94 BIG DATA RESEARCH 大 数 据 1 Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with

FORUM 论 坛 93 欧 盟 数 据 保 护 通 用 条 例 详 解 中 国 信 息 通 信 研 究 院 互 联 网 法 律 中 心, 北 京 100191 摘 要 关 键 词 doi: 10.11959/j.issn.2096-0271.2016045 Deconstructing the EU General Data Protection Regulation WANG Rong Internet Law Center of China Academy of Information and Communication Technology, Beijing 100191, China Abstract The EU General Data Protection Regulation (GDPR) has taken effect on May 25, 2018. In order to catch up with the new trend of digital era, companies from all over the world are actively preparing for the related compliance work. The major changes of this new regulation were demonstrated comprehensively. It will provide a reference for companies and new prospective for China s data protection policy making in big data era. Key words General Data Protection Regulation (GDPR), change, compliance 2016045-1

94 BIG DATA RESEARCH 大 数 据 1 Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data 2 REGULATION (EU) 2016/679 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/ EC (General Data Protection Regulation) (Text with EEA relevance) THE EUROPEAN, 4.5.2016 L 119/1 Official Journal of the European Union 1 引 言 2 0 1 2 年, 欧 盟 启 动 对 1 9 9 5 年 数 据 保 护 指 令 1 ( 以 下 简 称 指 令 ) 的 修 订 工 作 在 历 经 4 年 多 的 立 法 协 商 之 后, 欧 盟 数 据 保 护 通 用 条 例 (General Data Protection Regulation,GDPR) 2 ( 以 下 简 称 条 例 ) 已 正 式 通 过, 并 将 于 2 0 1 8 年 5 月 25 日 全 面 实 施 以 下 详 细 介 绍 条 例 带 来 的 10 个 方 面 的 主 要 变 化 2 变 化 1: 适 用 范 围 极 大 扩 展 法 律 的 适 用 范 围 从 过 去 的 属 地 主 义 向 属 人 主 义 扩 展 19 9 5 年 的 指 令 的 适 用 范 围 取 决 于 属 地 因 素, 要 么 机 构 的 成 立 地 在 欧 盟, 要 么 利 用 欧 盟 境 内 的 设 备 进 行 个 人 数 据 的 处 理 活 动 ( 仅 仅 是 传 输 通 道 除 外 ) 新 条 例 不 仅 考 虑 属 地 因 素, 还 增 加 了 属 人 因 素 简 言 之 如 下 对 于 成 立 地 在 欧 盟 的 机 构 来 说, 法 律 的 适 用 范 围 并 没 有 发 生 大 的 变 化, 但 强 调 了 无 论 数 据 处 理 的 活 动 是 否 发 生 在 欧 盟 境 内, 都 统 一 遵 循 条 例 对 于 成 立 地 在 欧 盟 以 外 的 机 构 来 说, 则 适 用 属 人 因 素 只 要 其 在 提 供 产 品 或 者 服 务 的 过 程 中 ( 不 论 是 否 收 费 ) 处 理 了 欧 盟 境 内 个 体 的 个 人 数 据, 将 同 样 适 用 于 条 例 此 类 情 形 还 包 括 对 欧 盟 境 内 个 人 活 动 的 监 控 行 为 根 据 条 例 说 明 部 分 的 解 释, 监 控 行 为 包 括 了 利 用 cookie 等 互 联 网 技 术 工 具 对 个 人 网 络 活 动 的 跟 踪 分 析 ( 第 3 条 ) 也 就 是 说 任 何 网 站 甚 至 App 只 要 能 够 被 欧 盟 境 内 的 个 人 访 问 和 使 用 产 品 或 服 务 使 用 的 语 言 是 英 语 或 者 特 定 的 欧 盟 成 员 国 语 言 产 品 标 识 的 价 格 为 欧 元, 都 可 以 被 理 解 为 该 产 品 服 务 的 目 标 用 户 包 括 欧 盟 境 内 用 户, 从 而 需 要 适 用 条 例 这 也 是 缘 何 条 例 在 全 球 引 起 极 大 震 动 的 核 心 原 因 之 一 不 论 是 银 行 保 险 航 空 等 传 统 行 业, 还 是 电 子 商 务 社 交 网 络 等 新 兴 领 域, 只 要 涉 及 向 欧 盟 境 内 个 人 提 供 服 务 并 处 理 个 人 数 据, 都 将 落 入 条 例 适 用 范 围, 除 非 放 弃 欧 盟 5 亿 发 达 人 口 市 场 3 变 化 2: 统 一 的 法 律 规 则 之 下 仍 有 一 些 例 外 此 次 立 法 主 旨 之 一 是 结 束 1995 年 指 令 以 来 各 成 员 国 之 间 的 数 据 保 护 法 律 制 度 差 异 