21世纪经济报道记者 肖潇 北京报道
过去两个月，欧盟连续向互联网平台开出三张重磅罚单。
7月21日，某跨境电商平台收到欧盟5.5亿欧元罚单（约42.5亿元）；今年5月，另一跨境电商平台也曾因违反《数字服务法》被欧盟委员会处以2亿欧元罚款（约16亿元）；7月23日，谷歌则因违反《数字市场法》（DMA）中的“自我优待”规定，被处以总计8.9亿欧元罚款。
密集罚单背后，一个需要关注的风向变化是：欧盟数字监管已从过去数年的密集立法，逐步进入执法常态化和规则校准阶段，中国企业开始成为这一轮监管的靶心。
如果给NOYB的投诉对象拉一张清单，趋势会很清晰。这家欧洲知名的隐私维权非营利组织，过去的投诉对象几乎都是美国大型科技巨头。但从2025年开始，微信、小米、TikTok、Shein、阿里、Temu六家中国出海企业的数据跨境问题也被其关注，覆盖互联网、智能手机、智能汽车、AI、基因检测等产业。
商务部曾表示，中方敦促欧方停止利用法律条文的模糊性滥用自由裁量权，公平、公正对待中国企业。
但在另一方面，2025年年底开始，欧盟又在推出Omnibus（一揽子简化）计划，希望整合DSA、DMA、GDPR等多项数字法规，减少重复合规要求。
“两者并不矛盾。”金杜律师事务所合规业务部合伙人吴涵向《21世纪经济报道》表示。规则简化并不意味着监管要求降低，欧盟强调的是“问责制”，国内企业依然需要证明自己能实际控制风险，而不仅仅是“隐私协议”里的纸面承诺。
“欧盟监管的底层逻辑始终是，数字技术的发展不能以牺牲基本权利、市场公平和社会信任为代价。”吴涵说。但如果规则过于繁冗交叉，市场可能因为难判断合规边界而延迟创新和投资，欧盟正在思考的是这一问题。
吴涵用“堂吉诃德般的努力”来形容早期的数据合规阶段，彼时市场上对数据合规没有充分认知，全球相关立法尚处探索中。2016年4月，号称“史上最严个人数据保护法”GDPR通过，布鲁塞尔的规则一石激起巨浪，包括中国在内的全球70多个国家随后都出台了相关法律。
时至今日，市场对数据合规的重要性已经形成了共识。而不管是GDPR确立的数据主体权利，还是DSA强化的大型平台责任，乃至现在《人工智能法案》建立的风险分类框架，欧盟的做法都对国际数字治理产生了深远影响。
在吴涵看来，对于那些正在欧洲拓展业务的中国企业而言，不应只把欧盟合规视作进入一个新市场的成本，而应将其视作企业全球化治理能力的一部分。
又严又松的监管态度
《21世纪》：欧盟最近的数字监管风向似乎有些微妙，罚单的数额不断创新高，另一边又说要简化监管规则，这种做法矛盾吗？该怎么理解欧盟当下的监管风向？
吴涵：并不矛盾，我认为是尝试在维持既有保护目标的基础上，提高规则的可执行性、协调性与比例性。
比如，Omnibus简化计划，主要针对的是规则之间重复、冲突或实施成本过高的问题，希望更协调地衔接网络、数据和AI规则，来实现更平稳的落地。但与此同时，欧盟没有放弃数字平台、数据跨境等方面的监管。2025年，欧盟委员会对苹果、Meta等企业采取DMA执法行动，罚款总额高达7亿欧元。
可以这么概括，欧盟数字监管正在从密集立法，逐步进入执法和规则校准并行的阶段。规则可能有所简化，但企业证明自身已识别并控制实质风险的要求并不会降低。
《21世纪》：相比罚款，大部分企业更常面对的是欧盟调查。怎么理解这些调查的作用？国内公司通常会怎么处理欧盟委员会的调查？
吴涵：调查本身就是欧盟数字监管的重要工具，不能仅以最终是否罚款判断其影响。欧盟监管机构通过信息要求、初步评估、正式程序、承诺决定和最终处罚等不同工具，逐步了解企业的技术架构、内部治理和风险控制措施，并在个案中明确行业应当遵循的标准。
从企业角度来看，即使调查最终没有转化为罚款，也可能产生实质影响。比如，企业通常需要投入大量法律、技术和管理资源回应监管问询，提交内部文件和风险评估，并可能根据监管机构在问询中提出的问题，及时调整产品界面和隐私政策。调查还可能影响企业声誉和市场合作。
更重要的是，部分调查会以企业作出具有法律约束力的承诺而结束。例如，TikTok在欧盟委员会就TikTok Lite奖励机制启动调查程序后，承诺永久撤回相关机制，欧盟委员会据此结束了该案件的调查程序。这也表明，欧盟执法的目的并不只是罚款，还在于促使企业调整相关业务安排，以降低对用户权益和市场秩序造成的风险。
