一、法规背景GDPRGeneral Data Protection Regulation通用数据保护条例法规编号EU2016/679是欧盟于2016年4月27日通过、2018年5月25日正式施行的个人数据保护基础性法规。该条例取代了此前施行逾20年的《数据保护指令》Directive 95/46/EC统一了欧盟各成员国的数据保护标准。GDPR的立法目标包含两个维度保护自然人的基本权利与自由特别是个人数据保护权促进个人数据在欧盟内部的自由流动消除各成员国之间因数据保护标准差异形成的贸易壁垒。二、适用范围GDPR采用属地属人的双重管辖原则其适用范围不限于在欧盟境内设立的企业。管辖原则适用情形法规依据设立地原则在欧盟境内设有机构且数据处理发生在该机构活动范围内第3(1)条目标指向原则不在欧盟设立但面向欧盟数据主体提供商品或服务无论是否收费第3(2)(a)条监控行为原则不在欧盟设立但对发生在欧盟境内的数据主体行为进行远程监控第3(2)(b)条说明即使企业在欧盟境外运营若面向欧盟数据主体提供服务或收集其行为数据如网站分析、行为画像同样受GDPR管辖。这一设计使GDPR成为具有事实性域外效力的法规。三、核心概念3.1 个人数据的分类根据GDPR第4(1)条个人数据是指与已识别或可识别的自然人数据主体相关的任何信息。可识别的自然人是指可以通过姓名、身份证号、位置数据、在线标识符等直接或间接识别身份的个体。数据类别定义法规依据处理原则一般个人数据姓名、地址、邮箱、IP地址、Cookie标识等第4(1)条满足第6条任一法律依据即可处理特殊类别数据种族、宗教信仰、基因数据、生物识别数据、健康数据、性生活/性取向数据第9条原则上禁止处理仅限特定豁免情形刑事定罪数据与刑事定罪和犯罪相关的个人数据第10条仅官方机构或受权机构可处理特殊类别数据的豁免情形包括数据主体明示同意、保护数据主体或他人重大利益、数据主体已使其数据公开、出于重大公共利益等第9(2)条。3.2 数据处理的六项法律依据GDPR第6条规定了数据处理合法性的六项依据任何处理活动须至少满足其中一项编号法律依据典型适用场景限制条件a数据主体同意营销邮件订阅、Cookie追踪同意须自由作出、具体、明确、可撤回b合同履行必需订单配送需处理收货地址限于合同必需范围c法定义务雇主依法代扣税款须依据欧盟或成员国法律d保护重大利益紧急救护中处理健康数据限于数据主体无法表示同意时e公共利益政府统计部门人口普查须有法律基础并遵循比例原则f正当利益企业内部网络安全防护须经必要性测试不损害数据主体权利四、数据主体权利GDPR赋予数据主体八项核心权利构成数据保护的主体框架。以下对照法规条款梳理各项权利的内容与响应要求。权利名称核心内容响应时限法规依据知情权数据收集时获知处理目的、依据、保存期限等信息收集时第13–14条访问权确认其数据是否被处理并获取数据副本1个月内第15条更正权要求更正不准确的个人数据1个月内第16条删除权被遗忘权要求删除其个人数据1个月内第17条限制处理权在特定情形下限制数据处理活动1个月内第18条数据可携带权以结构化通用格式获取数据并转移至其他控制者1个月内第20条反对权反对基于正当利益或直接营销的数据处理收到后停止处理第21条免于自动化决策权不受仅基于自动化处理含画像的决策约束视具体情况第22条响应时限说明控制者收到请求后须在一个月内予以响应。必要时可延长两个月但须在一个月内向数据主体说明延期理由。上述时限自控制者收到请求之日起计算。