欧盟 GDPR 视角下，企业跨境数据传输与意大利本地法律合规实践
你可能每天都在把欧洲数据传回国内，只是自己没意识到。
TikTok 因为这件事被罚了 5.3 亿欧元。意大利隐私局（Garante）也因为数据存在中国，直接叫停了 DeepSeek。大公司赔得起，中小企业一张罚单就可能伤筋动骨。
这篇不讲法条，只讲三件事：什么算出境、怎么合法地传、意大利有哪些额外的坑。
1. 这些都算“数据出境”
只要欧洲人的个人信息离开了欧洲，就算。常见的有：
员工档案、工资表发给国内总部
用国内的 ERP、企业微信、钉钉、飞书
欧洲客户的订单、地址、电话同步给国内仓库或客服
最容易忽略的一点：数据存在欧洲，但国内同事能登录查看，也算出境。TikTok 就是在这里出的事。
2. 传回中国，怎么才合法？
欧盟没有把中国列为“数据安全国家”，所以不能直接传，得自己补上三样东西：
**签一份标准合同（SCC）。**欧盟官方有现成模板，意大利公司和国内接收方各签一方。
**写一份风险评估。**说明数据到了中国会面临什么风险，你打算怎么防。只签合同、不做评估，不算合规。
**加上技术保护。**比如数据存欧洲服务器、国内只看脱敏或汇总数据、加密、限制谁能看。
反过来也一样。把数据从中国传到意大利，要遵守中国的出境规则。一年出境不到 10 万人的普通信息，且不含敏感信息，程序最简单。超过这个量，就要做备案或认证；认证这条路径 2026 年 1 月刚刚开放（Morgan Lewis）。
顺带一句：用美国云服务目前有欧美协议兜底，但该协议正在欧盟法院被上诉，最好也备一份 SCC。
3. 意大利独有的三个坑
坑一：监控员工。这是中资企业最常踩的坑。邮箱全量备份、上网记录、车辆 GPS、客服录屏，这些在国内很平常。在意大利，却必须先和工会签协议，或者拿到劳动部门批准。
今年的罚单很密：一家汽车集团因为系统性备份员工邮件，被罚 46 万欧元（ecnews）。一家公司只是给 5 名员工的开车风格打分，就被罚了 12 万（DottrinaLavoro）。
坑二：电话和邮件营销。打推销电话前，要先对照官方的“拒绝推销名单”；发营销邮件和短信，原则上要对方先同意。Enel 就是在这上面被罚了 7900 万。
坑三：AI 工具。意大利 2025 年 10 月已经有了自己的 AI 法。公司用 AI 处理员工或客户信息要告知对方。如果把数据丢进服务器在国内的 AI 工具，就相当于又一次数据出境。
4. 五分钟自查
下面哪一条答不上来，就是风险点：
我知道哪些数据传到了国内（包括“国内能登录查看”的那些）
和国内总部、国内软件商都签了标准合同（SCC）
有一份书面的出境风险评估
意大利语隐私政策里写明了数据会传到中国
监控员工的工具已经和工会签了协议或拿到了批准
数据泄露后，72 小时内知道该找谁、怎么报
最高罚到多少？2000 万欧元，或者全球年营业额的 4%，取高的那个。但很多时候，监管一句“停止传输”，比罚款更要命。
想让我们帮你对照这份清单过一遍？欢迎联系。
本文仅供参考，不构成法律意见。信息截至 2026 年 11 月。
留言