奥地利DSB：Schrems诉讼与跨境数据传输
奥地利数据保护局（Datenschutzbehörde，简称DSB）是NOYB的主场监管机构。NOYB是「非你所有」（None of Your Business）的缩写，由Max Schrems创立，自2018年以来已提交逾1,000份GDPR投诉。DSB在2022年至2024年间处理了其中422起案件。
这一记录意义重大——DSB站在两场已深刻重塑欧盟数据传输法律体系的历史性诉讼中心。
NOYB与DSB：一脉相承的挑战模式
Schrems I（2015年）： Schrems就Facebook欧美数据流动提出投诉，欧盟法院随即废除「安全港」协议。当时有逾4,000家企业依赖这一框架运营。
Schrems II（2020年）： 第二轮挑战终结了「隐私盾」协议，彼时有超过5,000家企业依赖该框架。协议崩溃迫使各方重启谈判，最终促成「欧美数据隐私框架」（DPF）于2023年生效。
预期中的Schrems III（2025–2026年）： NOYB已就DPF充分性决定提出质疑，其核心论点为：FISA第702条款仍与GDPR存在冲突。欧盟法院转介裁决预计即将启动。
DSB案件中有78%涉及跨境数据传输或第三方工具，这一执法重心使奥地利监管机构在欧盟中独树一帜。
DSB关于Google Analytics的裁定
2022年1月，DSB就Google Analytics案作出裁定，确立了跨境传输案件的处理模板，形成三项核心认定：
- IP地址属于个人数据。 即使经过截断处理的IP地址，在Google系统内结合会话记录仍可实现个人再识别。
- 美国供应商的数据访问构成「传输」。 当美国工程师能够访问欧盟用户数据时，无论出于技术支持、系统维护还是响应法律命令，该访问行为均构成GDPR意义上的数据传输。
- 没有传输影响评估（TIA）的SCC不足以合规。 标准合同条款须辅以传输影响评估，且评估必须证明美国情报法律不会架空SCC所提供的保护。
DSB认定奥地利网站运营商——而非Google——承担控制者责任。这一裁定适用于所有嵌入第三方脚本的欧盟企业。控制者义务的详细内容请参阅我们的GDPR合规指南。
补充技术措施
Schrems II裁定后，欧洲数据保护委员会（EDPB）发布了关于补充技术措施的指引，适用于SCC单独不足以保障合规的情形，DSB对此进行执法。
以下三类措施可通过DSB审查：
采用欧盟持有密钥的加密方案。 数据在离开欧盟前完成加密，解密密钥由欧盟一方掌控。即使美国当局强制要求供应商交出数据，获得的也只是无法解读的密文。
传输前假名化处理。 仅跨境传输假名化令牌，重新识别所需的密钥留存在欧盟境内，被传输的文件本身不含任何直接个人数据。
本地化处理。 所有数据处理在欧盟服务器上完成，仅传输聚合的、真正匿名化的统计结果，个人数据不跨境流动。
DSB已明确确认这一立场：使用美国SaaS产品处理欧盟个人数据的企业，必须采用上述至少一种措施，或证明所传输的内容已实现真正的匿名化。
Schrems III风险
单纯依赖DPF的企业面临明确风险：一旦NOYB的欧盟法院挑战成功，这些企业必须迅速找到新的传输合规工具。这正是2015年和2020年曾经历的局面。
已采用补充技术措施的企业则可免受冲击——若数据已真正实现匿名化，则不存在GDPR意义上的数据传输，DPF的存废对其毫无影响。
对于在奥地利运营的企业：Google Analytics、Mixpanel、Amplitude等分析工具均会产生DSB合规风险，拥有美国母公司的CRM系统（如Salesforce、HubSpot）同样如此，美国员工持有管理员访问权限的云平台也面临相同风险。
应对方案在各类场景中殊途同归：确保个人数据在到达供应商之前已实现真正的匿名化，或采用仅由欧盟控制者持有密钥的加密方案。我们的安全合规概述阐述了零知识架构如何从根本上消除数据传输合规难题。