史上最严的个人数据保护条例来了!欧盟GDPR合规指引

《史上最严的个人数据保护条例来了!欧盟GDPR合规指引》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、序言如何把握欧盟的《通用数据保护条例》（GDPR）？如果不拘泥于具体条文的话，我总觉得答案其实就蕴含于这座烧毁断残的雕像之中。这座雕像位于荷兰乌特勒支大学学术大厅的走廊。保留至今为的是纪念二战期间五名荷兰学生的英雄之举。1942年12月12日深夜，GijsdenBesten、FritsLordens、GeertLubberhuizen、AnneMaclainePont和RutgerMarthijsen潜入这座雕像背后的学生管理部，将大学当时保存的学生档案一把火全部烧毁，避免了当时占领荷兰的德国纳粹通过详尽的学生档案锁定并杀害犹太学生。“即便在最

2、黑暗的时刻，我们仍然知道存在着永恒的原则”（Indezwartsteurenblevenwijweten,datereeuwigebeginselenzijn）。乌特勒支大学教授dr.P.C.A.Geyl这句总结，连同焦黑断裂的雕像，给每个驻足探究的人，包括当时即将博士论文答辩的我，深深的震撼和思考。如果德国纳粹掌握了这些学生档案（其实就是学生的个人数据），会有多少人将因此而丧生；但当时欧洲范围内又有多少人像乌特勒支大学中的犹太学生那般幸运，能够有机会销毁自己的个人数据……二战血和泪的经历显然在欧洲人的心中刻下了一个教训：人人都应当享有个人数据

3、受保护这项基本人权；个人数据泄露或滥用所造成的危害，绝非财产上的损失，而是事关个人的尊严和人格，乃至生命。就此，我们不难理解GDPR这样严格的个人数据处理活动法律框架，为什么会诞生于欧洲。从本质上来说，GDPR代表了欧盟所作出的价值判断：个人数据无论是为政府还是企业所掌握，难免出错；GDPR不仅是为了最大程度降低“重蹈覆辙”的风险，更是面对未来科技迅猛发展的基本立场——人是科技的主人，科技应当在尊重人类福祉的框架中发展进步。沿着这样的脉络，我们就能掌握GDPR所设立的基本原则和具体的制度设计，例如开展个人数据处理活动首先需要一个合法性基础；对处

4、理活动非常高的透明性和文档化要求：事先明确数据处理的目的；仅能收集目的所需的最小化的个人数据；个人数据的存储不应超过实现目的所必需的时间；开展高风险的个人数据处理活动前应当开展影响评估；产品或服务在开发设计阶段就应落实数据保护的要求；对违法处理活动施加高额的罚款等等。除了“不信任”对开展个人数据处理活动的组织，GDPR还赋予了个人在个人数据方面的前所未有权利。在经典的查询、更正、删除权利的基础上，个人还拥有更强的反对、免受系统完全自动化决定的权利，以及崭新的被遗忘权、限制处理权和数据可携带权。在这些权利的“武装”之下，个人不再是被动地“受制于”

5、控制其数据的组织，而能及时、简便、深入地参与、介入，甚至于干预组织所开展的数据处理活动。除非有法定事由等少许例外情形，组织无法将个人拒之门外。一边给开展个人数据处理活动的组织带上了沉重的“镣铐”，一边大幅度给个人赋权，GDPR通过上述“双保险”，以管控个人数据处理活动对个人合法权益可能带来的负面风险。这样的设计是欧盟国家集体作出的抉择，是欧盟价值观的逻辑展开。反观中国，个人信息保护法的立法工作已经吹响了号角。我们与欧洲有着不同的历史和传统，处于不同的发展阶段，形成了不同的政治、社会和经济结构。显然，中国无需追随欧盟的步伐，但这并不意味着将GDP

6、R“掰开揉碎”搞清楚没有意义。至少，GDPR针对普适性问题提出的解决方案，我们可以批判、借鉴，并在此基础上创新。本着这样的根本目的，同时为满足在欧盟运营的我国企业的实际需求，一群来自于高校、政府智库、企业、律所等方面的专家在中国信息通信研究院安全研究所提供的平台上齐聚一堂，根据自己的研究和实践经验，并经过长达半年的准备、讨论、撰写、修改、审校，集体创作出这份《GDPR合规指引》。这份指引共分四章，分别包括GDPR概述、合规体系、疑难点及合规建议，以及GDPR与我国法律的比较及冲突应对。我们希望能为有合规需求的企业指明方向，更希望能为关心个人信息

7、保护的同仁提供一份针对GDPR准确、客观、扎实的介绍，进而为我国开展个人信息保护工作贡献绵薄之力。目录一、GDPR概述1（一）GDPR立法背景及进程1（二）GDPR制度要点概述1（三）GDPR执法行动及评估5二、GDPR合规体系11（一）风险评估11（二）组织架构保障17（三）合规体系设立与执行21（四）合规培训及宣讲29（五）合规体系执行的监督和审计31三、GDPR疑难点及合规建议34（一）GDPR的域外适用34（二）个人数据的范围34（三）如何理解数据处理的6个合法事由？35（四）如何理解数据主体的几个权利？37（五）数据控制者和数据处理者

8、的区别38（六）数据控制者和数据处理者的责任39（七）个人数据出境的合法事由42（八）主监管机构的理解42四、GDPR与我国法律的比较及冲突应对45（