2018_通用数据保护条例_实战精编_101页_2mb

GDPR（通用数据保护条例）总结

核心内容

《通用数据保护条例》（General Data Protection Regulation, GDPR）是欧盟于2018年5月25日正式实施的一项重要数据保护法规。该条例旨在统一欧盟范围内个人数据保护规则，提升数据处理透明度，保障数据主体的基本权利和自由，并推动欧盟“单一数字市场”战略的实施。GDPR适用于在欧盟境内设有业务机构的组织，以及向欧盟数据主体提供商品或服务的非欧盟组织。此外，若处理行为涉及对欧盟数据主体的监控，无论处理是否在欧盟境内，均适用GDPR。

主要观点

• GDPR 强调“知情权”和“控制权”，要求企业以清晰、透明的方式告知数据主体其数据的收集、使用及处理方式。
• GDPR 引入了“被遗忘权”“删除权”“限制处理权”“反对权”“数据可携权”等数据主体权利，增强了用户对个人数据的控制能力。
• GDPR 规定了“同意”作为数据处理的法律基础，并强调同意必须是自由、特定、知情和明确的。
• GDPR 对敏感数据（如健康数据、基因数据、生物识别数据等）的处理设置了更为严格的要求，并规定了隐私影响评估（PIA）和数据保护官（DPO）等机制。
• GDPR 对数据泄露的定义广泛，包括数据的非法访问、篡改、丢失等情形，并要求企业在72小时内向监管机构报告数据泄露事件。
• GDPR 适用于跨境数据传输，要求企业在将数据传输至第三方国家时，采用欧盟认可的保障措施（如标准合同条款）以确保数据安全。

关键信息

2.1 地域适用范围

• GDPR 适用于在欧盟境内设有业务机构的组织。
• 非欧盟组织若向欧盟数据主体提供商品或服务，或对其行为进行监控，也适用 GDPR。
• GDPR 的适用范围扩大，使许多不在欧盟境内但涉及欧盟数据的组织必须遵守该法规。

2.2 “同意”概念

• 同意必须是自由、特定、知情和明确的。
• 预先勾选的选项不构成有效的同意。
• GDPR 要求企业在处理数据时，提供充分的记录以证明同意的有效性。

2.3 个人敏感数据

• 敏感数据包括种族、宗教信仰、健康数据、基因数据、生物识别数据等。
• 敏感数据的处理需满足特定例外条件，如数据主体明示同意、合法利益、公共利益等。
• GDPR 强调在处理敏感数据时，需采取额外的保护措施。

2.4 数据主体权利

• 知情权：数据主体有权了解其数据的收集、使用、存储等信息。
• 访问权：数据主体有权获取其数据的副本。
• 更正权：数据主体有权更正不准确的数据。
• 删除权：数据主体有权要求删除其数据，除非存在例外情况。
• 限制处理权：在特定情况下，数据主体有权限制其数据的处理。
• 反对权：数据主体有权反对基于合法利益或自动化决策的数据处理。
• 数据可携权：数据主体有权以结构化、通用、机器可读的方式获取其数据，并转移至其他控制者。

2.5 数据泄露和通知

• 数据泄露包括数据的非法访问、篡改、丢失等情形。
• 企业在发现数据泄露后，需在72小时内向监管机构报告。
• 在特定情况下，企业也需向受影响的数据主体通知数据泄露事件。
• 通知内容需包括数据泄露的性质、影响、采取的措施等。

2.6 数据保护官（DPO）

• GDPR 要求部分组织必须设立 DPO，如进行大规模系统监控、处理特殊类别数据或与刑事记录相关数据的组织。
• DPO 需具备专业技能，独立履行职责，与监管机构沟通，监督企业合规。
• DPO 需在企业内部广为人知，确保数据主体能够直接联系。

GDPR 对企业的影响

3.1 对金融业的影响

• GDPR 要求金融企业更新隐私政策，加强数据保护措施。
• 金融企业需设立 DPO，并提高数据合规成本。
• GDPR 对跨境数据传输提出了更高要求，影响了跨境金融业务的运营成本。
• GDPR 与现有金融监管法律之间的协调与平衡是企业需要关注的问题。

