欧盟如何保护数据

‘壹’ 谁有深度整理的欧盟《一般数据保护法案》（GDPR）核心要点中文内容

前言：

整理本文的原因有三：

1、 网上很多关于GDPR的文章并不全面，甚至有误

2、 以此机会在公司内部开展关于GDPR的专项培训

3、 青莲云的部分客户业务在未来会受到GDPR的影响

之后，我们计划编写一系列相关文章，更多的是站在企业角度来思考法案对物联网行业的影响以及应对措施，一来希望与同行企业可以就GDPR进行更多的互动讨论；二来也是希望传播国际法案对于安全和隐私的态度，共同提高物联网安全意识。

以下您将了解到：

1、 什么是GDPR（重要）

2、 GDPR的发展历程

3、 GDPR的关键术语定义（重要）

4、 GDPR会影响哪些企业（重要）

5、 GDPR不适用于哪些情况

6、 GDPR约束了哪些数据（重要）

7、 GDPR中数据主体的权利（重要）

8、 GDPR中处理个人数据的基本原则（重要）

9、 GDPR中对合法处理数据的定义

10、 GDPR中针对儿童数据的处理规定

11、 GDPR中数据控制者与数据处理者的义务（重要）

12、 GDPR中针对特别类型个人数据的处理规定

13、 GDPR中关于数据主体被遗忘权的规定（重要）

14、 GDPR中关于数据主体可携带权的规定（重要）

15、 GDPR中关于个人数据泄露通知的规定（重要）

16、 GDPR中关于设立数据保护官的规定

17、 GDPR关于执法和处罚的规定（非常重要）

18、 总结

什么是GDPR

2016年4月14日，欧洲议会投票通过了商讨四年的《一般数据保护法案》（General Data Protection Regulation (GDPR)），新法案由11章共99条组成，该法案将于2018年5月25日正式生效，将取代现有的《数据保护指示》（Data Protection Directive 95/46/EC），统一欧盟成员国关于数据保护的法律法规。

此外，GDPR新规是在28个欧盟成员国统一实施生效的，这将使28个欧盟及欧洲经济共同体成员国的隐私保护法更具有一致性和现代性。

GDPR作为一套用来保护欧盟公民个人隐私和数据的新法规，其颁布意味着欧盟对个人信息的保护及监管达到了前所未有的高度，堪称史上最严格的数据保护法案

GDPR的发展历程

（图片来自网络）

GDPR的关键术语定义

个人数据：是指任何指向一个已识别或可识别的自然人（数据主体）的信息。该可识别的自然人能够被直接或间接地识别，尤其是通过参照诸如姓名、身份证号、定位数据、在线身份识别这列标识，或者是通过参照针对该自然人一个或多个如物理、生理、遗传、心理、经济、文化或社会身份的要素。

处理：是指针对个人数据或个人数据集合的任何一个或一系列操作，诸如收集、记录、组织、建构、存储、自适应或修改、检索、咨询、使用、披露、传播或其他利用、排列、组合、限制、删除或销毁，无论此操作是否采用自动化手段。

匿名化：是一种使个人数据在不使用额外信息的情况下不指向特定数据主体对待个人数据的处理方式。该处理方式将个人数据与其他额外信息分别存储，并且使个人数据因技术和组织手段而无法指向一个可识别和已识别的自然人。

数据控制者：能单独或联合决定个人数据的处理目的和方式的自然人、法人、公共机构、行政机关或其他非法人组织。

数据处理者：是指为数据控制者处理个人数据的自然人、法人、公共机构、行政机关或其他非法人组织。

数据接受者：只是接收到被传递的个人数据的主体，无论其是否是第三方的自然人、法人、公共机构、行政机关或其他非法人组织。政府因在欧盟或其成员国法律框架内特定调查接收到的个人数据，不得视为“数据接受者”。

