英欧数据流动实操：UK GDPR 与 EU GDPR 双轨合规
章节：06 数据隐私 · 英国脱欧后的数据跨境
更新：2026-08-01 · Tina 法务合规手册
一、双轨框架一句话
- EU GDPR：适用于向欧盟消费者销售/处理的个人数据；
- UK GDPR + DPA 2018：适用于向英国消费者销售/处理的个人数据；
- 双轨并存：一个店铺同时服务英欧消费者＝两套义务同时触发，不能只做一套。
二、英欧之间数据流动（关键差异）
| 场景 |
规则 |
实操要点 |
| 欧盟→英国传输 |
英国有"充分性认定"（2021-06 起，2025-06 已更新维持） |
目前可直接传，但充分性认定每 4 年复审，需持续监控 |
| 英国→欧盟传输 |
欧盟视英国为"第三国"，但英国认可欧盟充分性 |
一般可传，复杂链路需个案评估 |
| 中国→英国 |
英国"充分性认定"不含中国 |
需 SCC 或 IDTA 等传输工具 |
| 中国→欧盟 |
中国不在欧盟充分性名单 |
需 SCC + TIA（传输影响评估） |
三、2026 实操清单（中国卖家向英/欧发货场景）
- 收集环节：订单信息（姓名/地址/电话/邮箱）→ 明确告知处理目的（履约必需），隐私政策需同时覆盖 EU 与 UK 版本。
- 存储环节：
- 数据存中国服务器 → 向英国传输需 IDTA（英国国际数据传输协议） 或 SCC + 英国 TIA；
- 数据存欧盟服务器 → 向英国传输目前靠充分性认定；
- 数据存美国服务器（AWS/Shopify）→ 美英、美欧链路分别评估（EU-US DPF 只覆盖欧盟，英国有独立 DPF 扩展）。
- 营销环节：邮件营销英国适用 PECR（类似 GDPR 的 ePrivacy），软性 opt-in 规则与欧盟 cookie 规则略有差异；英国 ICO 2025 起加大处罚力度。
- 数据主体权利：英国消费者可依 UK GDPR 提删除/更正/携带请求，响应时限仍为 1 个月，流程需与欧盟线共用一套工单系统。
- 事故上报：数据泄露 72 小时内上报——英欧双线分别上报（ICO + 相关成员国 DPA），上报口径需提前准备双语模板。
四、传输工具速查表
| 传输路径 |
首选工具 |
备选 |
备注 |
| 中国→欧盟 |
EU SCCs (2021/914) |
BCR / 充分性（无） |
需做 TIA |
| 中国→英国 |
UK IDTA |
UK SCCs / 充分性（无） |
需做英国 TIA |
| 欧盟→英国 |
充分性认定 |
UK IDTA（保险起见） |
2026 复审窗口期建议备 SCC |
| 英国→欧盟 |
英国认可的充分性 |
— |
低风险 |
| 美国→欧盟 |
EU-US DPF |
EU SCCs |
DPF 需企业自我认证 |
| 美国→英国 |
UK Extension to DPF |
UK IDTA |
需加入英国扩展 |
五、卖家落地动作
- 隐私政策双版本：EU 版（GDPR）+ UK 版（UK GDPR），链接按用户 IP 自动分流。
- DPA 矩阵：梳理所有服务商（ERP/物流/客服 SaaS/支付），确认其数据存储地，逐一补齐传输工具。
- TIA 模板化：中国→欧盟/英国传输做一次标准化 TIA，后续新供应商套用。
- 监控充分性复审：英国充分性认定 2026 年复审结果公布前，欧盟→英国链路保留 SCC 作为"降落伞"。
六、关联文件
gdpr_eu_seller.md（06章）— EU GDPR 卖家义务总纲data_export_security_assessment.md（06章）— 出境安全评估buyer_contact_boundary.md（06章）— 买家联系边界