我个人理解，“没有被罚款就没有风险”是一种误判。企业更应关注监管机构在调查中提出了什么问题、哪些措施被认为不足，以及这些判断是否会被复制到其他企业和行业。
《21世纪》：我们在报道中经常看到，很多调查是由NOYB发起的。怎么理解类似NOYB的民间组织投诉，这似乎很有欧洲数字监管的特点？
吴涵：这确实是欧洲数字监管较有特点的一环。GDPR第80条规定，数据主体有权委托根据欧盟成员国法律正式成立的特定类型非营利机构、组织或协会代表其提出投诉。在部分成员国法律允许的情况下，符合条件的非营利组织还可以不依赖特定数据主体的委托提出投诉。所以NOYB正是利用这一制度，持续对大型科技企业和跨境数据处理活动发起测试和投诉。
从企业实务角度看，这意味着合规风险的触发点不再只是监管机构主动检查。用户行权、公益组织测试以及媒体调查都可能成为监管程序的起点。企业不能仅关注监管机构现在是否正在查，还需要确保自己的对外披露、用户权利响应和内部实际操作能够相互印证。
中国企业逐渐成为重点监管对象
《21世纪》：中国企业在欧盟面临的数字监管环境，在力度、行业、监管方式上，最近两年您感受到哪些明显变化？有没有您印象深刻的例子？
吴涵：在GDPR生效早期，中国企业直接被监管调查的案件屈指可数，但近几年形势出现巨大转折。在监管力度上，中国企业已经从欧盟数字监管的相对次要对象，逐渐成为重点对象之一。
这跟中国平台企业、智能终端和数字服务在欧洲用户规模快速增长有关，同时欧盟监管机构在部分调查中也了解到一些中国企业合规的惯用做法，因此开始持续性关注这些企业是否能够真正遵守欧洲规则，而且行业范围从传统互联网平台扩展到电商、手机、智能汽车、人工智能、医疗健康和基因检测等领域。这些重点领域之所以受到关注，另一部分原因在于，上述行业都高度依赖数据、算法和跨境技术协作。
而在监管方式上，欧盟越来越强调跨机构、跨法域和全链条监管。比如对电商平台的调查，可能同时涉及DSA项下的非法商品、推荐系统风险，以及GDPR项下的个人数据处理合规问题。
我印象较深的是大型社交平台数据跨境案件，爱尔兰数据保护委员会就欧洲用户数据向中国传输及相关透明度问题作出处罚。该案反映出，欧盟监管机构对于不同法域在数据保护制度、政府依法调取数据的规则及其透明度方面仍存在一定疑虑。对于中国企业而言，跨境合规不仅需要开展传输影响评估，也需要更加充分、准确地说明中国法律制度及实际执行机制，通过持续沟通减少不同法律体系之间的理解偏差。
《21世纪》：现在国内企业对欧盟数字监管的重视程度大概是怎样的？
吴涵：总体上已明显提升，但企业之间差异仍然较大。头部企业通常已经建立隐私、产品或平台治理团队，并在产品上线前开展评估。
但部分企业仍在逐步发展欧洲业务，基于成本和效率考虑，把合规简单理解为准备隐私政策和用户协议，或者在客户和应用商店提出要求后再补文件。欧盟强调的是问责制（accountability），监管机构不仅看企业“写了什么”，还会看系统和业务是否真正按照文件运行。因此，企业需要从重视单一法规转向建立覆盖产品全生命周期的治理体系，同时要形成自证合规的完整合规文件和流程。
《21世纪》：有没有一些在国内司空见惯的产品设计或商业逻辑，在欧洲很容易引起监管注意？
吴涵：比较典型的包括未区分未成年人用户、过度收集数据，以及未经充分说明即在集团内部共享或跨境访问数据。
这些设计在国内可能更多被理解为提升效率或用户体验，但在欧盟，监管机构会进一步关注少数群体用户权益是否得到保障，用户是否获得了真实、自由且充分知情的选择，以及相关数据处理是否符合目的限定、数据最小化和透明度要求。
《21世纪》：如果把过去十年中国企业对欧盟合规的认知变化分成几个阶段，您会如何划分？
吴涵：我倾向于分为三个阶段：
第一阶段是规则识别，企业主要关注GDPR是否适用、隐私政策和Cookie等基础要求。
第二阶段是风险应对，企业开始关注数据跨境安排、数据保护影响评估、DPO或欧盟代表设置，以及监管调查应对。
第三阶段是当前的综合治理，需要同时处理数据、算法、平台、竞争、消费者和产品安全问题。
当然，不同企业所处阶段并不一致，部分头部企业已进入第三阶段，也有刚开始出海的企业仍停留在第一阶段。
