# 深度解析爱尔兰高等法院对 TikTok 5.3 亿欧元跨境传输案系列｜第四篇：罚款金额为何尚未落定

**来源**: 那一片数据星辰
**日期**: 2026-07-13 15:11
**URL**: https://mp.weixin.qq.com/s/4wnwQMCJ7GwsOJb_wDej8w

---

CASE NOTE 违法认定和罚款基础已经维持， 5.3 亿欧元的计算结构仍待欧盟法确认 本系列前三篇已经分别梳理 DPC 在主案中获得支持的违法认定和 罚款基础 深度解析爱尔兰高院TikTok 5.3亿欧元跨境传输案上诉裁决系列｜上篇：先读懂DPC赢了什么（直播预约案例检索思路） ，详解 185 页实体判决对各项上诉理由的处理 深度解析爱尔兰高院对TikTok5.3亿跨境传输案｜中篇：1.6万字带你精读185页实体判决 ，并沿程序线讨论暂停传输令和整改令的暂缓执行 深度解析爱尔兰高等法院对 TikTok 5.3 亿欧元跨境传输案系列｜下篇：暂停传输令为什么可以先停下来 。第四篇继续处理尚未解决的罚款金额问题： 5.3 亿欧元 究竟依据什么方法计算。 本文讨论的是爱尔兰高等法院于 2026 年 6 月 30 日作出的《 TikTok Technology Limited and TikTok Information Technologies UK Limited v Data Protection Commission》后续判决，判决编号 [2026] IEHC 419，案号 Record No. 2025/248 MCA，下文简称“高院罚款判决”。 这份判决应与 2026 年 6 月 3 日的 [2026] IEHC 347 一并阅读。高院在主实体判决中处理了 TikTok 多数上诉理由，将第7、8、9项涉及罚款计算的问题留到本判决。本次审理以第46条、第13条违法认定和罚款基础已经维持为前提，焦点在于 5.3 亿欧元 具体金额的计算结构。另据 DPC 公开信息，其已就部分欧洲经济区用户数据曾实际存储于中国服务器的问题启动独立调查；该调查不属于本判决审查的 2025 年 DPC 决定范围。（主实体判决第559-577段； DPC 2025年7月10日公告 ） 本判决没有取消 5.3 亿欧元 罚款，也没有最终确认该金额。法院支持 DPC 采用 ByteDance 2024 年营业额，维持了 DPC 关于 ByteDance 对 TikTok 具有决定性影响的认定，并认可将受影响用户数量和高度过失纳入罚款评价。不过，GDPR 第83条中的若干罚款计算问题仍缺乏明确的欧盟法答案，法院拟通过初步裁定程序提请欧盟法院解释。 因此，本判决的影响超出这笔罚款是否调整。 TikTok 已经承认集团营业额对 实际罚款金额 可能具有相关性，现阶段的争议在于营业额以何种方式、在计算的哪个阶段以及以多大作用进入实际金额，监管机构又应如何说明这种影响。与此相连，高院还需要确定参考母公司营业额时是否应给予母公司直接通知和反驳机会，以及同一处理操作同时违反多个 GDPR 条款时能否累计罚款。 本文看点 01　罚款基础与罚款金额如何分层 02　集团营业额在何时进入实际计算 03　高院拟提交欧盟法院的四组问题 01 CASE STATUS 一、先校准：罚款基础已经成立，罚款金额尚未落定 高院罚款判决首先交代了它与主实体判决的关系。在 [2026] IEHC 347 中，法院已经认定 DPC 关于 TikTok 违反 GDPR 第46条和第13条第1款(f)项的判断不存在错误，也没有理由干预 DPC 关于调查期间违法的结论。法院还确认，DPC 可以认定这些违法具有过失性质，因此有权依据 GDPR 第58条第2款(i)项和 第83条 作出行政罚款决定。（高院罚款判决第1-3段） 理解本判决需要区分违法认定、罚款基础和罚款金额。第46条跨境传输违法和第13条透明性违法已经由主实体判决维持；DPC 关于 TikTok 存在过失并可据此作出行政罚款决定的结论也已获得支持。本判决处理的是第三层，即第46条违法 4.85 亿欧元、第13条违法 4500 万欧元，合计 5.3 亿欧元 的具体金额。 — 本案裁判进程中的三层问题：违法认定、罚款基础与罚款金额 02 SCOPE 二、法院如何划定本次审理的边界 法院对第7、8、9项上诉理由的处理遵循一项明确边界：主实体判决已经维持的第46条、第13条违法认定及罚款基础，不因罚款金额争议而重新开放。 TikTok 因而不能借助第83条第1款、第2款或 理由充分性 主张，再次争论第46条违法、数据主体所受影响或过失是否成立。法院在第158段也指出，TikTok 关于第46条罚款实质上属于第24条罚款的论点，已在主实体判决中处理。 在这条边界内，法院区分了可以依据案卷直接解决的事实与评价问题，以及需要统一解释的欧盟法问题。