我们可以使用 Firebase 身份验证并遵守 GDPR 吗？

Question

Firebase 身份验证仅在美国处理数据，因此不符合 GDPR。然而，他们在同一网站上表示：

Firebase 已转而依赖标准合同条款进行相关数据传输，根据裁决，该条款可以继续作为 GDPR 下传输数据的有效法律机制

他们还说：

欧盟委员会于 2021 年 6 月 4 日批准了新版本的标准合同条款

Google Cloud Platform 在其网站上有一些欧盟标准合同条款，并且他们已宣布已纳入新欧盟 SCC 的各种模块。因此，我们还能使用 Firebase 身份验证并遵守 GDPR 吗？

Answer 1

在更新数据处理条款以反映新的欧盟标准合同条款文档中，提到了新的白皮书

该文件概述了欧洲数据传输法律规则，并解释了我们实施新的欧盟 SCC 以及单独的英国 SCC 的方法，以便我们的客户能够更好地了解我们更新的条款对他们及其隐私合规性的含义。

是的，它将符合 GDPR 合规性，如 新白皮书第 12 页所述 ，该白皮书将有关合格或不合格国家/地区的客户与不合格国家/地区的 Google 服务提供商的解释如下：

如果 Google Cloud 客户在不适当的国家/地区（例如美国）拥有 Google 服务提供商，并且使用受欧盟 GDPR 或瑞士 FDPA 约束的 Google Cloud 服务，则无论该客户是否位于适当的国家/地区或如果国家/地区不充分，则需要与其服务提供商一起进入新的欧盟 SCC 的适当模块，以使其客户个人数据的传输合法化。因此，一旦这些客户获得认证，DPST 和 DPA 就会自动将新的 SCC 应用到这些客户。

例如，如果美国客户是欧盟 GDPR 规定的客户个人数据的控制者（例如，因为它向欧洲经济区居民提供商品），则在将客户个人数据传输到其 Google 时，将需要使用新的欧盟 C2P SCC美国的服务提供商。同样，如果美国客户是欧盟 GDPR 下的客户个人数据处理者（例如，因为其处理活动涉及向欧洲经济区居民提供商品），则它将需要使用新的欧盟 P2P SCC 进行这些传输（此外如果它也是控制器，则为新的 EU C2P SCC）。这同样适用于阿根廷或乌拉圭等适当国家/地区控制者和/或处理者的客户，因为他们的 Google 服务提供商位于美国。在所有情况下，这些客户都需要进行认证。

认证 ：

为确保在需要时输入适当的 SCC，欧洲、中东和非洲地区以外使用 Google Cloud 服务的所有客户均须遵守任何欧洲数据保护法（例如，因为他们向欧洲经济区、英国或瑞士居民提供商品或服务，或监控他们的行为） ，或者因为他们的处理活动与此类优惠或监控相关），需要通过管理控制台证明他们遵守欧洲数据保护法。出于新欧盟 SCC 第 13 条的目的，他们还需要通过管理控制台确定其主管的欧洲数据保护机构。有关这两个步骤的说明，请参阅此处（针对 Google Cloud Platform） 以及针对 Google Workspace（包括 Google Workspace 教育版）和 Cloud Identity 的说明。

有关更多信息，您还可以参阅博客和视频，其中解释了 Firebase Analytics 收集的数据如果用于跟踪欧盟居民，将受到 GDPR 的管辖