EU-US 数据隐私框架（DPF）2026 状态与跨境卖家数据传输实操
Tina · 资深法务首席 · 2026-08-18 章节：06 数据隐私 · 关联：data_export_security_assessment.md（SCC 通用路径）、gdpr_dpo_appointment_standard.md
一、DPF 是什么（30 秒定位）
EU-US Data Privacy Framework（DPF）是 Schrems II（CJEU C-311/18，2020 年废止 Privacy Shield）之后，欧盟与美国达成的第三代入境传输机制：
- 2023-07-10：欧委会通过充分性认定（Implementing Decision (EU) 2023/1795），DPF 生效；
- 英国轨：UK Extension / UK-US Data Bridge（2023-10 生效，英国单独认定）；
- 瑞士轨：Swiss-US DPF（瑞士联邦委员会 2024-09 批准，2024-10-15 生效）。
二、2026 状态（监测口径）
- 截至 2026-08，DPF 充分性认定未被废止/暂停，年度复核机制持续运行（欧委会逐年复核并向欧洲议会/理事会报告；复核结论以公开报告为准，涉美执法与救济机制执行情况为复核重点）。
- 认证名录动态维护：dataprivacyframework.gov 名录为唯一权威来源；企业需每年重新认证，掉出名录即失去 DPF 传输依据（该企业数据需立即切换 SCC 或停止传输）。
- 欧盟侧持续关注点（我侧执法日历已挂监测字段）：美国 EO 14086 救济机制实际运作、数据访问请求监督机构（DPRC）案件处理、年度复核报告发布。
- 提醒：不要把"DPF 存在"等同于"所有美国公司都能收欧盟数据"——只有名录上的认证企业才可作传输依据；未认证企业必须走 SCC 等替代路径。
三、跨境卖家实务场景（谁在用 DPF）
| 场景 | 常见服务商 | 核验动作 |
|---|---|---|
| 独立站 SaaS/建站 | Shopify 等 | 查 dataprivacyframework.gov 名录是否有该公司（含美国实体） |
| 邮件营销 | Klaviyo / Mailchimp 等 | 同上，注意母公司/子公司实体分开查 |
| 广告分析 | Google Analytics / Meta 像素 | 查 Google LLC / Meta Platforms 认证状态与范围 |
| 平台店铺数据 | Amazon 等 | 平台作为控制者/处理者的传输安排，查其 DPF 认证 + 隐私政策援引条款 |
| 客服/CRM | Zendesk / HubSpot 等 | 同上 |
核验动作：①名录搜索公司名（含 Inc./LLC 全称）；②看认证类型（组织自认证）；③核对认证状态为 Active；④留存截图归档（年度复核时用）。
四、没有 DPF 怎么办：SCC 兜底路径
未认证服务商或欧盟/英国/瑞士分轨不齐时：
- 标准合同条款（SCC）：欧盟 2021/914 版 SCC（模块 1-4 按角色选）+ 英国 IDTA/Addendum；
- 传输影响评估（TIA）：Schrems II 要求，评估目的国法律（含美国 FISA 702 等情报访问法律）与补充措施；
- 补充措施：加密（传输中+静止，密钥自持）、假名化、合同承诺；
- 记录：Art.30 处理活动记录中标注传输机制与 TIA 结论。
注意：DPF 认证失效/掉名录不溯及既往，但之后的新传输必须切换路径；切换期内建议同步收紧（见下）。
五、卖家最小行动清单（季度）
- 核心美方服务商 DPF 认证名录核验（Active 状态截图归档）
- 未认证服务商：SCC + TIA 齐备，记录归档
- 英国/瑞士分轨：UK Extension / Swiss-US DPF 覆盖情况核验（英国客户数据走 UK-US Data Bridge 或 IDTA）
- 年度复核：名录变化（新增/移除）对服务商清单的影响
- 我侧执法日历监测：DPF 年度复核报告、DPRC 救济案件、任何暂停信号
六、红线提醒
- ❌ "美国公司 = DPF 可传"——错，必须查名录；
- ❌ "SCC 签了就安全"——错，无 TIA 的 SCC 是空壳（Schrems II 核心要求）；
- ❌ "掉名录不影响存量"——错，存量业务持续传输同样需要合法依据；
- ✅ 过度披露无害：宁可全部走"DPF（如适用）+SCC 双轨"，不赌单一依据。
来源与口径
- 充分性认定：Implementing Decision (EU) 2023/1795（EUR-Lex）；名录：dataprivacyframework.gov；年度复核与执法动态以欧委会/EDPB 公开文件为准（本文件不引二手转述）。
- 2026 后续复核结论发布时，本篇将追加具体结论与影响字段。