2024 年能否作为“前一财政年度”、ByteDance 对 TikTok 的 决定性影响推定 是否被推翻、第83条第2款多数加重和减轻因素是否合理，以及 TikTok 是否证明罚款造成生存性风险，均由高院直接作出判断。 母公司程序权利 、集团营业额进入实际罚款计算的阶段，以及同一处理操作下能否累计罚款，则涉及尚未明确的欧盟法边界，法院拟将其提交欧盟法院。 这次拟转介并非完全中性的提问。关于母公司归责和程序权利，高院表示倾向驳回 TikTok 的主张；关于实际罚款计算，高院认为第83条各款共同运作并从计算开始考虑 集团营业额 具有逻辑性；关于累计罚款，高院认为 EDPB 的解释具有说服力。法院仍选择寻求欧盟法院解释，是因为这些问题尚未达到“清楚无疑”的程度，又会影响多起待决上诉。TikTok 保留了欧盟法层面的争议空间，却没有在这些问题上取得高院的初步认同。（高院罚款判决第105、150-152、211、231-232段） 这些争点揭示了 GDPR 罚款制度中的三层分离。违法责任原则上落在控制者或处理者；罚款的经济效果却可以按照竞争法意义上的“企业”衡量集团整体经济能力；当母公司不承担违法责任，但其营业额显著影响子公司的罚款时，母公司是否至少应获得通知、陈述及反驳 决定性影响推定 的机会，目前仍缺乏明确规则。问题一、二背后的制度冲突，正在于能否扩张经济能力的计算范围，而不相应扩张实体责任，以及这种安排需要配置何种程序参与权。 罚款量级问题最终仍会回到 ByteDance 营业额 。法院拒绝要求 DPC 提供机械计算公式，却也注意到，如果完全不参考 ByteDance 营业额，就很难解释罚款为何达到 5 亿欧元级别。第7项上诉理由中的营业额问题、第8项中的理由充分性问题和第9项中的比例性问题因而彼此交叉。本判决尚待解决的关键，是集团营业额以何种方式、在什么阶段，以及在何种说明强度下影响 实际罚款金额 。 03 LEGAL FRAMEWORK 三、第83条包含哪些罚款规则 高院罚款判决的阅读难点，部分来自 GDPR 第83条 同时承担多项功能。第1款要求每一项行政罚款均须有效、符合比例原则并具有劝阻性，控制的是罚款的总体效果；第2款列出决定是否罚款及确定金额时应考虑的个案因素，包括违法性质、严重性、持续时间、故意或过失、数据主体受影响程度、控制者责任程度、既往违法、补救和合作等。 第3款涉及 同一或相关处理操作 存在多项违法时的总额限制，本案第46条与第13条违法能否 累计罚款 即围绕该款展开。第4至第6款规定不同违法类型的最高罚款上限，并将企业全球营业额作为上限计算标准；序言第150项进一步说明，罚款语境中的“企业”应按照欧盟竞争法第101、102条的意义理解。 — GDPR 第83条中四组罚款规则的关系 由此产生的解释争议是：GDPR 引入竞争法中的“企业”和营业额概念时，究竟只将其用于罚款计算，还是同时引入母公司归责、单一经济实体和防御权利规则。高院罚款判决的大部分复杂性都来自这条尚未厘清的边界。 04 GROUND 7 四、第7项上诉理由：ByteDance 营业额如何进入罚款计算 第7项上诉理由是本判决最核心的一组问题。 TikTok 的基本攻击方向是：DPC 不能在没有把违法归责给 ByteDance、没有让 ByteDance 直接参与防御的情况下，使用 ByteDance 的营业额计算罚款上限或 实际罚款金额 。 DPC 回应称，GDPR 罚款仍针对控制者或处理者作出，本案处罚对象是 TikTok 。第83条和序言第150项将“企业”概念引入罚款计算，使监管机构可以通过 ByteDance 营业额 衡量经济能力和劝阻效果；这一规则不当然意味着竞争法中的母公司归责体系被整体移入 GDPR。 1. 高院倾向支持 DPC，但保留欧盟法问题 高院先区分 GDPR 和欧盟竞争法。竞争法直接面向“企业”的反竞争行为，因此竞争法中的单一经济实体、决定性影响和母公司归责，都服务于一个问题：谁应为竞争法违法负责。 GDPR 的规范结构有所不同，其基本义务主体是控制者和处理者，DPC 在本案中认定违法和处以罚款的对象也是 TikTok 。 第83条 中的“企业”概念主要用于确定罚款上限和评价罚款效果，以衡量经济能力和劝阻程度。 法院在第98至103段强调，将子公司的违法归责于母公司与使用企业营业额设定罚款上限具有不同目的。前者解决责任归属，后者用于判断罚款是否过高、是否具有足够劝阻力以及企业是否具备支付能力。高院据此倾向认为， DPC 参考 ByteDance 营业额 ，并不必然意味着 ByteDance 被认定违法或须承担罚款。 但法院没有就此直接作最终结论。原因在于，现有欧盟法材料没有把边界讲透。Deutsche Wohnen 与 ILVA 支持 GDPR 中“企业”概念与竞争法概念相连；但这些案件没有直接回答，参考母公司营业额是否必须给予母公司防御权利。