五、数据控制者与处理者义务5.1 基本义务清单义务类型具体要求法规依据透明度义务以清晰、简明的语言提供隐私政策第12条目的限制仅用于收集时声明的明确目的第5(1)(b)条数据最小化仅收集实现目的所必需的最少数据第5(1)©条准确性确保数据准确并及时更正第5(1)(d)条存储限制设定合理的数据保存期限第5(1)(e)条安全保障采取适当的技术和组织措施如加密、 pseudonymization第32条数据泄露通知知悉后72小时内向监管机构报告第33条数据保护影响评估DPIA高风险处理活动前进行评估第35条记录处理活动维护处理活动记录第30条5.2 数据保护官DPOGDPR第37条规定了须任命数据保护官DPOData Protection Officer的三类情形公共机构或机关进行大规模数据处理核心活动涉及大规模定期系统化地监控数据主体核心活动涉及大规模特殊类别数据或刑事定权数据处理DPO的职责包括向组织提供数据保护建议、监督GDPR合规、担任与监管机构联络的联系人。DPO须独立履行职责控制者不得因履行职责而对其解雇或处罚第38条。六、合规实践流程以下流程图展示了企业GDPR合规评估的核心步骤否是否是启动合规评估数据资产盘点是否涉及欧盟数据主体不适用GDPR识别处理活动法律依据评估数据主体权利保障是否属于高风险处理活动制定安全保障措施开展数据保护影响评估 DPIA建立数据泄露响应机制形成合规文档持续监控与定期更新数据主体权利请求的处理流程访问/更正删除可携带无保留事由有保留事由收到权利请求验证数据主体身份请求类型判断1个月内响应评估是否存在合法保留事由结构化格式导出书面说明拒绝理由记录处理日志七、常见问题Q1企业在欧盟境外运营是否受GDPR管辖若企业面向欧盟数据主体提供商品或服务或对欧盟境内用户行为进行远程监控如网站分析、行为画像则适用GDPR第3(2)条即使企业没有任何欧盟境内的实体机构。判断面向欧盟的因素包括使用欧盟语言或货币、域名使用.eu后缀、提供向欧盟的物流等。Q2Cookie是否属于个人数据GDPR序言第30段及第4(1)条明确在线标识符包括Cookie标识符、IP地址、RFID标签、设备指纹等在可关联到特定自然人的情况下属于个人数据。Cookie的设置须获得数据主体同意依据ePrivacy指令与GDPR第6(1)(a)条。Q3数据主体行使被遗忘权时控制者是否必须删除所有相关数据并非所有情形都必须删除。GDPR第17(3)条设定了豁免事由包括言论自由行使、法定义务履行、公共健康利益、科学或历史研究目的、法律诉求的设立、行使或抗辩等。控制者须逐案评估删除请求是否存在合法保留事由。Q4DPIA在什么情况下是强制性的GDPR第35条规定以下高风险处理活动须进行数据保护影响评估大规模系统性画像、处理特殊类别数据或敏感数据的大规模处理、公共场所大规模监控、处理涉及个人健康数据的遗传数据等。欧盟各成员国监管机构可公开清单列明须进行DPIA的具体处理类型。Q5数据泄露后必须在多长时间内报告GDPR第33条规定数据控制者在知悉数据泄露后应在72小时内向主管监管机构报告。若未在72小时内报告须在报告中说明延迟理由。此外若泄露可能对数据主体权利与自由造成高风险还须在合理时间内通知数据主体第34条。处理者知悉泄露后须不得无故延迟地通知控制者。Q6GDPR与欧盟《数据法案》Data Act是什么关系GDPR聚焦于个人数据保护规范的是个人数据的处理活动而《数据法案》EU Regulation 2023/2854于2024年1月11日生效聚焦于非个人数据如物联网设备生成的数据的共享与使用。二者在适用对象上互补企业须同时关注两套法规的合规要求。本文依据欧盟官方公报公布的EU2016/679法规原文及欧盟数据保护委员会EDPBEuropean Data Protection Board公开发布的指南文件整理。相关法规如有更新以官方发布版本为准。