摘要

  • EDPB认为，法国关于Michelin集团控制者约束性企业规则的拟议决定不存在需要按GDPR第47条解决的问题，CNIL可按提交的草案作出决定。
  • 该意见不是CNIL的最终批准，也没有批准任何一笔具体传输。数据出口方仍须根据每笔传输的实际情形评估保护是否有效。

分析

第24/2026号意见推进的是监管程序，而不是给跨境数据流动发放一张通行证。法国监管机构CNIL作为牵头机关，将拟议决定提交欧洲数据保护委员会（EDPB），进入GDPR一致性机制。委员会审查了Michelin集团作为控制者的约束性企业规则（BCR-C）是否包含第47条和相关EDPB指引所要求的要素。它没有提出需要解决的疑虑，并认为牵头机关可以按原样通过拟议决定。

意见与国家监管机构的决定不是一回事。EDPB不代替CNIL作出法国的批准决定。CNIL须在收到意见后两周内向委员会说明回应，并将最终决定提交登记。本文核对的公开记录包括10月13日发布的意见；仅凭这份记录，不能断言之后是否已有最终决定。

草案覆盖的情形包括：欧洲经济区内以控制者身份行事的Michelin集团实体，向欧洲经济区外以控制者或处理者身份行事的集团实体传输数据，以及此后的集团内再传输。意见列出的潜在数据主体包括现任和前任员工、承包人员、客户、最终用户、利益相关方和供应商。公开意见没有披露目的地国家、传输规模、数据集或具体运营路线，也未附上完整的BCR草案文本。

这一区分正是治理重点。约束性企业规则为集团内部的数据处理和传输设定可执行的保障，能够支持重复发生的集团内传输；但它们不会替代逐笔评估。EDPB重申，数据出口方在必要时可获得进口方协助，但仍须判断目的地国家的法律是否会妨碍承诺的保护在实践中落实。如果会，出口方就要考虑补充措施。集团规则获批本身不能让一笔无法达到实质等同保护的传输变得有效。

因此，责任按层次划分，却不能互相抵销：监管机关审查共同框架，出口方对每条传输路径的条件负责。意见说明了这条边界，没有说明Michelin的任何一笔具体传输是否越过边界。

来源