GDPR

GDPR 2

GDPR 介绍

一、什么是 GDPR

GDPR——General Data Protection Regulation，即《通用数据保护条例》——是欧盟于 2016 年 4 月通过、2018 年 5 月 25 日正式生效的数据保护法律，正式编号为 Regulation (EU) 2016/679。

GDPR 取代了 1995 年的《数据保护指令》（95/46/EC），是当今全球最具影响力的数据保护法律，被誉为”数据保护的黄金标准”。许多国家的数据保护立法（包括中国《个人信息保护法》、巴西 LGPD、加州 CPRA 等）均以 GDPR 为蓝本。

核心目标：

  • 保护自然人的个人数据与隐私权

  • 统一欧盟成员国的数据保护规则

  • 强化数据主体的控制权

  • 增强企业的责任与透明度

二、适用范围

属地与属人原则（域外效力）

GDPR 的适用范围远超欧盟领土：

1. 在欧盟设立的组织无论数据处理在何处进行，只要组织在欧盟设有机构。

2. 欧盟境外的组织——满足以下任一即适用：

  • 向欧盟居民提供商品或服务（无论是否收费）

  • 监测欧盟居民的行为（如网站追踪、定向广告）

对中国企业意味着：只要有欧盟用户、客户、员工，或网站针对欧盟市场，即使在中国境内运营也直接受 GDPR 管辖。

适用对象

角色 定义 责任
数据控制者（Controller） 决定处理目的与方式的实体 主要责任方
数据处理者（Processor） 代表控制者处理数据 辅助责任
数据主体（Data Subject） 个人数据所属个人 权利持有人

三、核心概念

什么是”个人数据”

任何可识别自然人的信息均属个人数据，包括：

  • 直接标识：姓名、身份证号、护照号

  • 联系信息：电话、邮箱、地址

  • 在线标识：IP 地址、Cookie ID、设备 ID、用户名

  • 位置数据：GPS、定位记录

  • 生物识别：指纹、人脸、虹膜

  • 经济信息：账户、消费记录

  • 健康数据

  • 行为数据：浏览历史、点击记录

特殊类别数据（敏感数据）

GDPR 第 9 条对以下数据严格保护，原则上禁止处理：

  • 种族或民族

  • 政治观点

  • 宗教或哲学信仰

  • 工会成员资格

  • 基因数据

  • 生物识别数据

  • 健康数据

  • 性生活或性取向

仅在明示同意或法定例外情形下可处理。

四、七大基本原则（GDPR 第 5 条）

原则 含义
1. 合法、公平、透明 处理必须有法律依据，方式公平，对数据主体透明
2. 目的限制 只能用于明示、特定、合法的目的
3. 数据最小化 只收集必要数据，不可”先收集再说”
4. 准确性 保持准确、及时更新，错误数据须更正
5. 存储限制 超过必要期限须删除或匿名化
6. 完整性与保密性 适当安全措施防止泄露、丢失、未授权访问
7. 问责制（Accountability） 控制者须能够证明已遵守上述原则——这是 GDPR 的核心特征

关键变化：与之前法律相比，GDPR 强调”能证明合规“——不仅要做到，还要有文档与证据。

五、六项合法处理依据（GDPR 第 6 条）

处理个人数据必须有以下至少一项法律依据：

依据 适用场景
同意（Consent） 用户明示同意，需可撤回
合同必要 履行与数据主体的合同（如订单配送）
法定义务 遵守法律要求（如税务记录）
重大利益 保护生命安全
公共利益 公共职责执行
合法利益 控制者或第三方的合法利益，需平衡测试

同意的有效性要求：必须是自由、特定、知情、明示的——预先勾选、捆绑同意、不平等条款均无效。

六、数据主体的八项权利

GDPR 赋予数据主体强大的控制权：

权利 内容 响应时限
1. 知情权 在收集时被告知处理目的、方式等 即时
2. 访问权 获取被处理数据的副本 1 个月
3. 更正权 要求纠正不准确数据 1 个月
4. 删除权 / 被遗忘权 在特定情形下要求删除数据 1 个月
5. 限制处理权 暂停数据处理 1 个月
6. 数据可携权 以机器可读格式导出并迁移数据 1 个月
7. 反对权 反对基于合法利益或直接营销的处理 即时停止营销
8. 自动化决策反对权 反对仅靠自动化做出的重大决策（如 AI 评分） 即时

