甫瀚：常见问题解答解读通用数据保护条例（30页）.pdf

1、解读通用数据保护条例 常见问题解答欧盟通用数据保护条例要求企业必须重点保护个人数据而非控制企业流程，毫无疑问的，这将打破企业现有的安全和隐私程序。解读通用数据保护条例 前言通用数据保护条例（GDPR）终于颁布对于与欧盟居民开展商业活动的企业而言，许多的问题、担忧和挑战亦随之而来。我们将在这里提供一些解读。历经四年的协商，欧盟 GDPR 于 2016 年 4 月 14 日获得通过，并于 2018 年 5 月 25 日正式生效。受该条例约束的企业曾被赋予两年的宽限期，以审阅既有实务和程序，如今时限已至，企业必须遵守GDPR项下的每一条条款（参见下文 GDPR 的发展历程）。GDPR 有两个高层级的

2、目标：协同欧盟各成员国分散的立法现状；及提升公众对互联网业务固有风险的认知。大量曝光的网络犯罪成功盗取个人数据，引发一众担忧。随着移动设备的爆发式增长、大数据分析的广泛应用，以及通过数字化手段所生产、处理和共享的个人数据的日益增多，当今的个人身份信息面临史无前例的高风险。如何让线上环境变得更加可靠、和谐，是 GDPR 的第一要旨。GDPR要求企业必须重点保护个人数据而非控制企业流程，这将打破企业现有的安全和隐私保护程序。GDPR 的内容无疑是广泛的、细致入微的，同时包括多处开放性条款予以企业诠释空间。企业在解读和应对该条例时存在不少疑问。作为回应，贝克麦坚时、罗致恒富及甫瀚咨询联合推出了该资源

3、指南，针对此项新条例的诸多方面进行了探讨。请注意，本文所提供的信息并不构成任何法律层面的分析或意见，亦非旨在应对 GDPR 每一领域或其他的数据隐私要求。企业应视其自身特殊情况就特定问题寻求法律顾问或其他领域顾问的意见。GDPR 发展历程 1995 年 10 月：数据保护指令（95/46/EC）获得采纳。GDPR 大多数条款都与该指令相同或相似。因此，可以说我们已与 GDPR 的大部分条款相识 20 多年。2012 年 1 月：GDPR 初稿发布。2014 年 3 月：欧洲议会表决支持 GDPR。2015 年 12 月：“三方会谈”（欧盟委员会、欧洲议会和欧盟部长理事会）就 GDPR 达成一致

4、。2016 年 4 月：欧洲议会和欧盟理事会正式采纳 GDPR，并给予两年执行宽限期。2018 年 5 月：GDPR 自 5 月 25 日起开始执行。前言 i什么是欧盟通用数据保护条例？.1GDPR 代替了哪像立法？.1是否需通过国家立法来实施 GDPR？.1GDPR 适用的地域范围是什么？(第 3 条).1GDPR 如何定义个人数据？(第 4 条).1在线身份识别信息是个人数据吗？(第 30 条鉴于条款).2什么是“敏感”个人数据？(第 9 条).2有关刑事定罪/判决的记录是否被列为“特殊”个人数据？(第 10 条).2什么是数据主体？.2什么是数据保护原则？(第 5 条).2什么是数据保护

5、设计和默认？(第 25 条).2数据处理何时合法？(第 6 条).3同意条款的条件是什么？(第 7 条).3处理未成年人个人数据是否须获得父母同意？(第 8 条).3GDPR 是否适用于雇佣情境下的数据处理？(第 88 条).3GDPR 对技术有什么要求？.301020304050607080910111213141516非欧盟企业如何实施 GDPR？.4什么是欧洲数据保护监管机构？.4什么是欧洲数据保护委员会？.4GDPR 如何与 GAPP 协调一致？.4GDPR 合规审计是否须由欧盟隐私权利机构来执行？.4GDPR 合规进程中的“基石”是什么？.4GDPR 合规会如何影响企业对其他法规的合

6、规操作？.41718192021222324252627282930313233哪些信息必须提供给数据主体？(第 12-14 条).5提供给数据主体的信息必须以何种方式传达？(第 12 条).5什么是个体访问权？(第 15 条).5什么是纠正权？(第 16 条).6什么是删除权？(第 17 条).6什么是限制处理权？(第 18 条).6数据控制者是否须通知他人有关数据的纠正或删除或处理限制？(第 19 条).7什么是数据可携带权？(第 20 条).7什么是反对权？(第 21 条).7关于数据画像和自动化决策，数据主体有哪些权利？(第 22 条).7数据主体的权利 5GDPR 之洞见 1ii B