EDPB 在 WhatsApp 相关决定中使用 Akzo Nobel 等竞争法语言， DPC 自己在 2023 年 4 月 26 日给 TikTok 的信中也使用类似逻辑。这些材料让问题变得不够清楚。（高院罚款判决第105-108段） 综合现有材料，高院倾向驳回 TikTok 的这一组论点，但认为欧盟法边界尚未达到清楚无疑的程度，因而没有直接作出终局解释，仍拟将问题提交 欧盟法院 。 2. 母公司是否应获得直接通知和反驳机会 高院拟提交的前两个问题均围绕 母公司程序权利 展开。其中，第一个问题询问监管机构在对控制者罚款并参考其所属企业营业额时，是否必须先将控制者的行为或责任归于母公司或其他集团成员，并直接通知相关实体、给予防御权利。第二个问题进一步追问：如果无须直接通知母公司，监管机构依赖“决定性影响”推定认定控制者属于某个企业时，是否仍须让母公司有机会反驳该推定。 这些问题将决定，监管机构依赖母公司营业额或 决定性影响推定 时，是否须直接通知母公司，并给予其就集团归属和决定性影响作出陈述、反驳的机会。这不当然意味着母公司必须成为被调查人、违法认定对象或罚款义务人。高院还特别指出，如果 ByteDance 依法享有直接通知权，DPC 在 2023 年 4 月 26 日通过 TikTok 传递的信函不足以履行该义务。（高院罚款判决第107-108段） 3. 2024 年作为“前一财政年度”，TikTok 没有推翻 TikTok 还主张，DPC 不应使用 ByteDance 2024 年营业额。案涉 第46条 违法时间范围到 2023 年 5 月结束，而 ByteDance 2024 年营业额显著增加。如果 DPC 因调查拖延而使用更高年份营业额，TikTok 认为这会不公平地扩大罚款风险。 高院从文义、规范目的和个案公平三个角度驳回了这一主张。第83条第4至第6款使用“ 前一财政年度 ”，按其通常含义应指罚款计算或作出决定前一年度，条文没有将年份锚定在违法期间。营业额上限规则旨在使罚款与企业受制裁时的经济能力相适应，因而通常需要考察当时的企业规模和支付能力。法院承认，在前一财政年度无法代表企业正常经济能力等特殊情况下，监管机构可以考虑其他年份；但本案没有证据表明 2024 年属于异常经营年度， TikTok 也未证明调查周期源于 DPC 可归责的拖延。（高院罚款判决第115-124段） 法院还指出， TikTok 在调查持续期间提交了大量复杂材料，并在主实体判决中依靠这些材料成功挑战纠正命令。既然 TikTok 从这段期间形成的新材料中获得程序利益，就不能将同期营业额增长全部归因于 DPC 的不公平拖延。高院因此明确支持 DPC 选择 2024 年作为相关“ 前一财政年度 ”。这一结论解决了年份选择、法定上限和企业当时经济能力的参照问题，但不意味着实际罚款可以直接按 2024 年营业额的一定比例推出；营业额如何进入具体金额，仍属于第三个拟提交问题。 4. ByteDance 对 TikTok 的决定性影响推定成立 TikTok 还攻击 DPC 关于 ByteDance 对 TikTok 具有决定性影响的认定。TikTok 指出，TikTok Ireland、TikTok UK、TikTok Cayman、ByteDance 之间存在多层公司结构，DPC 应逐层调查各中间公司是否独立运营，不能直接跳到 ByteDance。 高院同样驳回了这一主张。法院认为，全资控股链条可以产生母公司通过中间公司对下层子公司施加决定性影响的可反驳推定。本案中， TikTok Ireland 由 TikTok UK 全资持有，TikTok UK 由 TikTok Cayman 全资持有，TikTok Cayman 又由 ByteDance 全资持有， DPC 可以据此推定 ByteDance 对 TikTok 具有决定性影响。（高院罚款判决第125-134段） 这里需要区分推定及其反驳所针对的事实。DPC 无须证明 ByteDance 亲自参与 TikTok 的对华远程访问传输，或曾对具体数据传输决策发出指令；其需要确定的是，在 第83条 罚款计算语境下，TikTok 是否属于受 ByteDance 决定性影响的经济单元。 TikTok 提交的材料主要说明 ByteDance 是业务多元的控股公司、TikTok 仅为其中一部分且欧洲经济区收入占比不高。这些事实无法证明 TikTok 在市场上独立于 ByteDance 作出商业行为，因而没有反驳其市场独立性不足的推定。 高院据此维持了 DPC 对决定性影响的事实认定。至于这一推定成立后 ByteDance 是否仍应获得独立通知和反驳机会，属于前述尚待 欧盟法院 解释的程序权利问题。 — 集团营业额、决定性影响推定与母公司程序权利 图中“可采用2024年集团营业额”是指高院确认 2024 年可作为相关前一财政年度，并维持决定性影响推定。集团营业额进入实际罚款金额的阶段，以及母公司的程序参与权，仍属于拟提交欧盟法院解释的问题。 5. ByteDance 营业额在什么阶段进入实际罚款计算 第7项上诉理由中影响罚款结果最大的争点，是 ByteDance 营业额 在什么阶段、以何种方式用于确定 实际罚款金额 。TikTok 已经承认集团营业额可能与实际金额相关，双方争论的是它应从计算开始参与，还是只能在第83条第2款形成基础金额后作为调整机制。 TikTok 在 ILVA 判决后调整了立场，承认集团营业额与实际罚款可能相关，同时主张采用两阶段方法：监管机构先根据第83条第2款列举的个案因素计算罚款，再以集团营业额检查并调整罚款，使其符合有效性、比例性和劝阻性要求。按照这一解释， ByteDance 营业额 属于后段调整机制，不能从计算起点决定罚款量级。（高院罚款判决第136-140段） DPC 主张整体评价 第83条 各款， 集团营业额 从罚款计算开始就是相关因素，无须机械地限于最后调整阶段。按照这一方法，个案违法因素、企业经济能力与罚款的劝阻效果可以在同一评价过程中共同影响金额。EDPB《GDPR 行政罚款计算指南04/2022》采用分步方法，并在确定起始金额时考虑违法严重性和企业营业额，因此整体上更接近 DPC 的路径。不过，该指南在 DPC 初步决定之后通过，双方同意其对本案不直接适用，只将其作为罚款方法的参考材料。（高院罚款判决第72-78、141、147-148段） 法院首先确认，DPC 确实将 ByteDance 营业额 用于确定 实际罚款金额 ，其作用超出了罚款上限检查。DPC 决定第769、779段及庭审交流显示，5 亿欧元级别的罚款参照了 ByteDance 营业额。法院在庭审中指出，脱离 ByteDance 营业额，很难说明罚款为何达到 5 亿欧元而非 500 万欧元；DPC 律师也确认其确实考虑了该营业额。（高院罚款判决第142-145段） 法院随后分析了两种方法各自的制度依据。 TikTok 的 两阶段方法 可以限制集团营业额对实际罚款的主导作用，维护罚款的个案化评价和合法性原则，ILVA 案总法律顾问意见也为此提供了有力但非决定性的支持。与此同时，第83条第2款列举的违法性质、严重性、持续时间、过失、损害和合作等因素，难以单独生成具体的金额起点。如果计算初期完全排除最高罚款幅度和企业经济能力，监管机构就需要在不了解法定幅度和企业规模的前提下先确定一个基础金额，这在实际操作上存在明显困难。高院据 ILVA 判决所显示的第83条各款共同运作方式，倾向认为从一开始考虑集团营业额是合乎逻辑的，但 ILVA 判决并未明确否定总法律顾问提出的两阶段方法。（高院罚款判决第149-152、231-232段） 由于正确解释尚未清楚到可以自行解决，高院拟提交第三个问题：监管机构确定属于某一企业的控制者的 罚款金额 时，是否必须先按第83条第2款因素确定金额，再参考企业营业额检查其有效性、比例性和劝阻性；或者，企业营业额从罚款计算开始即为相关因素。（高院罚款判决第152段、第243段问题三）EDPB 罚款指南能够提供监管方法上的参考，却不能代替 欧盟法院 对第83条的最终解释；本次拟转介本身说明，该指南、ILVA 案总法律顾问意见和 ILVA 判决之间的关系仍未完全澄清。 — TikTok 主张的两阶段方法与 DPC 采用的整体评价方法 这一问题最可能直接影响 5.3 亿欧元 罚款。如果欧盟法院支持两阶段方法，DPC 可能需要更清楚地说明，在 ByteDance 营业额 尚未参与量级调整之前，如何依据第83条第2款的个案因素得出 4.85 亿欧元和 4500 万欧元的基础金额。 05 GROUND 9 五、第9项上诉理由：第83条各项规则如何影响罚款 第9项上诉理由看似技术性更强，但它实际回答三个问题：DPC 如何评价 第83条 第2款列举因素；DPC 是否具体审查罚款的有效性、比例性和劝阻性；同一处理操作同时违反多个 GDPR 条款时，能否 累计罚款 。 1. 用户“失去 GDPR 保护保证”，可以构成加重因素 TikTok 首先挑战 DPC 对第83条第2款因素的处理。它认为，DPC 只是认定 TikTok 没有证明中国远程访问下存在 基本等同保护 ，并没有证明中国法实际上导致保护不足，也没有证明具体用户遭受实际损害。因此，DPC 不应把大量用户受影响、用户遭受损害和风险严重作为加重因素。 高院没有接受这一论点，而是将主实体判决中的 第46条 分析用于罚款评价。第46条要求控制者保证个人数据传输至第三国后仍获得 基本等同保护 ，违法成立不以发生具体访问滥用、泄露或个别权利侵害为必要条件。