个人数据外泄：是指个人数据在传输、存储或进行其他处理时的由安全问题引发的个人数据被意外或非法破坏、损失、变更、未经授权披露或访问。

GDPR会影响哪些企业

欧盟GDPR法案具有域外效应。也就是说，GDPR赋予了欧盟在个人信息安全方面的域外管辖权。

主要受影响的企业为以下四类：

l 设立在欧盟境内的企业（控制者、处理者）

l 未在欧盟境内设立，但向欧盟境内的数据主体（自然人）提供产品和服务的企业（控制者、处理者）

l 未在欧盟境内设立，但涉及监控欧盟境内数据主体（自然人）行为的企业（控制者、处理者）

l 未在欧盟境内设立，但在欧洲成员国法律适用的地方设立的企业（控制者、处理者）

总结来说，GDPR不仅适用于位于欧盟境内的企业组织机构，也适用于位于欧盟以外的企业组织机构，无论机构所在地位于哪里，只要其向欧盟数据主体提供产品、服务或者监控相关行为，或处理和持有居住在欧盟境内的数据主体的个人数据，都将受到GDPR法案的监管。

GDPR法案同样适用于“数据控制者”和“数据处理者”。如果是数据处理者涉案，数据控制者也无法免除责任，GDPR规定控制者需要承担更多的责任，以确保和数据处理者之间的合同能够严格遵守GDPR的规定。

GDPR不适用于哪些情况

GDPR更多的是监管企业对数据的使用行为。以下4个方面的数据使用情况不适用于GDPR：

l 为了预防、调查、侦查或起诉刑事犯罪，主管当局为执行刑事处罚目的而产生的数据处理行为

l 基于国家安全目的而产生的数据处理行为

l 自然人在纯粹的个人或家庭活动中产生的数据处理行为

l 欧盟法律规定范围之外的活动过程中产生的数据处理行为

GDPR约束了哪些数据

个人数据：

可以通过某个标识直接或间接识别某一自然人的信息。

不管是采用自动化手段还是人工进行归类的数据，包括按时间顺序排列的包含个人数据的记录集合。

已经被匿名化的个人数据，取决于用已有标识来识别特定个体的困难程度。

敏感个人数据：

也被称为“特殊种类的个人数据”。

包括揭示种族或民族出身、政治观点、宗教或哲学信仰、工会成员的个人数据。

包括遗传数据和经过处理可以唯一识别个体的生物特征数据。

不包括涉及刑事定罪和罪行的个人数据，但该类数据的处理和保存有特殊要求。

GDPR中数据主体的权利（第三章）

l 知情权

l 访问权

l 反对权

l 可携带权

l 纠正权

l 删除权/被遗忘权

l 限制处理权

l 免受数据画像影响

GDPR中处理个人数据的基本原则

l 合法、正当、透明

l 处理数据的目的是有限的

l 仅处理为达到目的的最少数据

l 确保数据准确、及时更新

l 存储数据的期限不得长于为达到目的所需要的时间

l 采取技术和管理措施以保护数据的安全

l 数据控制者有责任并应能够证明做到了以上几点

GDPR中对合法处理数据的定义

至少满足一下中的某一项，处理数据才是合法的

l 数据主体同意为了特定目的处理其数据

l 处理数据是为了签订或履行合同的需要

l 处理数据是为了遵守法定义务的需要

l 处理数据是为了保护数据主体或其他自然人的至关重要的利益

l 处理数据是为了公共利益或形式政府授受的权力

l 处理数据是为了追求数据控制者的合理利益，但不得损害数据主体的利益

GDPR中针对儿童数据的处理规定

处理16岁以下儿童的个人数据，必须获得该儿童父母或监护人的同意或授权。各成员国可以对上述年龄进行调整，但是不得低于13岁

GDPR中数据控制者与数据处理者的义务

设置DPO（数据保护官）

文档化管理

数据保护影响评估

事先咨询机制

数据泄露报告机制

安全保障措施

遵守数据跨境转移规则

GDPR中针对特别类型个人数据的处理规定

禁止收集处理反映个人种族或民族起源、政治观点、宗教和哲学信仰、是否是工会组织成员的数据、个人基因识别数据、生物数据、或涉及健康、性生活或性取向的数据。但在例外的情况下也可以收集加工以上数据，如已获得个人的明示同意，或数据控制者因处理劳动关系、社会保险之需要并在法律允许的范围内且已采取了适当的保护手段等。