问 题, 条 例 的 统 一 规 定 将 直 接 适 用 于 各 成 员 国 但 值 得 注 意 的 是, 条 例 仍 然 为 各 成 员 国 预 留 了 一 定 自 主 空 间, 如 下 所 示 条 例 对 于 儿 童 个 人 数 据 做 出 了 特 殊 保 护 规 定, 但 允 许 成 员 国 对 于 儿 童 的 年 龄 标 准 在 13~16 岁 做 出 调 整 ( 第 8 条 ) 在 处 罚 方 面, 条 例 规 定 了 实 施 行 政 罚 款 的 一 般 性 条 件, 但 同 时 也 授 权 成 员 国 规 定 其 他 处 罚 类 型 的 规 则, 这 些 处 罚 适 用 于 违 反 了 条 例 但 并 不 符 合 行 政 罚 款 条 件 的 违 法 行 为 ( 第 8 4 条 ) DPO(data protection officer, 数 据 保 护 官 ) 的 设 立 除 了 条 例 规 定 的 必 须 设 立 DPO 的 情 形, 条 例 还 授 权 成 员 国 可 以 扩 展 必 须 设 立 DPO 的 其 他 情 形 ( 第 37 条 ) 成 员 国 可 以 在 未 来 针 对 基 因 生 物 识 别 以 及 健 康 数 据 的 保 护 做 进 一 步 规 定 ( 第 9 条 ) 成 员 国 可 以 依 据 条 例 的 基 本 原 则, 针 对 雇 佣 领 域 的 数 据 保 护, 做 出 进 一 步 的 规 定 ( 第 8 8 条 ) 除 以 上 列 举 之 外, 在 条 例 中 此 类 授 权 成 员 国 可 作 出 进 一 步 具 体 规 定 的 条 款 还 有 很 多 因 此, 尽 管 统 一 的 条 例 为 企 业 2016016-94 2016025-2 2016045-2

FORUM 论 坛 95 大 大 降 低 了 合 规 的 复 杂 性, 但 仍 需 注 意 到 统 一 之 外 的 差 异 性 3 4 变 化 3: 一 站 式 监 管 对 于 向 欧 盟 不 同 国 家 提 供 业 务 的 企 业 或 者 在 不 同 国 家 都 有 设 立 地 的 企 业 来 说, 新 条 例 会 极 大 减 轻 合 规 成 本 企 业 不 再 需 要 与 多 个 不 同 成 员 国 的 数 据 监 管 机 构 打 交 道 根 据 新 的 一 站 式 监 管 机 制 (one stop shop), 企 业 主 成 立 地 所 在 国 家 的 监 管 机 构 将 作 为 主 导 监 管 机 构 (lead supervisory authority), 对 企 业 的 所 有 数 据 活 动 负 有 监 管 权 力, 其 效 力 辐 射 全 欧 当 然, 为 保 证 监 管 的 协 调 统 一 性, 条 例 为 此 精 心 设 计 了 一 套 复 杂 的 咨 询 机 制 主 导 监 管 机 构 的 监 管 决 定 要 最 大 程 度 上 反 映 其 他 成 员 国 监 管 机 构 的 意 见 如 果 不 能 达 成 一 致 意 见, 则 交 由 欧 盟 数 据 保 护 委 员 会 (European Data Protection Board, E D P B) 处 理 ( 第 5 6 6 0 6 1 条 等 ) 5 变 化 4: 处 理 数 据 须 有 合 法 理 由 处 理 个 人 数 据 必 须 要 有 合 法 理 由, 包 括 : 数 据 主 体 的 同 意 履 行 合 同 需 要 履 行 法 定 义 务 的 需 要 以 及 数 据 控 制 者 的 合 法 利 益 等 以 下 对 数 据 主 体 的 同 意 数 据 控 制 者 的 合 法 利 益 以 及 敏 感 数 据 的 处 理 等 重 点 条 款 作 进 一 步 的 解 释 (1) 关 于 数 据 主 体 的 同 意 条 例 对 于 数 据 主 体 的 同 意 的 有 效 标 准 相 比 指 令 严 格 很 多 同 意 必 须 是 具 体 的 清 晰 的, 是 用 户 在 充 分 知 情 的 前 提 下 自 由 做 出 的 如 果 数 据 控 制 者 希 望 获 得 的 同 意 的 事 项 区 别 于 此 前 已 取 得 同 意 的 事 项 范 围, 则 需 要 向 用 户 做 出 单 独 明 确 的 说 明 ; 如 果 将 同 意 数 据 处 理 作 为 签 订 合 同 的 前 提 条 件, 而 这 种 数 据 处 理 事 实 上 超 出 了 提 供 服 务 所 必 需 的 范 围, 将 违 反 有 关 同 意 应 当 是 自 由 做 出 的 规 定 ( 第 7 条 ) 在 这 种 高 标 准 下, 虽 然 条 例 并 没 有 明 确 禁 止 推 定 同 意 模 式 ( 敏 感 数 据 处 理 数 据 画 像 活 动 除 外 ), 但 在 实 践 中 通 过 推 定 方 式 获 得 用 户 同 意 将 很 难 被 认 为 是 有 效 合 法 的 也 就 是 说, 当 前 实 践 中 普 遍 存 在 的 通 过 冗 长 晦 涩 的 隐 私 政 策 来 获 取 用 户 同 意, 或 者 让 用 户 在 签 订 业 务 协 议 时 通 过 打 钩 方 式 作 出 一 揽 子 授 权 的 方 式 将 失 去 合 法 性 业 界 普 遍 认 为, 条 例 关 于 有 效 合 法 同 意 的 严 格 规 定, 使 得 用 户 的 同 意 不 会 像 现 在 这 样 被 轻 易 获 得 4 更 重 要 的 是, 条 例 赋 予 了 数 据 主 体 可 以 随 时 撤 回 同 意 的 权 利 数 据 控 制 者 应 当 明 确 告 知 用 户 现 有 该 权 利, 并 为 用 户 方 便 地 行 使 该 权 利 提 供 便 利 在 处 理 儿 童 个 人 数 据 时, 必 须 获 得 其 父 母 或 者 其 他 监 护 人 的 同 意 并 且 该 举 证 责 任 在 于 数 据 控 制 者, 数 据 控 制 者 必 须 能 够 证 明 其 从 监 护 人 那 里 获 得 了 同 意 ( 第 8 条 ) (2) 关 于 数 据 控 制 者 的 合 法 利 益 1995 年 版 的 指 令 