控制者未能证明这种保护时，数据主体便从保护得到保证的状态进入保护未获保证的状态；法院将这种保障状态的丧失本身视为数据主体受到影响。（高院罚款判决第178-182段） 本案所称损害因而侧重用户失去 GDPR 承诺的保护保证，属于制度性或权利保障层面的损害，与传统侵权法要求证明实际经济损失或具体事实损害的路径有所不同。基于同一逻辑，只要相关数据主体的数据被传输至中国且 基本等同保护 未获证明， DPC 就可以将其计入受影响数据主体数量，无须逐一证明每名用户的数据已被实际滥用。 这里的“损害”限于监管机构依据第83条第2款(a)项评价违法性质、严重性和 罚款金额 的语境，不能直接推导出每名数据主体均已满足第82条损害赔偿的构成要件。 欧盟法院 在 C-300/21 案中明确，第82条请求仍须分别证明 GDPR 违法、所受损害以及二者之间的因果关系，单纯违反 GDPR 不足以产生赔偿请求权。（ 欧盟法院 C-300/21 案官方新闻稿 ） 2. 过失不一定中性，高度过失可以加重 TikTok 还认为，既然 DPC 认定违法是过失而非故意，就不应把主观状态作为加重因素。高院同样驳回了这一主张：第83条第2款(b)项没有规定只有故意才可构成加重因素，也没有将过失一律视为中性或减轻因素。过失存在程度差异， 高度过失 可以加重罚款。（高院罚款判决第184段） 法院认定高度过失，依据的是评估对象和证据时间上的两处错位。 TikTok 应当评估实际被中国远程访问和处理的数据是否获得 基本等同保护 ，但其长期论证的是范围更广的“可被中国远程访问的数据”整体是否受到保护。两者所回答的问题不同：某类数据具备被访问的可能性，无法说明实际访问发生时，本地处理、临时存储、调取和再处理等环节的法律风险已经得到评估。 证据时间上的错位同样重要。第三份许教授意见正面回应了本地处理问题，同时也反映出早期数据传输评估和第二份许教授意见并未回答这一问题。法院据此认为， TikTok 未完成的是 第46条 评估中的关键部分，其问题超出了边缘技术细节的疏漏。（高院罚款判决第185段） 透明性义务的过失则更直接。2021 年隐私政策没有点名中国，也没有充分说明中国远程访问这一传输安排。法院认为，这类信息明显属于用户应知内容。 DPC 没有认定故意，法院不去推翻这一点，但认为至少属于严重过失。（高院罚款判决第186段） “过失”在本案中因此不属于中性标签。 TikTok 未履行跨境传输评估和用户告知中的基础义务，虽未被认定为故意违法，其过失程度仍足以成为加重因素。 3. 两个有限错误，不足以支持重新计算罚款 高院没有全盘接受 DPC 对 第83条 第2款的分析，而是指出两处有限错误。 TikTok 没有既往相关违法记录，应被视为减轻因素，DPC 将其评价为中性并不妥当。相对地，TikTok 履行暂停传输令和纠正命令所需的高额成本不应构成减轻因素，至多只能赋予很低权重，因为这些支出用于使其业务恢复 GDPR 合规。若企业因自身业务架构需要投入较高成本才能合规，并不因此比原本采用低风险架构的企业更应获得罚款减让。（高院罚款判决第190-193段） 两处错误对 TikTok 的影响方向相反：前一处对其不利，后一处反而可能使其受益。法院认为， DPC 的整体评价虽不完美，偏差尚未达到需要重新计算罚款的程度，现有结果甚至可能已经有利于 TikTok。（高院罚款判决第194-195段） 4. 比例性挑战被驳回：5.3 亿欧元并未显示生存性风险 TikTok 还主张，DPC 未对罚款是否符合 第83条 第1款所要求的有效性、比例性和劝阻性进行实质审查。在 TikTok 看来，DPC 只是列举了相关标准，没有结合具体金额说明这些标准如何得到满足。 高院认为 DPC 已经进行具体评估，并从法定幅度、经济能力和支付能力三个方面审查比例性。GDPR 第83条设置了较高的最高罚款，表明欧盟立法者允许对严重违法施加重大经济制裁；罚款处于法定上限之内时， TikTok 仍可提出比例性异议，但需要给出更具体的个案理由。法院同时注意到，罚款金额低于 ByteDance 2024 年营业额的 1%。这一比例不能自动证明罚款合理，却足以回应金额过高的主张，因为现有证据没有显示 5.3 亿欧元 超出集团承受能力或构成过度惩罚。若以无力支付为由挑战罚款，通常还需证明企业面临退出市场或生存性风险，TikTok 并未提交达到这一程度的证据。（高院罚款判决第200-204段） 法院还明确拒绝以整改成本替代罚款劝阻效果的主张。纠正命令要求企业恢复 GDPR 合规，相关支出不能取代对既往违法的制裁和对未来违法的劝阻。法院因此认为，没有理由基于 第83条 第1款干预 DPC 的罚款决定。（高院罚款判决第205段） 5. 第83条第3款对累计罚款的限制 第83条 第3款构成本判决另一项拟提交 欧盟法院 的问题。