現今企業跨境營運已日益普遍。例如，員工資料可能會與位於海外的母公司共享，而服務供應商亦可能從多個國際地點提供服務。跨越國界傳輸個人資料已成為企業日常營運的一部分。
英國資料保護法規要求組織確保個人資料在傳輸至英國境外時，仍能獲得充分的保護。如未採取適當的保障措施，個人資料的國際傳輸可能會違反合規義務，並使企業面臨重大的監管罰款及聲譽損害風險。
本文概述個人資料的國際傳輸，以及組織為維持合規所應採取的實務步驟。
什麼是受限制的個人資料國際傳輸？
當受 UK GDPR 保護的個人資料被傳送予或提供予位於英國境外的另一獨立法律實體存取時，即構成受限制的國際傳輸。可能構成受限制國際傳輸的常見例子包括：
- 與海外母公司或關係企業共享員工資料；
- 使用海外的薪資、人力資源或 IT 服務供應商；或
- 將個人資料儲存於託管在英國境外的雲端系統。
許多組織認為，只有當資料實際被傳送至另一個國家時才構成資料傳輸。然而，從英國境外遠端存取資料亦可能構成國際傳輸，因此亦應以相同方式進行評估。
充分性認定的新方法是什麼？
合法進行個人資料國際傳輸最簡單的方法，是將資料傳輸至已獲英國政府認定具備充分資料保護水平的國家。
過去，充分性評估著重於另一國家的法律架構是否在實質上與英國及歐洲的資料保護標準相當。雖然歐洲國家向歐洲以外國家傳輸資料時仍採取此種方式，但隨著《2025 年資料（使用及存取）法》（Data (Use and Access) Act 2025，簡稱「**DUAA**」）實施，英國近期已改變其評估方式，只要接收國的資料保護標準並未實質低於英國，即可作出充分性認定。此項變更旨在採取更具彈性且以結果為導向的評估方式，在維持個人資料保護的同時，促進國際資料流通。
適當的保障措施
若接收國並未取得英國的充分性認定，則在傳輸個人資料之前，下一步是採取適當的保障措施。適當的保障措施是將個人資料合規傳輸至英國境外的機制。
最常使用的保障措施包括：
- 國際資料傳輸協議（International Data Transfer Agreement，IDTA）
IDTA 是經批准用於從英國向未取得充分性認定國家傳輸資料的標準合約機制。IDTA 對雙方施加合約義務，旨在確保被傳輸的個人資料獲得適當保護。
- 歐盟標準合約條款（SCCs）的英國附錄（UK Addendum）
許多跨國組織在將個人資料從歐洲國家傳輸至位於歐洲以外國家的接收方時，會使用歐盟執行委員會（European Commission）的標準合約條款（Standard Contractual Clauses，SCCs）。英國附錄旨在使英國因 Brexit 脫離歐洲後，仍可繼續使用 SCCs 將個人資料傳輸至英國境外。若需要在單一合約架構下同時處理 UK GDPR 及 EU GDPR 的要求，此方式尤其有用。
- 具約束力的企業規則（Binding Corporate Rules，BCRs）
大型跨國企業集團可採用 BCRs，使位於不同國家的集團公司之間能夠以適當的資料保護水平進行內部個人資料傳輸。雖然取得批准的過程可能需要投入大量資源，但對於具有大規模國際業務的組織而言，BCRs 可提供有效的長期解決方案。
傳輸風險評估
組織亦必須完成傳輸風險評估（Transfer Risk Assessment，TRA），以確保個人資料在完成傳輸後，其所受到的保護標準不會實質低於英國。
直至近期，TRA 必須確認接收國的資料保護標準與英國在實質上相當；但隨著 DUAA 實施，此要求亦已改變，現在 TRA 須確認接收國的保護標準並未實質低於英國。此項變更應能使受限制的資料傳輸採取更具彈性的處理方式。若 TRA 認定接收國的保護標準實質低於英國，則不得進行該項傳輸。
企業的實務考量
鑑於充分性認定及 TRA 的相關變更，您應檢視現有的隱私治理文件及範本，以確認是否需要作出任何修改。
同時在英國及歐盟營運的企業亦應注意，UK GDPR 與 EU GDPR 對資料傳輸的要求雖然相似，但並不完全相同。適用於其中一個司法管轄區的資料傳輸方案，未必能自動符合另一司法管轄區的要求。
3CS 如何提供協助？
個人資料國際傳輸的合規要求可能相當複雜，尤其是對於在多個司法管轄區營運，或依賴多家第三方服務供應商的組織而言。我們可以協助您依據 UK GDPR 及 EU GDPR 進行及記錄 TRA，並協助梳理資料流向、擬定及審閱 IDTA、實施 SCCs，以及就跨境合規策略提供建議。
我們亦提供隱私合規稽核、員工培訓、治理制度審查，以及協助擬定隱私聲明、資料處理協議、資料處理活動紀錄及其他重要的資料保護文件。
無論您是在企業集團內共享員工資料、聘用新的海外服務供應商，或正在檢視您的全球合規架構，我們均可協助您找出實務上可行且符合比例原則的解決方案。
如需進一步建議或指引，歡迎與我們聯絡。