和 条 例 都 规 定 了 除 了 获 得 同 意 以 外 的 其 他 数 据 处 理 的 合 法 理 由 其 中 包 括 符 合 数 据 控 制 者 的 合 法 利 益 一 般 认 为, 数 据 控 制 者 出 于 营 销 目 的 对 个 人 数 据 的 使 用 要 符 合 个 人 的 合 法 利 益, 但 同 时 条 例 赋 予 了 数 据 主 体 对 于 营 销 活 动 的 绝 对 反 对 权 换 言 之, 数 据 控 制 者 可 以 以 营 销 为 目 的 使 用 用 户 个 人 数 据, 但 用 户 随 时 可 以 提 出 反 对, 数 据 控 制 者 必 须 立 即 停 止 使 用 除 此 之 外, 将 数 据 控 制 者 的 合 法 利 益 作 为 数 据 处 理 的 合 法 理 由 的 情 形 在 实 践 中 非 常 有 限 数 据 控 制 者 必 须 能 够 证 明, 其 合 法 的 利 益 显 著 高 于 数 据 主 体 的 个 人 权 利 和 自 由 ( 第 6 条 ) 3 http://www. gtlaw.com/ News-Events/ Publications/ Alerts/194155/ EU-General- Data-Protection- Regulation- What-Impact- for-businesses- Established- Outside-the-EU 4 http://www. hoganlovells. c o m / e n / publications/ futureproofingprivacy-aguide-topreparing-forthe-eu-dataprotectionregulation 2016045-3

96 BIG DATA RESEARCH 大 数 据 (3) 关 于 敏 感 数 据 的 处 理 敏 感 的 个 人 数 据 包 括 : 能 够 揭 示 个 人 的 种 族 政 治 倾 向 宗 教 和 哲 学 信 仰 商 业 团 体 资 格 以 及 关 于 个 人 健 康 或 者 性 生 活 的 数 据, 在 敏 感 数 据 类 型 中, 条 例 还 明 确 加 入 了 基 因 数 据 和 生 物 数 据, 这 类 数 据 的 处 理 能 够 唯 一 地 识 别 出 特 定 个 人 ( 第 9 条 ) 敏 感 个 人 数 据 的 特 殊 性 在 于, 作 为 一 般 法 则, 禁 止 处 理 敏 感 数 据, 除 非 特 定 的 例 外 条 件 能 够 满 足 这 些 例 外 条 件 包 括 : 数 据 主 体 的 同 意, 或 者 数 据 主 体 已 经 将 上 述 信 息 公 开 ; 为 了 建 立 履 行 或 者 保 护 合 法 的 诉 求 必 须 处 理 上 述 敏 感 信 息 ; 为 了 公 共 利 益 的 需 要 或 者 与 公 共 利 益 相 关 的 归 档 科 学 历 史 或 者 统 计 但 总 体 的 原 则 是, 这 些 对 于 敏 感 数 据 处 理 的 例 外 情 况 的 解 释 将 会 非 常 狭 窄 6 变 化 5: 坚 实 强 大 的 数 据 主 体 权 利 相 比 于 1 9 9 5 年 版 指 令, 条 例 对 数 据 主 体 的 权 利 规 定 细 致 入 微, 为 个 人 有 效 行 使 权 利 提 供 了 坚 实 的 法 律 保 障 (1) 知 情 权 条 例 规 定 数 据 控 制 者 必 须 以 清 楚 简 单 明 了 的 方 式 向 个 人 说 明 其 个 人 数 据 是 如 何 被 收 集 处 理 的 可 以 想 见 的 是, 当 前 企 业 普 遍 应 用 的 隐 私 政 策 必 须 进 行 大 幅 改 革, 才 能 满 足 合 规 要 求 条 例 规 定 了 应 当 告 知 用 户 的 信 息 包 括 以 下 内 容 ( 第 12 13 条 ) 数 据 控 制 者 的 身 份 和 联 系 方 式 数 据 控 制 者 指 定 的 代 表 信 息 DPO 的 相 关 信 息 数 据 的 接 收 者 或 数 据 接 收 者 的 类 型 数 据 处 理 的 目 的 和 合 法 基 础 如 果 合 法 基 础 是 用 户 的 同 意, 则 要 告 知 用 户 享 有 撤 回 同 意 的 权 利, 并 且 该 撤 回 不 得 影 响 先 前 的 数 据 处 理 中 用 户 的 合 法 利 益 该 信 息 应 当 以 单 独 显 著 方 式 显 示 如 果 涉 及 自 动 化 的 数 据 处 理, 包 括 数 据 画 像 活 动, 则 需 要 提 供 基 本 的 算 法 逻 辑 以 及 针 对 个 人 的 运 算 结 果 个 人 数 据 的 保 留 周 期 以 及 采 取 该 周 期 的 理 由 依 据 法 律, 数 据 主 体 享 有 权 利 投 诉 权 以 及 相 关 的 监 管 机 构 如 果 数 据 传 输 到 第 三 国, 则 需 要 告 知 用 户 该 第 三 国 是 否 通 过 欧 盟 的 充 分 性 决 定, 如 果 没 有 通 过, 则 需 要 告 知 数 据 控 制 者 采 取 了 何 种 保 障 措 施 如 果 数 据 不 是 从 数 据 主 体 处 直 接 收 集 而 来, 则 需 要 告 知 其 数 据 的 来 源 和 类 型 (2) 访 问 权 数 据 控 制 者 应 当 为 用 户 实 现 该 权 利 提 供 相 应 的 流 程, 如 果 该 请 求 是 以 电 子 形 式 提 出 的, 则 也 应 当 以 电 子 形 式 将 数 据 提 供 给 个 人 控 制 者 不 能 基 于 提 供 该 服 务 而 收 费, 除 非 数 据 主 体 的 请 求 明 显 过 量, 超 过 负 担 ( 第 15 条 ) (3) 反 对 权 对 于 两 种 情 形, 数 据 主 体 享 有 绝 对 的 拒 绝 权 : 始 终 有 权 随 时 拒 绝 数 据 控 制 者 基 于 其 合 法 利 益 处 理 个 人 数 据 ; 始 终 有 权 拒 绝 基 于 个 人 数 据 的 市 场 营 销 行 为 条 例 还 引 入 了 