王 翔

杭州天翼智慧城市科技有限公司，浙江 杭州 310012

一、出台背景

《通用数据保护条例(General Data Protection Regulations)》(“GDPR”)由欧盟议会于2016年4月14日通过，2018年5月25日正式生效实施。

为规范数据收集使用行为，维护自然人个人数据保护的基本权利，GDPR在适用范围、数据使用、数据主体权利、数据控制者和处理者责任义务、数据监管，以及法律责任等方面作了详细的规定。

二、主要内容

(一)GDPR适用范围广

1.GDPR扩大了“个人数据”的范围，即与确定的或可识别的自然人相关的任何信息。

2.在欧盟内设立的控制者或处理者对个人数据的处理，无论其处理行为是否发生在欧盟内，适用GDPR。

3.对欧盟内数据主体的个人数据处理，即使控制者和处理者没有设立在欧盟内，也适用GDPR。

4.设立在欧盟外，但依据国际公法可适用欧盟成员国法律的，同样适用GDPR。

(二)严格界定数据处理合法理由

GDPR规定了6条处理数据的合法理由，如获得数据主体同意、为履行数据主体参与的合同必要、为控制者或者第三方追求合法利益必要等。

(三)赋予数据主体更多权利

数据主体享有知情权、数据访问权、纠正权、被遗忘权、限制处理权等诸多权利。

(四)严格规范控制者义务

GDPR严格规范控制者数据处理行为，要求控制者：

1.具备数据保障措施，防范安全风险。如：进行个人数据匿名化和加密措施等。

2.记录处理活动，做到有据可查。GDPR要求控制者全面记载处理活动，记录内容要求包含数据处理目的、数据主体类别、个人数据的分类描述、数据接收者类别等内容。……