突发！欧盟数据传输到国内再受考验！芬兰数据保护机构正式调查赫尔辛基大学向华大基因公司传输人类研究样本数据

3月17日，芬兰数据保护监察机构（Tietosuojavaltuutettu）宣布正式启动对赫尔辛基大学向中国基因技术公司BGI集团传输个人数据的调查。这一事件引发了广泛关注，涉及敏感的人类研究样本数据跨境传输，尤其是向未获得欧盟数据保护“充分性认定”（Adequacy Decision）的国家——中国——进行的数据转移【1】【2】。
背景
事件的背景可以追溯到芬兰公共广播公司YLE于2025年3月11日发布的一篇报道，指出赫尔辛基大学向中国基因技术企业华大集团（BGI Group）购买了基因分析服务，并将涉及人类研究样本的个人数据传输给该公司1。BGI集团此前已被美国列入国家安全威胁名单，其与中国政府及军方的关系一直引发西方国家的关注56。尽管赫尔辛基大学表示，这些服务近年来主要涉及植物和实验动物研究，但涉及人类样本的数据传输仍然引起了广泛关注【4】。
主要争议
根据欧盟《通用数据保护条例》（GDPR），向第三国（即非欧盟/欧洲经济区且未获得欧盟委员会数据保护充分性决定的国家）转移个人数据时，必须采取特殊的保障措施，以确保数据接收方提供与欧盟同等水平的数据保护。目前，欧盟尚未对中国的数据保护水平做出“充分性决定”（Adequacy Decision），因此向中国转移个人数据必须采取额外的保障措施，例如欧洲委员会批准的标准合同条款（Standard Contractual Clauses, SCCs）【3】。
此次调查的核心问题在于赫尔辛基大学是否已采取必要措施，确保所转移的人类研究样本相关个人数据不会被用于非预期用途，尤其是防止中国政府可能获取这些敏感信息【2】。芬兰数据保护监察机构强调，如果未能落实充分的数据保护措施，这些数据可能存在被滥用或被政府获取的风险【2】。
事实上，这并非个案，而是近年来欧盟各国监管机构对向中国的数据转移日益关注的一部分。例如，爱尔兰监管部门近期也针对TikTok的数据处理展开类似调查1。此外，由著名隐私维权人士Max Schrems创立的数据保护组织nyob近期也针对多家将数据转移至中国企业的行为提出投诉，进一步加剧了监管机构对中国相关企业的数据流动审查力度，并可能促使监管机构对相关企业采取行动，包括暂停或永久禁止违规的数据传输行为【3】。
重要影响
从法律实务角度看，此次调查可能产生以下重要进展：
首先，芬兰监管机构将详细审查赫尔辛基大学在数据转移过程中所使用的合同条款及其他保障措施是否符合GDPR要求。一旦发现违规情况，监管机构可能会要求大学立即停止相关数据传输行为，并可能处以罚款或采取其他行政处罚措施【3】。
其次，此次调查结果也可能推动芬兰乃至整个欧盟范围内高校和科研机构重新审视与第三国合作时的数据合规策略。特别是在涉及敏感领域，如生物技术、医疗健康等领域，各高校和研究机构将更加谨慎地评估合作伙伴背景及其所在地的数据安全环境【4】。
第三，从更广泛的视角来看，此次调查也可能促使欧洲委员会加快对中国数据保护环境的整体评估。目前，中国尚未获得欧盟委员会的数据保护“充分性决定”（Adequacy Decision），未来一段时间内相关评估工作的进展值得密切关注【1】【3】。
下一步预估
预计未来几个月内，芬兰数据保护监察机构将深入推进此次调查，并可能在2025年年中发布初步调查结论。如果发现违规行为，赫尔辛基大学可能面临整改要求甚至罚款。此外，此次事件或将成为其他欧洲高校和研究机构的重要参考案例，加速其内部合规体系建设，并推动欧盟层面对中欧之间跨境数据流动规则进行更严格、更系统化的梳理和调整【2】【3】【4】。
对于企业和研究机构而言，目前应当密切关注此次调查进展，同时积极开展内部风险评估（Transfer Impact Assessments, TIAs），确保自身在国际合作中的合规性。同时，也建议及时寻求专业律所协助，以确保跨境数据传输安排符合GDPR相关规定，并避免潜在法律风险【2】【3】。
总之，此次赫尔辛基大学与华大集团之间的数据转移调查事件，再次凸显了跨境个人信息传输合规的重要性，也为其他从事国际合作的学术及商业主体敲响了警钟。我们将持续关注此案后续进展，并及时为读者提供最新动态和深入分析。
注释：
1 芬兰数据保护监察机构官方公告：https://tietosuoja.fi/-/tietosuojavaltuutettu-alkaa-selvittaa-helsingin-yliopiston-tiedonsiirtoa-kiinalaiselle-geeniteknologiayritykselle
2 Covington律所分析：https://www.insideprivacy.com/cross-border-transfers/finnish-supervisory-authority-investigates-health-data-transfers-to-china/
3 Taylor Wessing律所分析：https://www.taylorwessing.com/en/insights-and-events/insights/2025/01/data-transfers-to-china-under-the-scrutiny-of-data-protection-authorities
4 赫尔辛基大学官方声明：https://www.helsinki.fi/en/news/university/university-helsinki-working-promote-research-security)