限 制 处 理 的 权 利 例 如, 当 数 据 主 体 提 出 投 诉 ( 如 针 对 数 据 的 准 确 性 ) 时, 数 据 主 体 并 不 要 求 删 除 该 数 据, 但 可 以 限 制 数 据 控 制 者 不 再 对 该 数 据 继 续 处 理 ( 第 2 1 条 ) 除 了 以 上 权 利 之 外, 条 例 还 全 面 引 入 了 新 型 的 权 利 类 型, 其 中 最 引 入 注 目 的 是 数 据 可 携 权 ( 第 20 条 ) 被 遗 忘 权 ( 第 17 条 ) 个 人 数 据 可 携 权, 是 指 用 户 可 以 无 障 碍 地 将 其 个 人 数 据 从 一 个 信 息 服 务 提 供 者 处 转 移 至 另 一 个 信 息 服 务 提 供 者 例 如, Facebook 的 用 户 可 以 将 其 账 号 中 的 照 片 以 及 其 他 资 料 转 移 至 其 他 社 交 网 络 服 务 提 供 商 当 然, 该 权 利 不 仅 适 用 于 社 交 网 络 服 2016016-96 2016025-2 2016045-4

FORUM 论 坛 97 务, 还 包 括 云 计 算 网 络 服 务 以 及 手 机 应 用 等 自 动 数 据 处 理 系 统 信 息 控 制 者 不 仅 无 权 干 涉 信 息 主 体 的 此 项 权 利, 还 需 要 配 合 用 户 提 供 数 据 文 本 从 目 前 第 20 条 规 定 来 看, 数 据 可 携 权 适 用 于 数 据 主 体 提 供 给 数 据 控 制 者 的 数 据, 因 此 个 人 的 网 络 行 为 轨 迹 是 否 属 于 该 范 畴, 还 有 待 于 欧 盟 数 据 保 护 委 员 会 做 出 解 释 被 遗 忘 权, 条 例 第 17 条 删 除 权 ( 被 遗 忘 权 ) 共 计 3 款 其 中, 第 1 款 的 核 心 仍 然 是 传 统 个 人 信 息 保 护 法 中 已 经 确 立 的 删 除 权 : 当 用 户 依 法 撤 回 同 意 或 者 数 据 控 制 者 不 再 有 合 法 理 由 继 续 处 理 数 据 时, 用 户 有 权 要 求 删 除 数 据 关 于 被 遗 忘 的 精 神 更 多 体 现 在 第 17 条 第 2 款 : 如 果 数 据 控 制 者 将 符 合 第 1 款 条 件 的 个 人 数 据 进 行 了 公 开 传 播, 应 该 采 取 所 有 合 理 的 方 式 予 以 删 除 ( 包 括 采 取 可 用 的 技 术 手 段 和 投 入 合 理 成 本 ), 数 据 控 制 者 有 责 任 通 知 处 理 此 数 据 的 其 他 数 据 控 制 者, 删 除 关 于 数 据 主 体 主 张 的 个 人 数 据 链 接 复 制 件 也 就 是 说, 数 据 控 制 者 不 仅 要 删 除 自 己 所 控 制 的 数 据, 还 要 求 数 据 控 制 者 负 责 对 其 公 开 传 播 的 数 据, 要 通 知 其 他 第 三 方 停 止 利 用 并 删 除 这 是 对 传 统 删 除 权 的 扩 张 总 体 看 来, 条 例 对 于 数 据 主 体 权 利 的 补 充 完 善, 不 仅 极 大 增 强 了 数 据 主 体 对 于 个 人 数 据 的 控 制 能 力, 也 对 企 业 如 何 保 障 实 现 数 据 主 体 的 权 利 提 出 了 具 体 的 要 求, 对 企 业 的 制 度 建 设 措 施 配 置 业 务 流 程 乃 至 IT 系 统 设 计 产 生 直 接 影 响 7 变 化 6: 严 格 问 责 数 据 控 制 者 条 例 大 大 简 化 了 企 业 日 常 的 合 规 负 担, 特 别 是 废 除 了 目 前 各 成 员 国 关 于 数 据 处 理 及 境 外 转 移 的 许 可 或 者 备 案 程 序 但 是 取 而 代 之 的 是 要 求 企 业 在 内 部 建 立 完 善 的 问 责 机 制, 以 实 现 条 例 规 定 的 真 正 落 地 5 特 别 是, 条 例 旨 在 对 个 人 数 据 处 理 中 的 个 人 权 利 和 自 由 提 供 充 分 的 尊 重 和 保 障, 因 此, 对 于 数 据 控 制 者 和 处 理 者 的 约 束 规 范 十 分 严 格 欧 盟 数 据 保 护 机 构 第 29 条 工 作 组 已 经 将 制 定 相 关 细 则 列 为 了 工 作 优 先 项 6 7.1 DPO 对 于 设 立 地 在 欧 盟 的 机 构 来 说, 以 下 是 必 须 设 立 DPO 的 法 定 情 形 : 政 府 部 门 及 公 共 机 构 作 为 数 据 控 制 者 的 ; 机 构 核 心 业 务 涉 及 以 下 大 规 模 活 动 : 日 常 地 以 及 系 统 性 地 监 控 数 据 主 体 处 理 特 殊 类 型 的 个 人 数 据, 或 者 数 据 处 理 活 动 与 刑 事 定 罪 相 关 DPO 必 须 具 备 数 据 保 护 专 业 知 识 和 技 能, 有 能 力 且 能 独 立 地 履 行 职 责 DPO 的 联 系 方 式 必 须 予 以 公 布, 且 向 监 管 机 构 报 备 集 团 公 司 可 以 指 定 一 位 DPO, 但 前 提 是 DPO 能 够 方 便 地 介 入 公 司 其 他 运 营 地, 处 理 相 关 事 务 此 外 需 要 注 意 的 是, 条 例 允 许 成 员 国 通 过 国 内 立 法 扩 展 必 须 指 定 DPO 的 其 他 情 形 ( 第 37 条 ) 对 适 用 于 条 例, 但 设 立 地 在 国 外 的 机 构 而 言, 其 必 须 在 欧 盟 境 内 指 定 一 个 代 表 ( 机 构 ) 7, 以 作 为 该 机 构 与 数 据 保 护 监 管 机 构 之 间 的 联 系 点 ( 第 27 条 ) 7.2 文 档 化 管 理 文 档 化 管 理 (documentation) 的 目 的 是 做 到 一 举 一 动 都 有 据 可 查 数 据 控 制 者 必 须 全 面 记 载 其 数 据 处 理 活 动, 包 括 数 据 