响应要求：

  • 通常 1 个月内回应

  • 复杂情形可延长至 3 个月（须说明理由）

  • 原则上免费（明显无依据或过度的可收费或拒绝）

七、企业核心义务

1. 隐私设计与默认（Privacy by Design & Default，第 25 条）

  • 设计阶段就嵌入隐私保护

  • 默认设置即为最隐私友好状态

  • 例：默认关闭精准定位、默认最小数据收集、默认匿名化

2. 数据处理活动记录（ROPA，第 30 条）

员工 ≥250 人或处理活动有风险时强制：

  • 处理目的与法律依据

  • 数据类别与数据主体类别

  • 接收方

  • 跨境传输情况

  • 保留期限

  • 安全措施

3. 数据保护影响评估（DPIA，第 35 条）

强制进行 DPIA 的情形：

  • 系统性大规模处理特殊类别数据

  • 大规模监控公共区域

  • 自动化决策对个人产生重大法律或类似重大影响

  • 新技术应用（AI、人脸识别、IoT、基因检测）

4. 数据保护官（DPO，第 37–39 条）

强制任命 DPO 的情形：

  • 公共机构（除法院外）

  • 核心活动涉及大规模、系统化监测数据主体

  • 核心活动涉及大规模处理特殊类别数据

DPO 职责：监督合规、培训员工、与监管机构联络、提供咨询。

5. 欧盟代表（EU Representative，第 27 条）

欧盟境外的控制者/处理者，若适用 GDPR，必须在欧盟任命一名代表：

  • 作为监管机构与数据主体的联系点

  • 通常是欧盟境内的专业服务公司

  • 豁免：处理偶发、非大规模、不涉及特殊类别数据可免

对中国企业出海几乎是强制要求。

6. 数据处理者管理（第 28 条）

控制者与处理者之间须签订数据处理协议（DPA），明确：

  • 处理对象、期限、性质、目的

  • 数据类别与数据主体

  • 处理者的义务（保密、安全、协助、删除/返还）

  • 控制者的审计权

7. 数据泄露通报（第 33、34 条）

发生个人数据泄露后：

  • 72 小时内通报相关监管机构（除非泄露不太可能对权利造成风险）

  • 高风险情形额外通知数据主体

通报内容须包括：泄露性质、影响范围、可能后果、已采取或拟采取措施。

8. 跨境数据传输（第五章）

向欧盟外传输个人数据须采用以下机制：

机制 说明
充分性决定（Adequacy Decision） 欧盟认定该国保护水平充分——目前包括英国、瑞士、日本、韩国、加拿大商业部门、新西兰、阿根廷、乌拉圭、安道尔、法罗群岛、根西、马恩岛、泽西、以色列、美国（DPF 框架，2023）
标准合同条款（SCCs） 2021 版新模板，企业间签署
约束性公司规则（BCRs） 跨国集团内部认证规则
认证或行为准则 经批准的认证机制
特定情形例外 明确同意、合同必需、法律请求等

重要：中国不在充分性决定国家列表，从欧盟传输数据至中国必须使用 SCCs 等机制，且自 Schrems II 判决（2020 年）后需进行 Transfer Impact Assessment（TIA）——评估接收国法律对欧盟数据主体权利的影响。

八、违规处罚

GDPR 是全球罚款最重的数据保护法之一：

违规类型 罚款上限
轻微违规 €10,000,000 或全球年营业额 2%（取高者）
严重违规 €20,000,000 或全球年营业额 4%（取高者）

轻微 vs 严重违规分类：

  • 轻微：ROPA 缺失、DPIA 未做、DPO 未任命、数据处理协议不规范等

  • 严重：违反基本原则、违反数据主体权利、违反跨境传输规则、违反同意要求等

重大处罚案例

年份 公司 罚款 原因
2023 Meta（Facebook） €12 亿 跨境数据传输（Schrems II 后违规）
2021 Amazon €7.46 亿 同意机制问题
2024 Uber €2.9 亿 向美国传输司机数据
2023 TikTok €3.45 亿 儿童数据保护不足
2023 Criteo €4,000 万 同意管理违规
2019 Google €5,000 万 透明度与同意问题