GDPR中关于数据主体被遗忘权的规定（重要）

当个人数据已和收集处理的目的无关、数据主体不希望其数据被处理或数据控制者已没有正当理由保存该数据时，数据主体可以随时要求收集其数据的企业或个人删除其个人数据。

如果该数据被传递给了任何第三方（或第三方网站），数据控制者应通知该第三方删除该数据。

GDPR中关于数据主体可携带权的规定（重要）

数据主体可向数据控制者索要其数据，也可将其个人数据转移至另一个数据控制者。

GDPR中关于个人数据泄露通知的规定（重要）

数据控制者应在72小时之内向监管机构报告个人数据的泄露情况。当数据泄露可能会给数据主体的权利或自由带来巨大风险时，数据控制者必须毫不延误的通知数据主体，以便数据主体及时采取措施。

GDPR中关于设立数据保护官的规定

为确保数据保护合规并处理数据保护相关事务，数据控制者和数据处理者需设置数据保护官（DPO）。

控制者和处理者应当对数据保护官不下达任何指令，DPO不能因为执行任务的原因被解雇或者受到刑事处罚。

数据保护官直接向最高管理者报告工作。

根据联盟法律或者成员国法律规定，数据保护官应当对其执行任务的内容进行保密。

数据保护官也可以执行其他任务，履行其他职责。

GDPR关于执法和处罚的规定（非常重要）

不遵守信的数据隐私法规的后果就是会受到严厉的制裁和巨额的罚款。

GDPR的处罚并不是像网上传的那样直接就罚全球营收的4%。而是有两个等级的征收行政性罚款的规定：

对于一般性的违法，罚款上限是1000万欧元，或者在承诺的情况下，最高为上一个财政年度全球全年营业收入的2%（两者中取数额大者）；

对于严重的违法，罚款上限是2000万欧元，或者在承诺的情况下，最高为上一个财政年度全球全年营业收入的4%（两者中取数额大者）；

判罚的严重程度是基于以下因素：

l 违规的性质、严重程度和违规的持续时间

l 违规是故意的还是因疏忽造成的

l 对个人身份信息的责任心和控制程度

l 违规是单个事件还是重复事件

l 受到影响的个人资料的种类范围

l 数据主体遭遇的损害程度

l 为了减轻损害而采取的行动

l 由违规产生的财务预期或收益

GDPR核心旨在保护隐私数据，并通过法案约束来建立企业和公民之间的信任关系，违反GDPR的代价远不止财务层面，还将给企业声誉造成极大破坏，并且导致企业和消费者之间产生信任危机

总结

由于青莲云所在的物联网行业也处于GDPR法案的约束之中，故此整理出法案中的重点思想与业界分享。GDPR此次改革以保护公民的基本权利为理念，在提高个人数据保护标准的同时，也会增加企业的合规成本。法案的背后是对隐私和安全的需求，法案生效后会成为国际数据隐私保护标准。

对于物联网行业的相关企业（硬件、软件、制造、数据分析等）来说，从此刻开始提升物联网安全意识，关注数据安全和用户隐私安全，积极的采取相应的整改或强化措施刻不容缓。青莲云安全团队也将在不断提升自身安全攻防能力和安全合规意识的同时，与客户企业建立长期持续的安全咨询合作关系，共同建设安全、自主、可信的物联网安全新业态。

‘贰’ 前沿 | 明晰数据产权 保障数字经济安全

文 中国现代国际关系研究院网络安全与 科技 安全研究所副所长 魏亮

当世界跨入21世纪第二个十年，经济 社会 的数字化转型加速，数字经济在新冠肺炎疫情催化下迅猛发展。据统计，数十个国家的数字经济产出已与传统经济形态接近平分秋色。数字经济增速更是遥遥领先。国际上，美日数字贸易协定正式实施，标志着世界范围内第一个以数字为基本元素的经贸协定落地生根。国际一流的双边、诸边经贸协定均涉猎数字经贸内容，甚至专辟一章详细加以规定。2020年以来，全球新崛起的独角兽企业多以数字经济起家。正在抗击新冠肺炎疫情的生物医药行业也增添了数字化的亮色。