处 理 的 目 的 数 据 的 类 型 数 据 接 收 者 的 类 别 以 及 转 移 至 第 三 国 的 数 据 接 收 者 数 据 保 存 的 时 间 采 取 的 安 全 保 障 措 施 等, 保 留 与 数 据 处 理 者 的 合 同 附 件 5 需 要 说 明 的 是, 尽 管 1995 年 版 指 令 中 提 出 了 数 据 控 制 者 数 据 处 理 者 两 个 主 体 概 念, 但 绝 大 部 分 法 律 要 求 是 面 向 数 据 控 制 者 提 出 的 新 的 条 例 继 承 了 这 两 个 主 体 概 念, 但 是 将 数 据 处 理 者 也 直 接 纳 入 了 规 范 的 范 畴 因 此, 本 部 分 中 关 于 数 据 控 制 者 的 问 责 机 制 同 样 适 用 于 数 据 处 理 者 另, 按 照 新 条 例, 控 制 者 是 指 单 独 或 联 合 其 他 方 决 定 了 数 据 处 理 目 的 和 方 法 的 主 体, 包 括 自 然 人 法 人, 公 共 机 构 等, 机 构 或 者 其 他 实 体 处 理 者 是 指 代 表 数 据 控 制 者 进 行 数 据 处 理 的 主 体, 包 括 自 然 人 法 人 公 共 机 构 等 机 构 或 者 其 他 实 体 ( 第 4(7) 4(8) 条 ) 6 http://ec.europa. eu/justice/dataprotection/ article-29/ documentation/ o p i n i o n - recommendation/ files/2016/ wp236_en.pdf 7 代 表 可 以 是 机 构, 也 可 以 是 个 人, 但 应 当 具 有 处 理 个 人 数 据 保 护 事 宜 的 专 业 能 力 2016045-5

98 BIG DATA RESEARCH 大 数 据 250 人 雇 员 以 下 的 中 小 企 业 可 以 豁 免 该 要 求, 但 是 核 心 业 务 涉 及 大 规 模 的 处 理 个 人 数 据 或 者 敏 感 数 据 以 及 涉 及 违 法 定 罪 数 据 处 理 的 不 能 例 外 文 档 化 管 理 不 仅 是 企 业 内 部 的 管 理 措 施, 而 且 是 数 据 保 护 监 管 机 构 履 行 职 责 的 重 要 抓 手 ( 第 3 0 条 ) 7.3 数 据 保 护 影 响 评 估 对 于 高 风 险 的 数 据 处 理 活 动, 要 事 先 进 行 数 据 保 护 影 响 评 估 (data protection impact assessment,dpia) 条 例 并 没 有 对 高 风 险 进 行 界 定, 但 以 下 情 形, 应 当 事 前 评 估 : 对 个 人 特 征 的 系 统 性 评 价 ( 该 评 价 会 对 数 据 主 体 产 生 法 律 上 的 影 响 ) 对 大 量 敏 感 数 据 的 处 理 以 及 对 公 共 领 域 大 规 模 的 系 统 性 监 控 ( 第 3 5 条 ) 7.4 事 先 协 商 如 果 数 据 保 护 影 响 评 估 的 结 果 显 示 是 高 风 险, 且 数 据 控 制 者 没 有 有 效 降 低 风 险 的 措 施, 数 据 控 制 者 应 当 就 数 据 处 理 活 动 向 相 关 的 数 据 保 护 监 管 机 构 进 行 事 先 协 商 (prior consultation) 监 管 机 构 应 当 在 收 到 协 商 申 请 的 特 定 期 限 内 提 出 处 理 意 见, 并 可 以 采 取 纠 正 措 施 除 此 之 外, 成 员 国 在 制 定 涉 及 数 据 保 护 的 立 法 时, 也 应 当 事 前 征 求 数 据 保 护 监 管 机 构 的 意 见 ( 第 36 条 ) 7.5 数 据 泄 露 报 告 条 例 将 数 据 泄 露 定 义 为 导 致 偶 然 的 或 者 非 法 的 数 据 破 坏 损 失 改 变 非 授 权 的 披 露 等 ( 第 4(12) 条 ) 一 旦 发 生 数 据 泄 露 事 故, 数 据 控 制 者 需 要 及 时 通 知 监 管 机 构, 如 果 可 行, 应 不 超 过 7 2 h, 除 非 该 泄 露 不 可 能 造 成 对 个 人 权 利 和 自 由 的 破 坏, 若 未 在 7 2 h 内 报 告 监 管 机 构, 则 后 续 报 告 应 当 说 明 延 迟 报 告 的 理 由 对 于 数 据 处 理 者 而 言, 其 应 当 在 意 识 到 泄 露 事 故 及 风 险 后 及 时 报 告 数 据 控 制 者 ( 第 3 3 条 ) 数 据 泄 露 报 告 (d a t a b r e a c h notification,dbn) 中 至 少 应 当 包 含 以 下 内 容 : 关 于 数 据 泄 露 事 故 的 描 述, 涉 及 的 数 据 主 体 的 总 量 类 型 以 及 数 据 记 录 的 总 量, 企 业 DPO 的 姓 名 和 联 系 方 式, 泄 露 可 能 造 成 的 结 果, 企 业 已 经 采 取 的 止 损 措 施 数 据 控 制 者 应 当 将 所 有 的 数 据 泄 露 事 故 予 以 文 档 化, 以 便 监 管 机 构 能 够 检 查 其 合 规 工 作 ( 第 3 3 条 ) 如 果 数 据 控 制 者 采 取 了 适 当 的 保 护 措 施, 特 别 是 采 取 的 措 施 ( 如 加 密 ) 使 得 数 据 难 以 被 一 般 人 理 解, 或 者 其 后 续 采 取 的 措 施 能 够 使 威 胁 不 会 成 为 实 际 的 结 果, 则 数 据 控 制 者 可 以 不 必 履 行 数 据 泄 露 报 告 义 务, 但 这 些 证 明 责 任 都 在 数 据 控 制 者 当 然, 数 据 监 管 机 构 可 以 否 决 数 据 控 制 者 做 出 的 风 险 判 断, 强 制 要 求 做 出 报 告 ( 第 3 4 条 ) 依 照 条 例 规 定, 强 制 性 的 数 据 泄 露 报 告 是 没 有 门 槛 的, 因 此 企 业 应 当 