登录
EN

数据保护和安全条例

2023-01-28

什么是《通用数据保护条例》(GDPR)?

《通用数据保护条例》或许是迄今为止最全面的数据隐私标准,它对处理欧盟公民个人数据的机构提出了重大挑战——无论机构的总部设在何处。

欧盟的《通用数据保护条例》(GDPR)于20185月生效,旨在提高个人数据保护水平并增加机构对数据泄露所应承担的责任。GDPR的潜在罚款可能高达(机构)全球收入的4%2000万欧元(以较高者为准)。无论你的机构位于何处,如果它处理或控制欧盟居民的个人数据,它就必须遵守GDPR,否则将面临巨额罚款以及把数据泄露情况通知受影响方的要求。

GDPR内容广泛,包括以下章节和条款:

1章:总则

1条:主题和目标

2条:实质范围

3条:领土范围

4条:定义

2章:原则

5条:与个人数据处理相关的原则

6条:处理的合法性

7条:同意条件

8条:适用于儿童同意信息社会服务的条件

9条:特殊类别个人数据的处理

10条:与刑事定罪和违法行为相关的数据的处理

11条:不需要身份证明的处理

3章:数据主体的权利

1节:透明度和方式

12条:透明的信息、沟通和行使数据主体权利的方式

2节:信息和数据访问

13条:从数据主体收集个人数据时应提供的信息

14条:未从数据主体处获得个人数据时应提供的信息

15条:数据主体的访问权

3节:纠正和撤销

16条:纠正权

17条:撤销权(“被遗忘权”)

18条:限制处理权

19条:关于纠正或撤销个人数据或限制处理的通知义务

20条:数据携带权

4节:反对权和自动个人决定

21条:反对权

22条:自动个人决定,包括扼要描述

5节:限制

23条:限制

4章:控制者和处理者

1节:一般义务

24条:控制者的责任

25条:设计和默认的数据保护

26条:联合控制人

27条:未在欧盟设立的控制者代表

28条:处理者

29条:在控制者或处理者授权下进行处理

30条:处理活动记录

31条:与监管机构合作

2节:个人数据的安全

32条:处理安全

33条:通知监管机构个人数据泄露情况

34条:将个人数据泄露情况通知数据主体

3节:数据保护影响评价和事先协商

35条:数据保护影响评价

36条:事先协商

4节:数据保护官

37条:数据保护官的任命

38条:数据保护官的职位

39条:数据保护官的任务

5节:行为准则和认证

40条:行为准则

41条:监督已批准的行为准则

42条:认证

43条:认证机构

5章:向国际组织第三国转移个人数据

44条:转移的一般原则

45条:转移要依据有充分理由的决定

46条:转移要受适当保护

47条:有约束力的公司规则

48条:未经欧盟法律授权的转让或披露

49条:针对特定情况的克减

50条:保护个人数据的国际合作

6章:独立监管机构

1节:独立地位

51条:监管机构

52条:独立性

53条:监管机构成员的一般条件

54条:监管机构的设立规则

2节:权限、任务和权力

55条:权限

56条:牵头监管机构的权限

57条:任务

58条:权力

59条:活动报告

7章:合作与一致性

1节:合作

60条:牵头监管机构与其他相关监管机构的合作

61条:互助

62条:多家监管机构的联合运作

2节:一致行动

63条:一致行动机制

64条:委员会的意见

65条:委员会争议的解决

66条:紧急规程

67条:信息交换

3节:欧洲数据保护委员会

68条:欧洲数据保护委员会

69条:独立性

70条:委员会的任务

71条:报告

72条:规程

73条:主席

74条:主席的任务

75条:秘书处

76条:保密

8章:救济、担责和制裁

77条:向监管机构投诉的权利

78条:针对监管机构提出获得有效司法救济的权利

79条:针对控制者或处理者提出获得有效司法救济的权利

80条:数据主体的代表

81条:中止程序

82条:赔偿和担责的权利

83条:行政罚款的一般条件

84条:处罚

9章:与特定数据处理情况相关的规定

85条:处理和言论及信息自由

86条:官方文件的处理和对外公开

87条:国民身份证号码的处理

88条:涉及受雇情况的处理

89条:与出于公共利益、科学或历史研究目的或统计目的的存档处理相关的保护和克减

90条:保密义务

91条:教会和宗教协会的现行数据保护规则

10章:委托行为和实施行为

92条:委托的履行

93条:委员会规程

11章:最终规定

94条:废除第95/46/EC号指示令

95条:与第2002/58/EC号指示令的关系

96条:与先前达成的协议的关系

97条:委员会的报告

98条:其他欧盟数据保护法案综述

99条:生效和落实

第34条的重要规定

条例第34条详细说明了机构必须采取什么措施来避免出现不得不把数据泄露事件通知数据主体的情况。

1.        当个人数据的泄露可能会对自然人的权利和自由造成高风险时,控制者应及时将个人数据泄露的情况通知数据主体。

2.        给本条第1款所述数据主体的通知应该用清晰明了的语言说明个人数据泄露的性质……。

3.        符合以下任何条件的,无需通知第1款所述数据主体:

1.      控制者早已采取了适当的技术和机构保护措施,并且把这些措施落实到个人数据泄露事件所涉个人数据上,尤其采取了那些可使未经授权访问个人数据的任何人都无法辨识个人数据的措施,例如加密;

2.      控制者已采取后续补救措施,确保第1款所述数据主体的权利和自由面临的高风险不再可能成为现实;

3.      所付出的努力与结果不成比例,这时,应该公开披露所发生的事件,使数据主体通过这种同样有效的渠道了解情况。

什么是假名化?

假名化通常与欧盟的《通用数据保护条例》(GDPR)相关,该条例要求通过假名化保护个人可识别信息(PII)。根据GDPR4条“定义”:

“假名化”是指以这样一种方式处理个人数据,即若不使用附加信息,个人数据不能再归属于特定数据主体,但前提是这些附加信息单独保存并受技术和管理措施约束,以确保个人数据不属于已识别或可识别的自然人。

该条例还定义了“个人数据”和“数据主体”:

“个人数据”是指与已识别或可识别的自然人(即“数据主体”)相关的任何信息;可识别的自然人是指可以直接或间接识别的自然人,特别是可以借助姓名、身份证件号、位置数据、网名等标识符,或一个人特有的一个或多个身体、生理、遗传、精神、经济、文化或社会身份因素直接或间接识别的自然人。