据接收方而言，该认证引入了超出法定最低要求的具体义务。例如，扩展后的认证标准要求其指定数据保护专员，即使在GDPR第37条未强制要求的情况下亦然。此外，数据处理以认证的持续有效性为前提。一旦认证失效，相关已传输的数据必须立即删除或退还给数据输出方。

数据接收方的认证并不免除数据输出方对数据传输合法性的责任。数据输出方仍须主动核实该认证是否在实质内容上覆盖具体的数据传输情形，并开展独立的数据传输影响评估（Transfer Impact Assessment, TIA）。认证程序中所包含的第三国法律分析可作为评估的重要参考，但不能替代其自身的审查义务。数据传输决策的法律责任仍完全由数据输出方承担。

实践意义

随着EDPB发布上述意见，首次明确了认证这一跨境数据传输法律依据。然而，迄今为止，该认证机制仅在个别情况下得到应用。原因主要在于高昂的协调成本与费用投入，以及许多企业的数据保护体系尚不成熟。因此，该认证能否在实践中如标准合同条款和约束性企业规则（Binding Corporate Rules，BCR）获得广泛应用，仍有待观察。

企业应当评估该机制相较于现有方案是否具有明确的附加价值，并在此基础上审慎判断是否以及在何种程度上将认证机制纳入其跨境数据传输策略中。