【普华永道】2024欧盟法规要求下的用户同意实践白皮书_24页_3mb

欧盟法规要求下的用户同意实践白皮书总结

核心内容概述

本白皮书重点介绍了欧盟《通用数据保护条例》(GDPR)和《电子隐私指令》(ePD)对用户同意的要求，以及在欧洲经济区（EEA）和英国运营的企业如何在实践中确保合规。内容涵盖用户同意的有效性、特殊数据处理场景、儿童数据保护、撤回同意机制、同意记录、最佳实践设计以及常见问题解答。

主要观点

1. GDPR与ePD对用户同意的要求

• 有效性要求：用户同意必须是自由、具体、知情和明确的。
• 禁止捆绑同意：用户不能被迫同意多个处理目的，每个目的应有单独的选项。
• 明确表示意愿：用户需通过点击按钮等积极行为表示同意，而非默认或沉默。
• 明示同意的特殊情况：
  • 处理特殊类别数据（如健康、种族、生物特征等）；
  • 自动决策或用户画像；
  • 向第三国传输数据，且缺乏适当保障措施。
• 儿童数据保护：对于16岁以下儿童，必须获得父母或监护人的明确同意；建议避免向儿童提供个性化广告。

2. 同意撤回机制

• 数据主体有权随时撤回同意；
• 撤回应与提供同意一样方便；
• 撤回不得导致服务质量下降或额外费用；
• 撤回后，若无其他合法依据，企业需立即停止数据处理并删除数据。

3. 同意记录

• 企业需保存用户同意的记录；
• 记录应保留至数据处理活动结束，或法律义务所需的时间。

关键信息

用户同意横幅设计要点

• 位置：建议置于网页中间，以提高用户注意力；
• 内容：
  • 显示组织名称或徽标；
  • 明确说明收集的数据类型和处理目的；
  • 提供撤销同意的途径；
  • 提供隐私政策和Cookie政策的链接。
• 按钮设计：
  • 建议使用“接受+设置”组合，而非“接受+拒绝”；
  • “接受”按钮应使用对比色，便于识别；
  • 按钮应清晰、积极，避免含糊不清。
• 语言：应使用本地语言，以确保用户理解；
• 字体与颜色：标题字体应较大，描述信息字体较小；颜色搭配应突出关键信息。

应用程序端的同意实践

• 位置：弹出窗口应位于屏幕中部或下部；
• 内容与机制：
  • 应在首次处理数据时显示同意横幅；
  • 应包含隐私政策和数据处理目的说明；
  • 需提供退出与数据删除的选项；
  • 应与平台（如Apple App Store、Google Play）的隐私要求一致；
• 第三方服务：需在隐私政策中披露所有使用用户数据的第三方，并提供其数据政策链接。

同意横幅的检查清单

• 是否在用户访问时显示了同意横幅？
• 是否在用户未同意前阻止跟踪技术运行？
• 是否清晰说明了数据类型和使用目的？
• 是否为每个处理目的提供单独的同意选项？
• 是否提供了便捷的撤销和修改同意方式？
• 是否记录并保存了用户同意数据？

最佳实践建议

• 避免将特殊类别数据用于广告目的；
• 在设计同意机制时，优先考虑用户友好性和透明度；
• 定期审计网站和应用程序中使用的Cookie和跟踪技术；
• 使用A/B测试优化同意横幅设计，提升用户接受率；
• 避免将同意声明与条款和条件捆绑，应单独呈现；
• 确保用户在拒绝后被视为新访客，不记录其信息。

常见问题解答

• Q: 横幅上可以只提供一个“接受”按钮吗？
  A: 可以，但需允许用户进入管理Cookie页面以设置偏好。

• Q: 如果不允许用户在不同意的情况下使用游戏服务会怎样？
  A: 不符合GDPR要求，因为用户不能被迫同意非必要服务。

• Q: 是否需要展示所有第三方的信息？
  A: 是的，需明确列出所有第三方，并链接至其数据政策。

• Q: 用户拒绝后多久可以再次弹出同意横幅？
  A: 不应再次弹出，用户拒绝后应被视为新访客。

• Q: 是否可以将同意声明包含在条款和条件中？
  A: 不建议，应单独呈现以确保清晰度和可读性。

结论

本白皮书为企业提供了全面的指导，以确保其在欧盟及英国地区遵守用户同意的合规要求。通过合理设计同意横幅、透明告知用户数据处理目的、避免捆绑同意、确保用户能够随时撤回同意，企业可以有效降低法律风险并提升用户信任。

联系我们

• 汪颖
  普华永道中国法务数字化管理与战略咨询服务主管合伙人
  jane.y.wang@cn.pwc.com

• 周晓琴
  普华永道中国法务数字化管理与战略咨询服务合伙人
  elle.zhou@cn.pwc.com

• 叶天斌
  普华永道中国数字化与科技咨询服务合伙人
  tianbin. Ye @ cn.pwc.com