近年来，在政策层面，世界主要国家纷纷出台数字化战略，为促进数字经济发展，形成新的国家竞争力谋篇布局。2019年底，美国出台了《联邦数据战略和2020年行动计划》，明确将数据列为重要的国家战略资产，以联邦政府的数据治理，牵引未来十年美国数字化发展的战略远景。2020年，欧盟出台数字化战略，加速推进一系列事关数字化的立法进程，着力构造和加强有欧盟特色的数字化发展模式，进而推动数字经济发展。日本菅义伟内阁刚一成立，即设立数字担当大臣，将政务数字化列为施政纲领的重要内容，提议成立数字厅，并希籍此引领日本数字经济发展。中国更是在数字经济创新方面引领世界潮流，明确将数据列为重要的生产要素。2020年4月9日，中共中央、国务院印发的《关于构建更加完善的要素市场化配置体制机制的意见》中明确提出，数据是与土地、劳动力、资本、技术并列的新型生产要素，并从推进政府数据开放共享、提升 社会 数据资源价值、加强数据资源整合和安全保护等三个方面，部署加快培育数据要素市场的发展任务。这是 历史 上第一次在国家层面明晰了数据的根本属性。为数据在市场框架内有序流动奠定了坚实基础。在数据使用制度方面，中国已经引领世界。

数据流动是数字经济发展的核心，数据安全是数字经济发展的底线。在保障数据安全和防范数据滥用方面，主要经济体也做出了很多尝试。欧盟以防和罚为主，通过严格实行《通用数据保护条例》等法规，不断完善加强个人信息保护和非个人数据管理，形成围绕欧盟的数据防火墙。美国倡导数据流动，但在安全方面大多寄望于与别国达成事关数据安全制度的互认。这一工作在美国参与的双边和诸边经贸协定基础上正紧锣密鼓地开展。显而易见，欧盟和美国在数据安全和个人隐私保护方面的分歧巨大，甚至导致欧洲法院判定美欧之间的《隐私盾》协议失效。同时，也从另一个视角说明，维持数据流动和数据安全之间的平衡何其不易。

美欧两大经济体的实践表明，无论是像美国那样片面宣扬数据自由流动，还是像欧盟那样近乎苛刻的保障数据安全和个人隐私，都已经带来了很强的副作用。这一副作用在美国体现为 科技 巨头横行，影响力和掌控力甚或超过美国政府。2020年10月7日，美国国会众议院发布的关于谷歌等四家 科技 企业垄断的调查报告宣称，这些 科技 公司有效地充当了当今数字市场的守门人，拥有挑选赢家、收购或处置竞争对手的权力。同样，欧盟过于强硬的数据保护显然对其数字经济发展也造成了一定阻碍。《通用数据保护条例》实施以来受到惩罚的案例已达上百起，受罚对象从地方政府、医疗机构，到普通的家具商乃至足球俱乐部不一而足。目前，欧盟加速推动其新数字战略的成型和配套立法，也显现出他们实现数据流动和数据安全再平衡的急迫心理。从美欧的实践来看，仅靠政府来维持数据流动和数据安全之间的平衡，不但成本高而且效率低。美国 科技 巨头依靠数据优势，罗织的利益网络，已到了难以打破的境地。单靠反垄断手段对这些公司实施结构拆分，或将在短期大伤美国数字经济元气。另一方面，欧盟强监管的数据保护框架已经成势，要实现再平衡亦将经历痛苦过程并付出巨大代价。

在数字经济蓬勃发展、数据流动日益活跃的背景下， 探索 出一条市场化条件下，充分发挥数据作为重要生产要素优势、实现数据流动与数据安全动态平衡的机制尤为重要。通过明晰数据产权，最大可能的保障数字经济安全，同时激发市场主体的活跃度，来实现这一动态平衡，将成为一条有效路径。

1.明晰数据产权，保障数字经济安全，首先要明确数据的归属、确定数据的产权。即在确定数据所有权的基础上，依托区块链进行产权登记，形成数据产生的增值财富归谁所有，维护数据安全的成本由谁负担，数据的使用权、支配权、收益权、处置权如何行使等一系列制度安排，以及相关的惯例和道德准则。

2.明晰数据产权，保障数字经济安全，其次要设计数据交易模式和定价模型。一方面将数据脱敏、隐私保护的权利完全赋予数据产权的所有者，实现权责统一。鼓励数据产权所有者根据自己的意愿，通过市场规则和价格原理来保护隐私和核心敏感数据； 探索 建立凡交易即许可的数据产权转移和数据利用原则，通过细化数据交易产业链分工，进一步提升数据的可交易性和标准化程度。另一方面，在数据交易的早期，应根据数据的效用和稀缺性尽快形成更加简练的数据价值评估量表。随后根据交易的经验数据，初步形成经过优化的“第二价格密封拍卖”等符合数据特点，并能对冲信息不对称风险的定价模式。