本案中的第46条违法和第13条透明性违法都源于同一组处理操作，即通过中国远程访问向中国传输欧洲经济区用户个人数据。双方均承认第83条第3款适用，分歧在于该款所称“最严重违法所规定的金额”应如何理解。（高院罚款判决第207-208段） TikTok 的解释是：这个金额指监管机构已经为最严重违法具体确定的 罚款金额 。照此理解，一旦 DPC 为第46条违法确定 4.85 亿欧元，就不能再因为同一处理操作下的第13条违法增加 4500 万欧元。第83条第3款因此是防止同一处理操作被重复罚款的实质规则。 DPC 则将“金额”解释为 GDPR 对最严重违法规定的最高法定上限。据此，只要 第46条 和第13条罚款相加后不超过该上限，DPC 就可以在总额中分别反映两项违法； 第83条 第3款限制的是累计后的总额，并不禁止累计本身。 高院认为，EDPB 的 WhatsApp 决定支持 DPC 的解释，因为将同一处理操作下的多个违法限定为一项罚款，可能使其他违法在金额上失去意义并削弱 GDPR 的有效执行。NVSC 案总法律顾问意见则使用了反累计规则的表述，对 TikTok 的部分理解形成支持。两类材料之间的张力表明，这一问题尚无清楚答案。（高院罚款判决第209-212段） 两类材料的冲突形成第四个 拟提交问题 ： 同一或相关处理操作 同时违反两个以上 GDPR 条款时，第83条第3款是禁止监管机构累计各项罚款，还是仅要求累计总额不超过最严重违法的最高法定上限。 如果欧盟法院未来采纳 TikTok 的解释，DPC 将第46条罚款与第13条罚款分别确定后相加的现有结构可能无法维持，但最终总额不必然机械减少 4500 万欧元。后续还要看监管机构能否在不分项累计的情况下，在单一总额中综合反映同一处理操作产生的多项违法，以及爱尔兰高院最终采取何种救济方式。若欧盟法院采纳 DPC 的解释，监管机构仍可在总额不超过最高上限的前提下 累计罚款 。第四个问题只处理能否累计，并不预先确定禁止累计后的具体金额。 06 GROUND 8 六、第8项上诉理由：DPC 无须列出公式，但须解释罚款量级 第8项上诉理由是罚款 理由充分性 。 TikTok 认为，DPC 没有说明基本罚款金额是多少，也没有解释各加重、减轻因素如何一步步调出最终金额。 1. 为什么理由不足没有直接导致罚款撤销 理解第8项上诉理由，首先要看本案的法定上诉结构。根据爱尔兰《2018年数据保护法》第142条，这是一项基于完整案卷的上诉，法院有权依据 DPC 面前的材料和获准补充的材料审查案件实体。 TikTok 必须先指出 DPC 的错误，但即使证明程序不公或理由不足，通常结果也不是自动撤销决定；法院还要审查该瑕疵是否影响结论，并可根据案卷维持、替代或调整监管命令。（高院罚款判决第79-82段） 这使第8项上诉理由承担了比传统“说理不足即撤销”更重的证明任务。 TikTok 除了指出 DPC 没有充分解释罚款，还须证明 DPC 的事实或实体结论不能成立。法院在第82段明确表示，理由不足只有在可能影响是否罚款或罚款金额时，才需要进一步考虑改处不同金额，甚至不处罚款。因此，法院后来一面批评 DPC 没有解释 5 亿欧元的量级，一面又认为现有理由瑕疵尚不足以干预罚款，两项判断在第142条 案卷上诉框架 下并不冲突。 2. 无须提供数学公式，但须说明金额量级 高院没有接受 TikTok 对“公式透明”的强要求。法院认为， DPC 无须先列出基础罚款，再逐项说明每个加重、减轻因素分别使金额增加或减少多少。GDPR 没有要求采用这种数学化方法；即使在竞争法语境下，说明义务通常也不要求披露完整计算公式。（高院罚款判决第216-230段） 不过，法院仍然要求 DPC 对罚款量级作出充分说明。面对 5 亿欧元级别的罚款，仅列举严重性、持续时间、过失和受影响数据主体数量，还无法说明金额为何落在当前区间。法院在第231段指出，DPC 决定没有解释罚款总额超过 5 亿欧元的量级依据；从案卷看，能够说明这一量级的因素是 ByteDance 营业额 和可适用的最高罚款上限。 3. 理由问题最终取决于第三个拟提交问题 第8项上诉理由因而与第7项中的实际罚款计算方法紧密相连。 欧盟法院 如确认营业额可从计算起点参与，DPC 现有方法的法律基础会明显增强，量级说明的不足也更可能被评价为不影响结果；如要求监管机构先按第83条第2款确定基础金额，DPC 就可能需要说明 4.85 亿欧元和 4500 万欧元的初始数额如何形成，以及 集团营业额 随后造成何种调整。（高院罚款判决第231-232段）这些是根据现有判决结构作出的后果推论，最终仍取决于欧盟法院的解释和高院后续裁判。 