错误姿势和正确解法
《21世纪》：面对欧盟发起的调查，企业采用什么样的态度和做法，更容易获得监管机构认可？有没有您觉得比较遗憾的案例？
吴涵：首先，应当确保调查答复及时、准确，并保持口径的一致性，避免法律答复与系统实际情况不符。其次，可以把整改视为自我检查审视工作，如确存在实质合规风险，则应及时采取临时缓释措施，并提出可落地的整改计划。还有一些比较符合当地监管风格的行为也值得推荐，比如见面沟通交流的形式，对于合理的材料要求不申请延期，对于任何定性的答复提供证明材料等。
比较遗憾的情况通常不是企业没有任何制度，而是制度、对外陈述和真实数据流不一致。欧盟强调问责制，一旦答复失实，问题可能会从单项合规缺陷升级为诚信和治理能力问题。
《21世纪》：国内企业出海欧盟，还有哪些典型的水土不服表现吗？复盘背后的原因，是法律专业理解不到位，还是商业文化有冲突？
吴涵：两方面原因都存在，但更深层的问题通常是治理逻辑差异。部分中国企业更习惯快速试错、集中决策和追求规模效率；欧盟数字监管则更强调事前合规，注重程序、透明度、比例原则和个人可控性。企业可能认为某项设计能够提升体验或效率，但监管机构则可能认为没有为用户提供自由选择的权利。
另一个差异在于对内部治理证据的重视程度。部分企业习惯先完成业务，再补充制度和文件；欧盟问责制要求企业在处理前进行评估，并持续记录风险判断和治理措施。
《21世纪》：现在中大型企业几乎所有涉外业务，都会涉及数据和技术跨境问题，欧盟数字法体系庞大交错，最难的地方是什么？
吴涵：最难的不是法规数量本身，而是同一技术活动在不同规则下，可能具有不同角色和评价标准。例如，一项AI推荐功能既可能涉及GDPR下的画像和自动化决策，也可能涉及DSA下的推荐系统透明度和系统性风险，各项义务的触发条件、责任主体和实施时间并不完全一致。
与此同时，企业内部可能也会有不同的部门来负责不同的合规条线，内部根据不同规则制定的要求如果存在冲突，会在应对调查时陷入非常困难的局面，因此内部的合规沟通也尤为重要。
《21世纪》：关于欧盟数字监管，国内一直存在两种截然不同的评价：一种视角比较人文主义，认为欧盟在隐私保护、反资本垄断、保护个人权益上有重要制度创新；另一种视角更偏产业，认为欧盟是在用强监管弥补自身科技竞争力不足，可能抑制创新。您个人会怎么评价欧盟数字监管？
吴涵：这两种评价都有一定的道理。从积极意义看，欧盟较早将数据保护、平台权力、算法风险和人工智能纳入系统性制度安排，强调数字技术发展不能以削弱基本权利、市场公平和社会信任为代价。GDPR的数据主体权利、DSA的平台问责以及AI Act的风险分类等方面，对全球数字治理确实产生了重要影响。数字化、智能化立法领域框架的完整性、规则间的相互衔接性及前瞻性，确实值得我们学习和参考。
但不可否认，规则数量多、交叉复杂和实施成本较高，也可能对中小企业和创新业务形成压力。特别是在人工智能等技术快速发展的背景下，如果规则过于抽象，或者过于具体，配套标准滞后或不同监管机构理解不一致，企业可能因为难以判断合规边界而延迟创新和投资。欧盟近年来提出简化和竞争力议程，本身也说明其已经意识到这一问题。
因此，需要观察欧盟能否有效、成比例地执行现有规则，才能形成更客观的评价。监管的目标应当是控制真实风险，而不是增加形式性文件。同时，企业也不能以创新为由忽略对个人和社会可能产生的影响。欧盟数字监管未来能否成功，取决于其能否在权利保护和产业竞争力之间形成动态平衡。
《21世纪》：您接触这么多服务企业出海的案例，总结概括一下，对于企业出海欧盟有哪些建议？
吴涵：概括而言，欧盟合规已不只是进入市场的成本，而是企业全球化治理能力的一部分。因此，我有以下三点建议：
第一，合规前置，在商业模式、产品功能和技术架构确定时就识别适用规则。
第二，建立真实的数据和技术底账，准确掌握数据来源、流向、访问权限和实际用途。
第三，建立全球框架与本地适配的治理机制，同时把供应商管理、集团内部数据流动和监管调查应对纳入日常治理。总的来说，无论是出海欧盟还是其他地区，合规工作不能是“心远地自偏”的超然状态，在现有的国际竞争环境下，只有踏踏实实地构筑合规文化、合规基础，才能行稳致远。