3.明晰数据产权， 保障数字经济安全，还需要健全数据交易的制度框架，最终形成广泛的数据市场。在此基础上，数据的所有者可根据对价决定是否出让数据，数据的收集者也可根据价格考虑是否收购。这就在一定程度上避免了出现数据因“无价”而被滥用的现象。数据流动和数据安全之间的动态平衡也就有望形成。建立产权明晰的数据交易制度，关键在于数据的确权。由于确权问题一直有赖于政府或者中介机构做支撑，使海量数据的确权需付出极大经济成本，这也成为长期以来数据无序流动的重要原因之一。当前，区块链技术已使数据确权具备经济性。区块链技术的分布式簿记和不可更改特性，使数据确权和发现数据产权关系的成本大大降低，并推动数据流动成本随之降低。由此，除却那些关乎国家核心利益数据以外，其他数据的安全问题可以在一定程度上转化为催动数据交易的价格问题。当数据成为财产，越重要的数据价格越高，安全性也越高。

当前，我国正逐步形成以国内大循环为主体、国内国际双循环相互促进的新发展格局，数字经济必将成为这一新格局的有力支撑。明晰数字产权恰逢其时，并有潜力成为沟通国际国内双循环的重要桥梁。数据有序、安全、高效的跨境流动，是世界数字经济发展的根本保障，数据产权交易则成为联通内外的关键节点。国家间涉及双边、诸边、多边的数字经济协定可以由此展开，数据跨境流动过程中的安全问题也因产权交易而化繁为简。在交易过程中，数据的价格将被更加精准地发现，那些事关国家核心利益的数据也将会被更快、更准确地甄别和保护。

当然，一个产权明晰，流转顺畅的数据交易体系不是一蹴而就的，还需在运行当中修补漏洞、调整方向、试错前行。要把美好愿景化为现实，我们还需要在设计确权方式、定价模式等方面开展更深入地研究，政府也需要在数据要素市场上进一步做好引导、培育和深化工作。

（本文刊登于《中国信息安全》杂志2020年第11期）

‘叁’ 通用数据保护条例gdpr 哪国

2018年5月25日，欧洲联盟出台了《通用数据保护条例》。 [1] 

1. 对违法企业的罚金最高可达2000万欧元（约合1.5亿元人民币）或者其全球营业额的4%，以高者为准。
2. 网站经营者必须事先向客户说明会自动记录客户的搜索和购物记录，并获得用户的同意，否则按“未告知记录用户行为”作违法处理。
3. 企业不能再使用模糊、难以理解的语言，或冗长的隐私政策来从用户处获取数据使用许可。
4. 明文规定了用户的“被遗忘权”（right to be forgotten），即用户个人可以要求责任方删除关于自己的数据记录。
5. 欧盟议会于2016年4月14日通过的《通用数据保护条例（General Data Protection Regulations）》（“GDPR”）将于2018年5月25日在欧盟成员国内正式生效实施。该条例的适用范围极为广泛，任何收集、传输、保留或处理涉及到欧盟所有成员国内的个人信息的机构组织均受该条例的约束。比如，即使一个主体不属于欧盟成员国的公司（包括免费服务），只要满足下列两个条件之一：
6. （1）为了向欧盟境内可识别的自然人提供商品和服务而收集、处理他们的信息。
7. （2）为了监控欧盟境内可识别的自然人的活动而收集、处理他们的信息，其就受到GDPR的管辖。

‘肆’ 欧盟要立法保护通用数据了吗

5月30日有媒体报道说，《欧盟通用数据保护条例》已于5月25日开始生效实施。这个“条例”，被认为是历史上最严格的通用数据保护条例。对于个人而言，这个条例对隐私保护可谓层层设防，严防死守。而对公司企业而言，尤其是那些有意或无意集纳私人（服务对象）隐私数据的公司企业，则限制多多，对这些数据的集纳、分析和使用设置了重重障碍。

