歐盟委員會對個人資料的保護程度認定決定有一個“白名單國家”,目前白名單國家/地區僅有15個,中國不在列。在這種情況下,GDPR規定如果資料傳輸方提供了適當的保障措施,並且賦予了資料主體可執行的資料主體權利以及有效的法律補救措施,那麼仍可把資料傳輸給位於白名單國家或地區之外的接收方。此路徑下跨國傳輸方式主要有:簽訂歐盟標準合約條款(Standard Contractual Clauses, 簡稱SCCs)、跨國集團實體簽訂有約束力的公司規則(Binding Corporate Rules,簡稱BCRs)、核准的行為準則(code of conduct)、核准的認證機制(certification mechanisms)等。實務中,中國車企較常用的是標準合約條款SCCs。
在簽署完SCCs之後,還需要進行「資料傳輸影響評估」(Data Transfer Impact Assessment,簡稱TIA)。歐盟委員會明確規定,在歐盟以外轉移個人資料的組織必須進行轉移影響評估,以逐案核實個人資料發送到的第三國的法律是否對SCC的效率有任何影響。因為僅僅簽署了SCCs,並不意味著你已經確保了與GDPR所保障的保護、可執行的權利和法律補救措施「基本上等同」。只有出口組織進行了逐案記錄的轉移影響評估,以確保個人資料(和資料主體)仍然受到GDPR要求標準的保護,才可以依賴使用GDPR第46條工具(包括SCCs)進行的轉移。 TIA主要可分為三大部分,依序為: