满足GDPR的要求，企业到底需要重点了解哪些信息？.doc

《满足GDPR的要求，企业到底需要重点了解哪些信息？.doc》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、满足GDPR的要求，企业到底需要重点了解哪些信息？　　5月29日讯欧盟《通用数据保护条列》（简称GDPR）于2018年5月25日正式生效。英国一份政府调研显示，只有38%的英国公司在GDPR生效前100天才开始关注该条例，许多美国公司也一样。　　　　按照GDPR的规定，企业违规可能会面临高达2000万欧元（约合人民币1.28亿元）或企业全球年收入的4%的罚款（取两者中最高的）。除了高额罚款，欧盟数据保护机构（DPA）可在必要时采取纠正处罚，例如禁止处理数据，并对常见的数据处理活动实施临时/确定性限制。因此，想要在欧洲市场立足的企业

2、除了努力满足合规外别无他法。　　满足GDPR的要求，企业到底需要重点了解哪些信息？　　不少组织发现保障合规性远比预期的要复杂。市场调查公司PropellerInsights的一项调查显示，52%的受访企业认为将面临违规罚款。不过，只要小型企业在实施GDPR最佳实践方面做出显而易见实际努力，监管机构就可能会”宽大处理”。不过，尽管如此，仍免不了高额罚款。因此，满足GDPR的合规性可谓任重道远。　　一、数据控制者&数字处理者　　按照GDPR第4条的第（7）点和第（8）点，数据控制者是能单独或联合决定个人数据的处理目的和方式的自然人、法

3、人、公共机构、行政机关或其他非法人组织，负责决定处理个人数据的目的和方式，不过具体标准应以欧盟或其成员国的法律予以规定；数字处理者指为数据控制者处理个人数据的自然人、法人、公共机构、行政机关或其他非法人组织。但是，有时难以确定某个实体到底属于数据控制者还是处理者。　　　　谷歌的复杂身份特例：　　当涉及包括AdMob、AdSense、AdWords、AdX和DFP在内的热门广告产品时，谷歌就是一个数据控制者；　　当涉及使用GoogleAnalytics、Googleattributionoffering、AdsDataHub和Dou

4、bleClickBidManager等工具的消费者时，谷歌则是数据处理者；　　对于使用谷歌广告产品的广告发布商而言，谷歌仍是其收集数据的共同控制者，但是这些发布商收集数据必须征得用户同意。　　二、个人数据及数据保护原则　　根据GDPR的定义，是指任何指向一个已识别或可识别的自然人（“数据主体”）的信息。GDPR拓宽了个人数据的范围。按照GDPR界定的范围，个人数据也包括数字指纹（例如IP地址和Cookie）。除此之外，基因或生物识别数据也包含在“敏感数据”的范畴之内。　　GDPR明确提到个人敏感数据应受到高度保护，这些数据包含：个

5、人的种族和族裔出身、政治观点、宗教和哲学信仰、工会成员、基因数据、生物识别数据、健康数据、性生活或性取向信息以及犯罪记录信息。而医疗机构通常须满足更高标准的数据保护要求。　　　　按照GDPR第5条（Art.5）的规定，个人数据必须：　　（a）以合法、公正、透明的方式处理与数据主体有关的（“合法性、公平性和透明性”）；　　（b）为特定的、明确的、合法的目的收集，并且不符合以上目的不得以一定的方式进行进一步的处理；为公共利益、科学，或历史研究目的，或统计目的而进一步处理，按照第89条第（1）款，不应被视为不符合初始目的（“目的限制”）

6、；　　（c）充分、相关以及以该个人数据处理目的之必要为限度进行处理（“数据最小化”）；　　（d）准确，必要，及时；为了个人数据被毫不延迟地处理、删除或修正的目的，必须采取一切合理的步骤确保个人数据是不精确的（“精度”）；　　（e）在不超过个人数据处理目的之必要的情形下，允许以数据主体以可识别的形式保存；为了保护数据主体的权利和自由，依据第89条（1）予以实施本法所要求的适度的技术和组织措施，只要个人数据将仅仅以为达到公共利益、科学或历史研究或统计的目的而处理，个人数据能被长时间存储（“存储限制”）；　　（f）以确保个人数据适度安全

7、的方式处理，包括使用适当的技术或组织措施来对抗未经授权、非法的处理、意外遗失、灭失或损毁的保护措施（“完整性和机密性”）。　　　　三、何时处理个人数据合法？　　按照GDPR第6条的规定，处理个人数据须遵守以下六项法律依据：　　1、数据主体同意他或她的个人数据为一个或多个特定目而处理；　　2、处理是为履行数据主体参与的合同之必要，亦或处理是因数据主体在签订合同前的请求而采取的措施；　　3、处理是为履行控制者所服从的法律义务之必要；　　4、处理是为了保护数据主体或另一个自然人的切身利益之必要；　　5、处理是为了执行公共利益领域的任务或

8、行使控制者既定的公务职权之必要；　　6、处理是控制者或者第三方为了追求合法利益的之必要，但此利益被要求保护个人数据的数据主体的利益或基本权利以及自由覆盖的除外，尤其是数据主体为儿童的情形下。（注：此项不适用于政府当局在履行其职责时进行的处理）　　事