为 此 建 立 周 密 的 制 度 安 排, 包 括 数 据 安 全 管 理 流 程 泄 露 事 故 发 现 上 报 预 案 等, 以 符 合 条 例 的 严 格 要 求 7.6 安 全 保 障 措 施 条 例 对 于 安 全 保 障 (security of processing) 措 施 给 予 了 更 具 体 的 规 定, 特 别 强 调 了 以 下 措 施 : 对 个 人 数 据 的 匿 名 化 和 假 名 化 ; 确 保 提 供 持 久 的 机 密 性 完 整 性 可 用 性 和 系 统 可 恢 复 性 的 能 力 ; 在 物 理 或 者 技 术 事 故 下 及 时 回 复 数 据 可 用 性 可 访 问 性 的 能 力 ; 建 立 定 期 测 试 评 估 评 价 技 术 和 管 理 措 施 是 否 有 效 的 体 系 ( 第 32 条 ) 关 于 其 中 对 于 个 人 数 据 匿 名 和 假 名, 2016016-98 2016025-2 2016045-6

FORUM 论 坛 99 条 例 明 显 做 出 了 区 分 假 名 数 据 是 指 在 缺 乏 其 他 信 息 的 前 提 下 ( 且 该 信 息 被 独 立 存 储 ), 不 能 够 被 识 别 指 向 特 定 个 人 的 数 据 假 名 数 据 仍 然 属 于 个 人 数 据, 因 此 适 用 于 个 人 数 据 的 安 全 保 障, 特 别 是 对 于 能 够 将 假 名 数 据 恢 复 身 份 识 别 属 性 的 额 外 信 息 必 须 单 独 安 全 存 储 但 相 比 于 普 通 个 人 数 据, 假 名 数 据 在 遵 循 的 规 范 方 面 要 相 对 宽 松 例 如 假 名 化 以 后, 数 据 控 制 者 可 以 将 数 据 用 于 收 集 该 数 据 时 所 确 定 目 的 之 外 的 其 他 目 的 匿 名 数 据 是 指 已 经 完 全 移 除 了 个 人 可 识 别 信 息 之 后 的 数 据, 该 数 据 不 能 够 再 识 别 出 特 定 个 人 匿 名 数 据 不 再 属 于 个 人 数 据, 不 受 条 例 规 范 8 变 化 7: 严 格 问 责 数 据 处 理 者 对 于 数 据 处 理 者 而 言, 条 例 带 来 了 重 大 变 化 1995 年 版 指 令 主 要 适 用 于 数 据 控 制 者 数 据 处 理 者 主 要 通 过 合 同 的 方 式 承 担 数 据 保 护 责 任 然 而 新 条 例 对 于 数 据 控 制 者 数 据 处 理 者 在 大 多 数 情 况 下 提 出 了 相 同 的 要 求, 例 如 数 据 处 理 者 也 承 担 对 数 据 的 安 全 保 障 义 务, 在 管 理 措 施 技 术 上 采 取 必 要 的 措 施, 包 括 指 定 DPO 在 发 生 数 据 泄 露 事 故 时 及 时 报 告 数 据 控 制 者 等 此 外, 条 例 还 细 致 规 定 了 数 据 控 制 者 和 数 据 处 理 者 之 间 的 合 同 应 当 至 少 包 含 哪 些 内 容, 例 如 数 据 处 理 的 目 的 期 限 个 人 数 据 的 类 型 数 据 主 体 的 类 别 以 及 双 方 的 权 利 业 务 数 据 处 理 者 仅 能 按 照 数 据 控 制 者 书 面 的 要 求 处 理 数 据, 必 须 确 保 其 员 工 能 够 遵 守 有 关 保 密 的 要 求 ; 在 数 据 安 全 数 据 泄 露 数 据 保 护 影 响 评 估 等 方 面 对 数 据 控 制 者 提 供 协 助 如 果 没 有 数 据 控 制 者 的 同 意, 数 据 处 理 者 不 得 二 次 分 包 业 务 ; 数 据 控 制 者 可 以 对 分 包 采 取 概 括 性 授 权, 但 如 果 具 体 的 分 包 商 发 生 了 变 化, 数 据 处 理 者 有 义 务 及 时 告 知 数 据 控 制 者, 后 者 有 权 提 出 反 对 数 据 处 理 者 对 其 分 包 商 的 数 据 处 理 活 动 完 全 负 责, 有 义 务 将 数 据 保 护 的 要 求 施 加 给 二 级 分 包 商 在 数 据 处 理 服 务 终 止 时, 数 据 处 理 者 应 当 删 除 或 者 将 数 据 全 部 返 还 给 数 据 控 制 者, 除 非 根 据 法 律 的 要 求 必 须 保 留 这 些 数 据 数 据 处 理 者 的 违 规 行 为 同 样 将 受 到 条 例 规 定 的 严 格 处 罚, 数 据 监 管 机 构 扩 展 的 监 管 权 力 也 同 时 适 用 于 数 据 处 理 者, 包 括 进 入 数 据 控 制 者 的 工 作 场 所 发 布 警 告 发 布 数 据 处 理 禁 令 等 用 户 个 人 也 有 权 直 接 从 数 据 处 理 者 处 主 张 赔 偿, 当 然 如 果 是 因 为 数 据 控 制 者 的 错 误 指 令, 则 数 据 处 理 者 可 以 再 向 数 据 控 制 者 索 赔 ( 第 2 8 条 ) 新 规 中 对 数 据 处 理 者 构 建 的 一 系 列 规 范 要 求, 将 对 当 前 的 云 计 算 生 态 体 系 带 来 重 大 影 响 按 照 新 规, 数 据 控 制 者 和 数 据 处 理 者 之 间 的 合 同 在 很 多 情 形 下 需 要 重 新 谈 判 达 成 特 别 是 由 于 条 例 使 数 据 处 理 者 大 大 增 加 了 合 规 风 险, 二 者 合 同 中 关 于 安 全 保 障 措 施 风 险 管 理 以 及 服 务 的 价 格 都 会 受 到 影 响 9 变 化 8: 完 善 跨 境 数 据 流 动 机 制 关 于 跨 境 数 据 流 动 的 限 制 是 在 1995 年 版 指 令 中 提 出 的, 欧 盟 公 民 的 个 人 数 据 仅 能 转 移 到 与 欧 盟 同 等 保 护 水 平 的 国 家 在 实 践 中, 部 分 成 员 国 针 对 跨 境 数 据 流 动 增 加 了 事 前 的 备 案 或 者 许 可 要 求 新 条 例 明 确 禁 止 了 这 种 增 设 许 可 的 做 法, 只 要 符 合 条 例 中 跨 境 数 据 流 动 的 条 件, 则 成 员 国 不 得 再 予 以 限 制 在 此 基 础 上, 条 例 还 进 一 步 完 善 了 数 据 转 移 合 法 机 制 (1) 充 分 性 决 定 相 比 于 1 9 9 5 年 版 指 令, 欧 盟 委 员 会 除 了 可 以 对 国 家 作 出 评 估 外, 还 可 以 对 一 国 内 的 特 定 地 区 行 业 领 域 以 及 国 际 组 织 的 2016045-7