07 REFERENCE 七、四个拟提交问题的内容与影响 高院罚款判决最后集中列出四组拟提交问题：监管机构参考控制者所属企业的营业额时，是否须先将行为或责任归于母公司或其他集团实体，并直接通知相关实体、给予防御权利；即使无须直接通知母公司，依赖“决定性影响”推定时，是否仍须给予母公司反驳机会；确定 实际罚款金额 时，应先按第83条第2款计算再以企业营业额调整，还是从计算开始即可考虑企业营业额； 同一或相关处理操作 同时违反两个以上 GDPR 条款时，第83条第3款究竟禁止累计罚款，还是只限制累计后的最高总额。判决第243段说明，这些问题仍以当事方进一步意见为前提，法院随后邀请双方准备转介令草案，因此应称为“拟提交问题”，最终措辞以正式转介令为准。 四组问题对本案的作用并不相同： — 高院拟提交欧盟法院的四组问题 拟提交问题 主要功能 对本案的可能影响 问题一、二 母公司责任归属、通知和防御权利 主要影响使用 ByteDance 营业额的程序合法性，不当然使 ByteDance 成为处罚对象 问题三 集团营业额进入实际罚款计算的阶段和方法 对 5.3 亿欧元整体金额的潜在影响最大，也是理由充分性问题的金额中枢 问题四 同一处理操作产生多项违法时能否累计罚款 主要影响 4.85 亿欧元与 4500 万欧元分别确定后相加的结构，不能预先推出最终金额 2024 年度与决定性影响 已由高院直接裁判，不属于拟提交问题 高院已确认年份选择并维持决定性影响推定，母公司程序权利仍待解释 问题三是本案的金额中枢。若欧盟法院支持 两阶段方法 ，DPC 可能需要解释不参考 ByteDance 营业额 时，第83条第2款的个案因素如何产生初始金额，以及集团营业额随后产生多大调整；若支持从计算开始考虑营业额，DPC 现有方法和理由结构都会获得更强的欧盟法基础。与此同时，这四组问题还会影响多起 GDPR 高额罚款案件。DPC 告知高院，目前另有多项上诉涉及类似解释问题，争议罚款总额接近 35 亿欧元，且尚未计入本案。（高院罚款判决第70-71段） 08 OUTCOME 八、判决结论与未决事项 下表将高院已经作出的裁判、判决中的暂定倾向和拟交由 欧盟法院 解释的问题分开： 高院已经裁判 高院暂定倾向 拟由欧盟法院解释 主实体判决维持第46条、第13条违法认定和罚款基础 母公司不必因其营业额被参考而当然承担违法责任或罚款 参考集团营业额时，是否须直接通知母公司并给予防御权利 2024 年可以作为相关“前一财政年度” 第83条各款共同运作，从计算开始考虑集团营业额具有逻辑性 集团营业额进入实际罚款计算的阶段和方法 ByteDance 对 TikTok 的决定性影响推定成立，TikTok 未将其推翻 EDPB 关于第83条第3款允许累计、仅限制最高总额的解释更有说服力 同一或相关处理操作产生多项违法时能否累计罚款 DPC 对第83条第2款多数因素及第83条第1款的评价成立 高院总体倾向支持 DPC 的罚款方法 母公司是否应获反驳决定性影响推定的机会 DPC 无须披露数学计算公式，现有理由不足尚不构成干预罚款的充分理由 — 四组问题的最终措辞仍以正式转介令为准 09 IMPLICATIONS 九、对企业和监管机构的启示 对企业而言，GDPR 高额罚款风险评估不能只围绕单一欧洲实体的收入展开。控制者属于大型集团时，监管机构可能将 集团营业额 、集团经济能力和劝阻效果纳入分析。企业如要提出挑战，除强调母公司并非违法主体外，还需要准备能够说明控制关系、市场独立性、集团资金调动能力以及母公司程序参与安排的证据。 跨境传输评估还须覆盖真实数据流。高院对 高度过失 的分析显示，评估对象错位可能在罚款阶段被赋予更高权重。企业应当证明其评估涵盖实际被第三国访问和处理的数据、访问地点、访问主体、本地处理环节和第三国法律风险。罚款抗辩也不能仅依赖“没有发生具体泄露事件”：在第46条违法下，未能证明 基本等同保护 本身就可能被评价为数据主体失去 GDPR 保护保证，进而影响对违法严重性、损害及受影响人数的判断。 对监管机构而言，高院在多数具体评价上支持了 DPC 的罚款权力，同时对高额罚款的理由说明提出了更高要求。罚款从百万级进入数亿级时，决定书需要说明 集团营业额 如何影响金额、该金额为何足以实现有效性和劝阻性，以及其为何没有超出比例原则所允许的范围。 对法律发展而言，本案可能成为 GDPR 高额罚款方法论的重要节点。 欧盟法院 未来的回答，将影响 第83条 第1款、第2款、第3款、第4至第6款之间的关系，也会影响 WhatsApp、Meta 等其他高额罚款上诉中的共通问题。 10 NEXT STEP 十、下一步看什么 高院罚款判决邀请当事方准备初步裁定转介令草案，供法院批准，并原定于 2026 年 7 月 10 日进一步提及案件。（高院罚款判决第243-244段）截至本文 2026 年 7 月 13 日核对时，在爱尔兰法院和 欧盟法院 公开可查询材料中尚未检索到最终转介令或欧盟法院案号。这只能说明公开检索暂未发现相关文件，不能证明法院尚未作出命令；四组问题的最终措辞仍应以正式转介令为准。 