3.2 对前沿产业的影响

• 大数据、人工智能、区块链等技术面临 GDPR 的合规挑战。
• GDPR 对自动化决策、数据画像、数据可携权等提出了明确要求。
• 区块链的不可篡改性与 GDPR 的删除权、更正权存在冲突，需在技术与法律之间寻求平衡。

GDPR 应对措施与建议

4.1 应对措施

• 判断适用性：企业应自查是否在欧盟设有营业场所，是否向欧盟数据主体提供服务或进行监控。
• 三层次落实合规策略：
  1. 风险分析与差距评估：识别数据类型，评估合规风险。
  2. 制定合规整改方案：从技术、制度、流程三方面进行整改。
  3. 建立完整的数据保护体系：持续改进，降低合规风险。

4.2 整改建议

• 隐私政策更新：需明确数据处理目的、合法依据、数据接收者、跨境传输保障措施等。
• 保证数据主体权利有效实现：建立数据主体权利诉求的收集与反馈机制。
• 设置数据保护官：确保 DPO 的独立性，履行监督、培训、沟通等职责。

4.3 合规响应案例

• 华为：设立 DPO，进行隐私影响评估，优化供应商管理流程，开展员工隐私培训。
• 小米：更新隐私政策，提供数据删除、限制处理、数据可携权等选项。
• 美的：明确用户权利，包括访问、更正、删除、转移等，并提供联系方式。
• 海南航空：在跨境数据传输中使用标准数据保护条款，确保数据安全。
• 数字联盟：通过匿名化处理，确保数据使用者无法识别特定自然人。
• 优栈网：更新隐私声明，明确数据处理目的和范围。
• 墨刀：提供数据访问、修改、删除、转移等权利，并支持用户取消订阅。
• Microsoft：更新隐私声明，增强透明度，明确数据控制者和处理者身份。
• AveryDennison：设立数据违规响应计划，进行数据隐私影响评估。
• Profoto：确保数据转移至第三方国家时的安全性，采用标准数据保护条款。
• Flow：明确数据处理目的，提供数据主体权利的详细说明。
• Ledvance：更新隐私政策，确保符合 GDPR 要求。
• DOLCE&GABBANA：强调对数据主体权利的保护，如删除权、反对权等。
• Australia.cn：说明数据处理的法律依据及数据主体权利。
• CongniFit：确保数据处理符合 GDPR 要求。
• GoDaddy CN：更新隐私政策，明确数据处理方式和用户权利。

GDPR 问答要点

• GDPR 是一项统一欧盟个人数据保护的法律，适用于所有处理欧盟数据的企业。
• GDPR 不仅适用于欧盟企业，也适用于向欧盟数据主体提供商品或服务的非欧盟企业。
• GDPR 赋予用户多项权利，如访问、更正、删除、可携、反对、限制处理等。
• GDPR 不会替代数据保护协议（DPA），而是对数据保护提出了更严格的要求。
• GDPR 对 B2B 业务也具有影响，尤其是在数据共享和传输方面。
• GDPR 对营销行为提出了更严格的要求，如禁止未经同意的自动化决策。
• GDPR 对数据科学提出了合规要求，尤其在涉及大规模数据处理时。
• GDPR 对 HR 和招聘行为提出了数据处理合规要求，如员工数据的合法处理。
• GDPR 在英国脱欧后仍然适用于英国。
• GDPR 对美国企业也有影响，特别是涉及欧盟数据处理的情况。
• GDPR 适用于中国企业，尤其是涉及欧盟客户或数据的业务。
• 中国企业应建立数据保护制度，设立 DPO，更新隐私政策，加强数据安全措施。

附录信息

• 参考资料：包括 GDPR 相关法律条文、实施指南等。
• 版权说明：强调文档的版权归属和使用规范。
• 关于编者：提供编者信息，便于后续联系。
• 中文译本：文档提供中文翻译，便于理解。

总结

GDPR 是一项具有深远影响的数据保护法规，不仅统一了欧盟内部的个人数据保护规则，也对全球企业提出了更高的合规要求。其核心在于保障数据主体的知情权、访问权、删除权等权利，强调数据处理的透明性与合法性。企业在应对 GDPR 时，需全面评估自身适用情况，更新隐私政策，设立 DPO，实施隐私影响评估，并加强数据安全措施。同时，GDPR 对大数据、人工智能、区块链等前沿技术的使用提出了挑战，企业需在技术创新与数据合规之间寻求平衡。