100 BIG DATA RESEARCH 大 数 据 8 加 拿 大 于 2002 年 阿 根 廷 于 2003 年 瑞 士 于 2004 年 安 道 尔 共 和 国 于 2010 年 以 色 列 于 2011 年 新 西 兰 于 2013 年 英 国 马 恩 岛 于 2004 年 美 国 新 泽 西 州 于 2008 年 丹 麦 法 罗 群 岛 于 2010 年 通 过 充 分 性 决 定 9 https://www. huntonprivacyblog. com/2016/04/12/ hunton-releases- 2016-eu-generaldata-protectionregulation-guide -for-in-houselawyers/ 保 护 水 平 作 出 评 估 判 断 这 进 一 步 增 加 了 通 过 充 分 性 决 定 (adequate decision) 的 灵 活 性 毕 竟 自 19 9 5 年 版 指 令 实 施 以 来, 通 过 充 分 性 决 定 的 国 家 及 地 区 还 不 超 过 10 个 8 条 例 对 欧 盟 委 员 会 做 出 充 分 性 决 定 的 程 序 和 标 准 也 进 行 了 进 一 步 详 细 规 范, 包 括 要 求 至 少 每 隔 4 年 对 充 分 性 决 定 进 行 重 新 审 查 ( 第 4 5 条 ) (2) 有 约 束 的 公 司 规 则 有 约 束 的 公 司 规 则 (binding corporate rules,bcr) 最 早 由 欧 盟 第 29 条 工 作 组 发 展 而 来, 初 衷 是 让 跨 国 公 司 或 者 公 司 集 团 能 够 在 公 司 内 部 进 行 跨 境 的 数 据 转 移, 是 欧 盟 委 员 会 提 出 的 标 准 化 格 式 合 同 的 一 个 替 代 选 择 在 1995 年 版 指 令 框 架 下, 大 约 有 2/3 的 欧 盟 成 员 国 认 可 BCR 但 是 取 得 成 员 国 监 管 机 构 对 于 BCR 的 认 可 需 要 经 历 冗 长 的 批 准 程 序 (18~24 个 月 不 等 ) 此 次 条 例 对 BCR 给 予 了 正 式 的 法 律 地 位, 并 详 细 规 定 了 BCR 获 得 认 可 的 程 序 和 内 容 标 准 ( 第 47 条 ) (3) 标 准 合 同 条 款 目 前 欧 盟 委 员 会 通 过 的 3 个 标 准 合 同 条 款 (standard contractual clauses) 仍 然 有 效 条 例 增 加 了 成 员 国 数 据 监 管 机 构 可 以 指 定 标 准 合 同 条 款 的 渠 道, 但 必 须 要 经 过 欧 盟 委 员 会 的 认 可 ( 第 63 条 ) (4) 经 批 准 的 行 为 准 则 数 据 控 制 者 可 以 成 立 协 会 并 提 出 遵 守 条 例 的 详 细 行 为 准 则 (codes of conduct) 该 行 为 准 则 可 以 由 成 员 国 监 管 机 构 或 者 欧 盟 数 据 保 护 委 员 会 批 准, 并 通 过 有 约 束 力 的 承 诺 方 式 生 效 这 种 情 形 主 要 针 对 不 适 用 于 条 例 但 从 欧 盟 接 收 数 据 的 主 体 ( 第 4 6 条 ) (5) 经 批 准 的 认 证 机 制 封 印 或 者 标 识 经 批 准 的 认 证 机 制 封 印 或 者 标 识 ( approved certification mechanism,seal or mark) 主 要 适 用 于 公 共 机 构 之 间 的 数 据 转 移 活 动 行 为 准 则 与 认 证 机 制 是 条 例 中 引 入 的 新 型 合 规 机 制, 以 最 大 化 发 挥 第 三 方 监 督 与 市 场 自 律 作 用 10 变 化 9: 对 数 据 画 像 活 动 的 特 别 规 制 根 据 条 例 界 定, 数 据 画 像 (profiling) 概 念 外 延 广 泛, 它 是 指 : 任 何 通 过 自 动 化 方 式 处 理 个 人 数 据 的 活 动, 该 活 动 服 务 于 评 估 个 人 的 特 定 方 面, 或 者 专 门 分 析 及 预 测 个 人 的 特 定 方 面, 包 括 工 作 表 现 经 济 状 况 位 置 健 康 状 况 个 人 偏 好 可 信 赖 度 或 者 行 为 表 现 等 这 一 概 念 被 普 遍 认 为 能 够 覆 盖 目 前 大 多 数 利 用 个 人 数 据 的 大 数 据 分 析 活 动, 如 对 个 人 偏 好 的 分 析, 可 涵 盖 市 场 中 最 普 遍 的 大 数 据 分 析 市 场 营 销 活 动 画 像 活 动 如 果 对 用 户 个 人 产 生 法 律 上 的 影 响 或 者 其 他 重 大 影 响, 仅 仅 在 符 合 以 下 条 件 之 一 时 才 是 合 法 的 :1 数 据 主 体 明 确 同 意 ;2 欧 盟 或 者 成 员 国 法 的 明 确 授 权 ; 3 数 据 主 体 和 数 据 控 制 者 之 间 签 订 执 行 合 同 所 必 需 ( 第 22 条 ) 考 虑 到 23 仅 仅 是 个 别 情 形, 因 此, 实 践 中 绝 大 部 分 的 数 据 画 像 的 合 法 基 础 是 用 户 明 确 同 意 而 根 据 条 例 对 于 同 意 的 高 标 准 要 求, 业 内 专 家 认 为, 获 得 用 户 在 数 据 画 像 方 面 的 