更具制度意义的是 欧盟法院 如何处理 GDPR 与竞争法罚款机制之间的关系： 第83条 引入“企业”和营业额概念，是否也连带引入母公司归责、防御权利和实际罚款计算方法，将决定未来高额罚款程序的基本结构。DPC 及其他欧洲监管机构如何调整罚款决定的说理方式也值得关注。无论欧盟法院最终采用何种解释，监管机构都需要在证明违法之外，充分说明罚款量级的形成过程。 综合本判决与主实体判决， TikTok 已经输掉对违法认定、过失和多数罚款评价因素的挑战。高院还确认 DPC 可以选择 ByteDance 2024 年营业额作为相关 前一财政年度 ，并有权认定 ByteDance 对 TikTok 具有决定性影响。现阶段仍然开放的问题，集中在母公司营业额与程序权利之间的关系、集团营业额进入实际罚款计算的阶段，以及同一处理操作产生多项违法时的累计规则。 因此， 5.3 亿欧元 罚款没有被撤销，其计算结构也尚未获得最终的欧盟法确认。高院虽然决定寻求 欧盟法院 解释，却已在多个问题上表现出支持 DPC 的暂定倾向。本案由此超出对华数据传输执法本身，成为 GDPR 罚款制度如何连接控制者责任、集团经济能力与程序防御权利的重要案件。 ∞ SOURCES 官方裁判文书 . [《 TikTok Technology Limited and TikTok Information Technologies UK Limited v Data Protection Commission》，[2026] IEHC 419](https://www2.courts.ie/acc/alfresco/65d7e861-a6f7-4fa9-b03c-91c1eb07c96c/2026_IEHC_419.pdf/pdf)，爱尔兰高等法院，Mulcahy J.，2026 年 6 月 30 日。 . [《 TikTok Technology Limited and TikTok Information Technologies UK Limited v Data Protection Commission》，[2026] IEHC 347](https://ww2.courts.ie/viewer/pdf/d03be1e0-7395-4ba4-86f5-c331e3670995/2026_IEHC_347.pdf/pdf)，爱尔兰高等法院，Mulcahy J.，2026 年 6 月 3 日。 . DPC 关于中国服务器实际存储问题另案调查的公告 ，2025 年 7 月 10 日。 . 欧盟法院 C-300/21 案新闻稿：单纯违反 GDPR 不足以产生赔偿请求权 ，2023 年 5 月 4 日。 END 如果你觉得这篇分析有帮助，欢迎 点赞、在看、转发 ，也欢迎继续关注本案后续进展。

![图片](https://mmbiz.qpic.cn/mmbiz_png/kCFSKFsTL75MO7lAYeqNdnGJhZe0vRmZA1D0sxhZR0wzLBiaoVyA3YuUTUTV3o9o4EibI0Iswqu0v1OiaWfeic8ZXa8ORF7ogocyRIjSiawiaKr9I/640?from=appmsg)

![图片](https://mmbiz.qpic.cn/sz_mmbiz_png/kCFSKFsTL75GOSK97NSh5uCCttiaTBRBBOWsbMXwFFic4UAUuLPy23Wct0SwwhruRoK9sOnc1woZl8NouYTh6wkVy2EGdusRibhn4JvvfwmUHc/640?from=appmsg)

![图片](https://mmbiz.qpic.cn/mmbiz_png/kCFSKFsTL76mLzffN3yGJtsibxEdWt0iacxP1msOq5qPMN6aYlviaibNaeUFDOxm7TAWcTgWpnqk44dGqWSJxdydhRgsVahq8yzGO70REQZibibPY/640?from=appmsg)

![图片](https://mmbiz.qpic.cn/sz_mmbiz_png/kCFSKFsTL74pdMiab3CsY0FKLiabvdTSCvcOrhHdnQibKibDdILO3yHBFfhzMaw4iaOtPVyfvcy37DYfn3rBibVU9yPE6veuflMRjrECQGVDdCexk/640?from=appmsg)

![图片](https://mmbiz.qpic.cn/mmbiz_png/kCFSKFsTL76g0u7XEav7zNBatCQQ2cEtHQZl4vFgS9HVMVnfceGzwpAJqe2r9cTxqaaORQ7sPO5srE5ibYYHgCdtQPsCFOTxIdkmzeOvbnwg/640?from=appmsg)