中国企业出海：网数合规案例分析报告

报告摘要

中国企业出海：网数合规案例分析报告总结

核心内容概览

本报告由汇业律师事务所发布，聚焦近年来中国企业出海过程中在数据合规与人工智能领域面临的法律风险与处罚案例，主要涉及英国、欧盟、美国、澳大利亚、加拿大和韩国等国家和地区。报告指出，中国出海企业在数据处理、跨境传输、未成年人保护、隐私政策透明度等方面存在诸多问题，导致被监管机构处罚、禁用或调查。

主要观点与关键信息

一、数据合规风险主要关注点

告知义务不履行
- 隐私政策未以用户易懂的方式说明数据收集、使用和共享情况。
- 隐私政策语言版本不全，如仅提供英文版本而未提供本地语言版本。
数据处理超出必要范围
- 未明确数据处理的合法性基础，未说明数据是否用于自动化决策。
- 未限制数据共享范围，涉及过多关联公司和母公司，增加数据泄露风险。
Cookie与数据跟踪问题
- 未提供便捷的拒绝cookie机制，强制用户接受cookie。
- 使用URL等跟踪方式但未取得用户同意，超出服务所必需的范围。
数据控制者缺位或不真实
- 隐私政策中所列数据控制者仅为邮箱地址，缺乏实际运营实体。
- 未在欧盟境内设立代表或数据控制者，导致监管机构无法有效监督。
数据跨境传输风险
- 数据传输至中国未获得充分性认定，存在数据被中国政府访问的风险。
- 中国未实现与GDPR等同的数据保护水平，且缺乏透明的数据访问机制。
- 数据跨境传输需取得中国网信办许可，但其授权具有自由裁量权。
数据主体权利响应机制缺位
- 用户请求删除数据或停用账户时，企业未及时响应或提供便捷机制。
- 数据主体难以通过GDPR行使其权利，缺乏明确的法律救济途径。
未成年人数据保护不足
- 未设置年龄验证机制，未禁止13岁以下儿童注册账户。
- 未履行告知义务，未获得父母或监护人同意处理未成年人数据。
- 未对未成年人数据进行特殊保护，如内容过滤、广告控制等。
数据安全措施不到位
- 未采取加密、验证等数据安全措施，存在数据泄露风险。
- 使用公共IP地址可能导致敏感数据暴露，存在恶意更新风险。
- 未定期检查内部数据管理流程，缺乏对数据安全的持续监督。
人工智能透明度缺失
- 未向用户说明AI处理个人数据的具体用途，如模型训练或自动决策。
- 缺乏对AI数据处理的透明度，未履行GDPR规定的说明义务。

二、典型案例分析

英国

TikTok
- 2023年4月4日，被英国信息专员办公室（ICO）罚款1270万英镑，因未有效阻止13岁以下儿童注册、处理儿童数据未获父母同意、未提供清晰的数据使用说明等。
- 2024年7月24日，因未按要求提供数据使用情况，被Ofcom罚款187.5万英镑。

欧盟

TikTok
- 2022年12月，法国CNIL罚款500万欧元，因未提供清晰的拒绝cookie机制。
- 2024年3月14日，意大利AGCM罚款1000万欧元，因推荐系统传播有害内容。
- 2023年9月，爱尔兰DPC罚款3.45亿欧元，因未设置年龄验证机制、默认公开儿童账户等。
- 2023年2月23日，欧盟委员会禁止在官方设备使用TikTok，以防范网络安全风险。
- 2025年1月16日，NOYB投诉小米、Temu、速卖通，认为其未履行数据跨境传输合规义务，未提供透明的数据处理机制。
DeepSeek
- 2025年1月30日，被意大利监管部门禁用，因未说明数据处理活动、未设立欧盟代表等。
- 2025年2月3日，被法国CNPD、希腊HDPA、德国联邦数据保护局等机构调查，涉及数据跨境传输、数据控制者真实性、数据安全等问题。

美国

TikTok
- 2023年2月，美国政府禁用TikTok在政府设备上使用。
- 2024年8月2日，被FTC起诉，违反COPPA，被要求和解并支付罚款。
- 2025年1月19日，因封禁法案被裁定不违宪，TikTok停止在美国服务，但后重新上线。
Temu
- 2024年6月25日，被阿肯色州总检察长起诉，因未告知用户数据收集范围、未提供年龄验证机制等。
- 2024年8月15日，美国21个州联合发起调查，要求说明数据收集、存储、传输情况及是否出售数据。
米哈游《原神》
- 2025年1月17日，被FTC罚款2000万美元，因未履行未成年人数据保护义务。
TP-Link
- 2024年5月，被CISA指出存在安全漏洞，可能威胁国家安全，引发多部门联合调查。
Claroty生产的中国产监护仪
- 2025年1月30日，被CISA和FDA警告，因存在硬编码IP地址、固件升级机制不安全等问题。

澳大利亚

DeepSeek
- 2025年2月5日，被政府禁用，禁止在政府设备和系统中使用。

加拿大

TikTok
- 2023年2月，被隐私专员办公室（OPC）联合多个省级机构调查，主要关注用户数据收集与隐私保护。
- 2024年，Temu被魁北克省律师起诉，指控其未告知用户数据处理行为，且超出服务所必需范围。

韩国

速卖通
- 2024年7月25日，因将用户数据提供给国外卖家，被PIPC罚款19亿7,800万韩元。
TikTok & DeepSeek
- 韩国通信委员会和PIPC分别对TikTok和DeepSeek展开调查，关注用户数据使用与隐私保护问题。

三、出海企业面临的主要挑战

数据跨境传输合规
- 中国未被认定为具有充分性数据保护的国家，且缺乏透明的数据访问机制。
- 企业需遵守GDPR等国际数据保护法规，但中国法律体系与之存在差距，导致合规难度增加。
隐私政策不合规
- 未提供清晰、完整、透明的数据处理说明，缺乏DPO（数据保护官）信息，影响用户权利行使。
未成年人数据保护不足
- 未设置年龄验证机制，未告知父母数据处理情况，未提供便捷删除机制。
数据控制者与代表缺位
- 未在欧盟设立代表或数据控制者，影响监管机构对数据处理活动的监督与执行。
数据安全与透明度不足
- 缺乏加密、验证等数据安全措施，未提供数据存储和传输的保障机制，增加数据泄露风险。
人工智能合规风险
- 未说明AI使用情况，未履行透明度义务，缺乏对用户数据用于模型训练或自动决策的说明。