同 意 将 是 难 以 操 作 的, 这 将 对 大 数 据 背 景 下 的 分 析 营 销 活 动 带 来 极 大 的 负 面 影 响 9 在 数 据 画 像 活 动 中, 获 得 用 户 合 法 有 效 的 同 意, 首 先 应 当 向 数 据 主 体 全 面 介 绍 数 据 画 像 处 理 活 动 是 怎 么 进 行 的, 收 集 了 用 户 的 哪 些 数 据, 算 法 的 基 本 原 理 是 什 么, 评 估 结 果 是 否 会 对 用 户 产 生 法 律 上 的 影 响 其 次, 应 当 明 确 告 知 用 户 其 享 有 对 画 像 的 反 对 权 此 类 信 息 应 当 明 确 无 误 地 表 达, 并 使 用 足 够 引 起 用 户 注 意 的 范 式, 独 立 于 其 他 信 息 ( 第 13.2 21 条 ) 此 外, 基 于 个 人 敏 感 数 据 的 数 据 画 像 2016016-100 2016025-2 2016045-8

FORUM 论 坛 101 活 动 是 被 禁 止 的, 除 非 数 据 主 体 出 于 一 个 或 者 多 个 特 定 的 目 的, 被 给 予 了 明 确 的 同 意, 但 是 成 员 国 可 以 通 过 立 法 明 确 规 定 即 使 在 用 户 同 意 的 情 况 下, 也 禁 止 基 于 敏 感 数 据 的 画 像 活 动 ; 或 者 该 数 据 画 像 活 动 对 于 重 大 的 公 共 利 益 是 必 需 的 ( 第 22 条 ) 因 此, 对 于 依 赖 于 数 据 画 像 ( 包 括 利 用 cookie 等 跟 踪 工 具 开 展 行 为 精 准 营 销 ) 的 企 业 来 说, 如 何 设 计 一 套 有 效 的 机 制, 既 能 够 符 合 条 例 有 关 透 明 性 和 用 户 同 意 的 要 求, 同 时 也 能 使 得 数 据 分 析 活 动 得 以 继 续, 是 当 前 的 一 道 难 题 11 变 化 10: 监 管 权 力 处 罚 与 司 法 救 济 2 处 以 2 000 万 欧 元 或 者 企 业 上 一 年 度 全 球 营 业 收 入 的 4 % 的 罚 款, 两 者 取 其 高 此 类 处 罚 针 对 的 违 法 行 为 包 括 : 无 法 说 明 如 何 获 得 用 户 的 同 意, 违 反 数 据 处 理 的 一 般 性 原 则, 侵 害 数 据 主 体 的 合 法 权 利 以 及 拒 绝 服 从 监 管 机 构 的 执 法 命 令 等 ( 第 83 条 ) 司 法 救 济 对 于 不 服 监 管 机 构 作 出 的 决 定 或 者 针 对 监 管 机 构 的 不 作 为, 当 事 主 体 可 寻 求 司 法 救 济 其 中, 数 据 主 体 可 以 通 过 司 法 途 径 向 数 据 控 制 者 数 据 处 理 者 主 张 因 其 违 反 条 例 而 致 使 数 据 主 体 遭 受 物 质 上 或 者 非 物 质 上 的 损 害 如 果 一 个 以 上 的 数 据 控 制 者 处 理 者 涉 及 侵 权, 则 共 同 承 担 连 带 责 任, 除 非 其 能 证 明 对 损 害 的 产 生 没 有 责 任 上 述 司 法 救 济 的 权 利 可 以 由 消 费 者 机 构 代 表 数 据 主 体 行 使 ( 第 2 6 8 0 8 2 条 ) 条 例 增 强 了 监 管 机 构 的 执 法 权, 包 括 : 通 知 数 据 控 制 者 处 理 者 相 关 违 反 行 为 ; 要 求 违 法 者 提 供 相 关 信 息, 或 者 向 监 管 机 构 提 供 访 问 此 类 信 息 的 接 口 ; 现 场 调 查 审 计 ; 命 令 修 改 删 除 或 者 销 毁 个 人 数 据 ; 可 以 采 取 临 时 性 的 或 者 限 定 性 的 数 据 处 理 禁 令 ; 科 以 罚 金 ( 第 5 8 条 ) 条 例 规 定 了 严 苛 的 罚 金, 分 为 两 档 :1 处 以 1 000 万 欧 元 或 者 上 一 年 度 全 球 营 收 的 2% 的 罚 款, 两 者 取 其 高 针 对 的 违 法 行 为 包 括 : 没 有 实 施 充 分 的 IT 安 全 保 障 措 施, 或 者 没 有 提 供 全 面 的 透 明 的 隐 私 政 策, 没 有 签 订 书 面 的 数 据 处 理 协 议 等 ; 12 结 束 语 从 1995 年 版 指 令 的 34 个 简 单 条 文 扩 展 到 9 9 条 ( 2 6 3 页 ) 的 详 细 规 范, 条 例 带 来 了 全 面 制 度 改 革, 其 核 心 目 标 是 将 个 人 数 据 保 护 深 度 嵌 入 组 织 运 营, 真 正 将 抽 象 的 保 护 理 论 转 化 为 实 实 在 在 的 行 为 实 践 对 于 企 业 而 言, 小 至 隐 私 政 策 业 务 流 程, 大 到 IT 系 统 战 略 布 局, 无 一 不 需 要 重 新 审 视 规 划 当 下 着 手 的 准 备 工 作, 决 定 了 企 业 能 否 有 底 气 在 2 年 之 后 站 立 在 数 字 时 代 新 的 起 跑 线 上 作 者 简 介 王 融 (1979-), 女, 中 国 信 息 通 信 研 究 院 互 联 网 法 律 中 心 副 主 任 高 级 工 程 师, 主 要 从 事 电 信 互 联 网 立 法 与 监 管 政 策 研 究 工 作 代 表 著 作 : 电 信 法 融 合 背 景 下 的 中 欧 电 信 管 制 比 较 研 究 个 人 信 息 保 护 法 研 究 主 要 研 究 方 向 为 个 人 信 息 保 护 法 网 络 信 息 安 全 法 发 表 文 章 30 余 篇 负 责 及 参 与 中 央 网 络 安 全 和 信 息 化 领 导 小 组 办 公 室 工 业 与 信 息 化 部 中 欧 信 息 社 会 等 委 托 研 究 项 目, 参 与 国 家 电 子 商 务 法 网 络 安 全 法 及 工 业 和 信 息 化 部 部 门 规 章 立 法 工 作 收 稿 日 期 :2016-06-20 2016045-9