对个人隐私信息如此严格的保护，以及对网络公司和企业如此严格的限制，其实代表了互联网时代公司企业与个人间的互动关系及其法律调整。这个“条例”的从严一面，也反映了欧盟力图消弭其成员国内部法律在此问题上标准不一的差别。当然，在欧盟内部，不论是大陆法系国家还是普通法系国家，其原有的对个人隐私保护的相关法律也堪称严密，新颁行的“条例”无疑为这些既存法律按上了跟进互联网时代前进的车轮。

也正是因此，也不乏有质疑上述“条例”对相关公司企业过分严厉限制的声音。欧盟以往对公司企业的过度限制，被认为是欧盟国家在过去20多年中没能产生跨国互联网公司企业的原因之一。新颁行“条例”的施行，将不利于美国等大型跨国互联网公司企业在欧盟成员国的运营，为其市场拓展带来障碍，但也更加不利于欧盟内部诞生跨国互联网公司企业，实际上将更加强化美国互联网公司企业一统欧盟成员国及其市场的格局。

对上述“条例”颁行的全部影响，尚有待观察。

无下文，待观察。

消息来自凤凰网。

‘伍’ GDPR（General Data Protection Regulation）：欧盟数据保护通用条例

GDPR（General Data Protection Regulation）：欧盟数据保护通用条例

欧盟数据保护通用条例（General Data Protection Regulation, GDPR）于2018年5月25日生效

http://www.esrf.eu/GDPR

GDPR法律条款解读及应对指南（全面版）

‘陆’ 国外保护个人信息有哪些主要措施和做法

问：编辑同志，您好！随着互联网的普及，倒卖个人信息已经形成产业链，个人信息泄露成为普遍问题。请您介绍一下国外保护个人信息有哪些主要措施和做法。 天津读者：刘晓刘晓同志： 您好！世界各国都十分重视个人信息保护，采取了很多措施以避免个人隐私泄露和信息被滥用，主要包括： 1.基础性立法。美国《隐私权法》、加拿大《隐私法》就行政机关，日本《个人信息保护法》、加拿大《个人信息保护与电子文件法》就企事业单位对个人信息的采集、使用、公开和保密问题作出详细规定, 例如：个人有权知道信息使用情况；未经本人许可，不得用于收集信息以外的其他目的。美国《信息自由法》规范了第三方对包含个人信息的政府记录的获取。 2.行业性立法。美国《电子通讯隐私法》涵盖了声音、文本、数字化形象传输等所有形式的数字化通讯，该法禁止所有个人、企业和未经授权的政府部门对通讯内容的窃听，禁止对存贮于电脑系统中的通讯信息未经授权的访问及对传输中的信息未经授权的拦截。欧盟有《关于在电子通信领域个人数据处理及保护隐私权的指令》，日本通商产业省有《关于保护民间部门电子计算机处理所涉及的个人信息的指南》。 在金融领域，美国《金融服务现代化法案》规定了金融机构处理个人私密信息的方式，《金融隐私权法案》对银行雇员披露金融记录，及联邦立法机构获得个人金融记录的方式做出限制。 在消费领域，美国《公平信用报告法-消费者信用保护法标题VI》规范了调查报告机构对报告的制作和传播、对违约记录的处理等事项，明确了消费者信用调查机构的经营方式。 在通讯领域，美国《有线通讯隐私权法案》禁止闭路电视经营者在未获得用户事先同意的情况下利用有线系统收集用户的个人信息，《电讯法》规定电讯经营者有保守客户财产信息秘密的义务。 另外，美国《2009个人隐私与安全法案》建立了风险评估、漏洞检测以及对访问敏感信息的控制和审计标准，《数据泄漏事件通报法案》要求联邦政府机构以及业务范围跨州的企业在发生数据泄漏事件时必须通知信息可能或已经被访问、获取的所有当事人。 3.行政措施。欧盟建立有数据保护监督专员制度，严格管理机构和组织搜集、录制和储存、重新提取、发送或使其他人员获得、删除或销毁数据的行为。加拿大设有隐私专员办公室，受理和调查个人信息侵权投诉，向议会提交个人信息保护情况的年度报告和特别报告。 4.行业自律。美国采取行业自律作为立法外保护网络隐私权的补充，包括：从事网上业务的行业联盟发布本行业网上隐私保护准则；适用于跨行业联盟的网络隐私认证，授权达到其提出的隐私规则的网站张贴其隐私认证标志，以便于用户识别；为鼓励甚至强制推行隐私权保护提供基本的技术支撑。 5.国际协作。经济合作开发组织理事会颁布了《关于保护隐私和个人数据国际流通的指南》，亚太经合组织建立了地区隐私保护标准，欧盟有《关于在个人数据处理过程中保护当事人及此类数据自由流通的指令》。

