隱私組織NOYB控六家中企違反GDPR，要求停止將歐洲用戶資料傳輸至中國

歐洲隱私倡議組織NOYB（European Center for Digital Rights）近期對包括TikTok、全球速賣通（AliExpress）、希音（SHEIN）、Temu、微信（WeChat）和小米（Xiaomi）在內的六家中國企業提出投訴，指控其違反GDPR，不當將歐洲用戶的個人資料傳輸至中國。NOYB指出，這些企業未能提供充分證據，證明其資料跨境傳輸的合法性，因此要求各國資料保護機構立即採取行動。

根據NOYB的調查，其中四家公司明確承認將用戶資料傳輸至中國，而另外兩家公司則僅模糊表示資料會傳輸至第三國家，但根據企業結構與資料政策內容，NOYB推測中國是資料的主要接收國。根據GDPR第44至第46條規定，資料跨境傳輸必須確保目的地國家的資料保護水平與歐盟等同。NOYB強調，中國現行的法律框架允許政府在無明確限制的情況下存取私人資料，無法提供歐盟所要求的保護水準。

這些企業多依賴標準合約條款（SCCs）作為合法傳輸基礎，但NOYB認為，SCCs在中國的法治環境下無法生效，尤其是在《網路安全法》、《數據安全法》等法律條文下，企業無法拒絕政府的資料存取要求。同時，用戶對資料存取及法律救濟的權利，在中國幾乎無法有效實現，這使得跨境資料傳輸更加缺乏透明度與保障。

以NOYB對小米旗下Mi Fitness應用程式的指控為例，該組織認為Mi Fitness違反了GDPR第五章的跨境資料傳輸規定，非法將歐洲用戶的個人資料傳輸至中國。根據小米的隱私政策，該應用程式將用戶資料傳輸至包括中國在內的多個國家，而這些傳輸仰賴SCCs作為合法依據。

小米在透明度報告中也承認，中國政府大量要求存取其資料，並且小米幾乎總是同意這些請求，進一步凸顯了資料處理的高風險。此外，Mi Fitness未能就用戶提出的GDPR第15條資料存取請求，提供有關資料跨境傳輸的資訊，進一步違反了透明度要求與用戶權利保護的原則。NOYB因此要求監管機構立即暫停相關資料傳輸，並展開全面調查，以確保符合GDPR的要求。

NOYB已在歐洲五個國家提出六項GDPR投訴，要求資料保護機構立即調查相關企業的資料處理活動，並暫停資料傳輸至中國，確保資料處理過程符合法規。此外，NOYB還呼籲對相關違規企業施以懲罰性罰款，金額可高達全球營收的4％。