九、监管机构

各成员国数据保护机构（DPA）

每个欧盟成员国设有独立的 DPA，知名机构：

  • CNIL（法国）——执法活跃

  • ICO（英国，脱欧后仍执行 UK GDPR）

  • DPC（爱尔兰）——监管多数美国科技巨头

  • BfDI（德国联邦）+ 各州 DPA

  • AEPD（西班牙）——处罚案例数量最多

  • Garante（意大利）——AI 监管活跃

欧盟数据保护委员会（EDPB）

  • 由各成员国 DPA 组成

  • 发布指南与意见统一欧盟解释

  • 处理跨境争议

  • 主导新立法相关讨论

“一站式机制”（One-Stop-Shop）

跨境处理时，企业主要营业地所在国 DPA 担任主导监管机构，其他 DPA 协同。这是 GDPR 简化合规的重要设计。

十、与其他主要数据保护法的对照

维度 GDPR 中国 PIPL 加州 CPRA
生效时间 2018.5.25 2021.11.1 2023.1.1（CCPA 修订）
域外效力 是 是 是
合法依据数量 6 项 7 项（无”合法利益”） 类似但简化
同意要求 严格 更严格（敏感信息单独同意） 较宽松（默认收集、用户可退出）
数据主体权利 8 项 类似 + 中国特色 5 项 + Opt-out 销售
跨境传输 SCCs / BCRs / 充分性 安全评估 / 标准合同 / 认证 较少限制
DPO 任命 部分强制 部分强制 不强制
泄露通报 72 小时 立即（无明确时限） 视情形
最高罚款 €20M / 4% 全球营业额 RMB 5,000 万 / 5% 年营业额 USD $7,500 / 违规

十一、对中国企业的实务影响

谁会被 GDPR 管辖？

✅ 几乎所有出海企业：

  • 跨境电商（向欧盟消费者销售）

  • App / 游戏出海

  • SaaS 与云服务（欧盟客户）

  • 智能硬件 / IoT（欧盟用户）

  • 跨境物流与支付

  • 代工厂（处理欧盟品牌数据时作为 Processor）

  • HR / 招聘（欧盟员工/求职者）

不合规风险

  1. 巨额罚款——最高欧盟年营业额 4%

  2. 欧盟用户诉讼——集体诉讼日益常见

  3. 业务中断——监管机构可命令停止处理或传输

  4. 品牌信誉损害

  5. 合作伙伴拒绝合作——欧盟 B2B 客户严格审查供应商合规

最低合规清单

✅ 任命欧盟代表（EU Representative）✅ 制定符合 GDPR 的隐私政策（多语言）
✅ 部署 Cookie 同意管理（CMP） 工具
✅ 建立数据主体权利响应机制
✅ 签署 2021 版 SCCs + 完成 TIA✅ 建立数据泄露应急响应预案（72 小时通报）
✅ 与处理者签署 DPA（数据处理协议）✅ 任命 DPO（如适用）
✅ 员工 GDPR 培训✅ 建立 ROPA（处理活动记录）

十二、GDPR 时间线与未来

时间 节点
1995 年 欧盟数据保护指令 95/46/EC
2016 年 4 月 GDPR 正式通过
2018 年 5 月 25 日 GDPR 正式实施（2 年过渡期结束）
2020 年 7 月 Schrems II 判决——废除 Privacy Shield
2021 年 6 月 新版 SCCs 发布
2023 年 7 月 EU-US Data Privacy Framework（DPF） 生效——取代 Privacy Shield
2024 年 8 月 欧盟 AI 法案生效——与 GDPR 协同
2025 年起 Data Act、Data Governance Act、DSA、DMA 等配套法规陆续实施
持续 EDPB 指南持续更新；执法力度加强

未来趋势

  • AI 与 GDPR 交叉监管——AI 法案下生成式 AI 数据治理

  • 同意疲劳改革——欧盟在讨论简化 Cookie 同意机制

  • 儿童数据保护强化——TikTok 等大额罚款引领

  • 执法日趋严格——单笔罚款金额持续上升

  • 第三国充分性评估——动态调整名单

滚动至顶部