‘柒’ 欧美个人数据保护法规简介:GDPR

该条例于2018年5月生效，GDPR的目标是保护欧盟公民免受隐私和数据泄露的影响，同时重塑欧盟的组织机构处理隐私和数据保护的方式。
其中重要的定义有

“个人数据”指与 已经识别（identified）或可被识别（identifiable）的自然人（“数据主体”）相关的任何信息 。

其中，“可被识别的自然人”，指 通过姓名、识别号码、位置数据、在线身份识别码等标识符，或通过针对该自然人的身体、生理、遗传、心理、经济、文化或社会身份等特定相关的一个或多个要素，能够直接或间接地被识别出的个人 。

判断自然人是否可被识别，应考虑数据控制者或另外一人可能合理使用到的所有方式（all the means reasonably likely to be used）。判断何种方式为“可能合理使用到”，应考虑所有客观因素：例如当前现有的技术、技术的发展、识别所需的成本和时间等。
GDPR通过抽象定义对个人信息的管辖范围划定边界，有一定的法例解释空间。

属地管辖”+“属人管辖”+“保护性管辖

可以看出其管辖范围大，关系复杂，

默认 13到16周岁儿童 对个人信息的处理行为不具备完全认知能力，因而需要监护人的授权，企业方能处理其个人信息。

数据的处理以数据主体 “同意” 为原则，数据主体有“撤回同意权”，并且 对敏感数据的处理及直接营销、用户画像的行为拥有反对权 ，偏重于保护用户的数据

其中对行使公务的反对权总以可见GPDR对数据隐私的保护力度之大

国内目前而言，尚未有成熟的数据保护条例和方案，原有的法律条文已经远远落后于当前国内信息产业的发展；一方面是国情使然，另一方面我国数据建设过程一直存在法律建设滞后的现象。
但在当前的国际大背景下，我国应该会很快研究出台相关的严格数据保护条例。
此外作为数据系统及应用研发人员，应该着手研究如何在类似GPDR的保护条例下利用数据发挥价值，这是十分值得研究的课题。

‘捌’ 欧洲大陆对信用数据保护的基本原则

直接原则，目的明确原则。
1.个人信息保护的基本原则包括哪些2.直接原则。直接原则是指个人信息原则上应该直接向本人收集。直接原则在OECD准则中称为“限制收集原则”。直接原则的另一个含义是,只有个人信息所有者本人才有权决定是否提供其个人信息。3.目的明确原则。目的明确原则是指个人信息在收集时必须有明确的特定目的,禁止超出目的...4.个人信息保护的重要性 根据国际标准化组织的定义,信息安全性的含义主要是指信息的。

‘玖’ 能否解读一下欧盟GDPR针对个人数据保护的内容

欧盟GDPR从5月25日开始正式实施。GDPR对数据泄漏有非常重的处罚条例。同时，欧盟企业也希望法规的实施能够促使数据市场更快更好的发展，使相关业务有法可依。GDPR立法针对个人数据保护的核心问题包括：
第一，数据分布的问题
在接触过的客户中，有70%-80%不知道自己的数据在哪里，更没有详细的数据地图。而数据地图，我们认为是做个人数据保护的前提，也是非常关键的内容。
第二，数据应用检测
目前不管是个人还是企业，往往会关注个人的敏感数据的保护，但今时今日，大量不敏感的信息通过数据组合，就会得到大量有价值的信息，所以不敏感信息同样具有重要价值。怎么能够看到这些数据有没有被非法使用？一定要知道有哪些人用了你的数据最终他使用这些数据是为了获得什么？做到这点的时候，我们才能看到这个数据有没有被滥用，个人数据有没有被泄露。
第三，数据流动监测
目前国内，对于数据的流向，数据流到哪里？数据流向目标市场是否安全？数据流出之后是否可追溯？目前这个领域基本都是空白，没有人对流出后的数据进行任何的追溯、审计或者相应保护。
第四，真实数据最小化原则
我们都是搞信息安全，都知道，我们提了很多年的权限最小化原则，我们给每个人的权限应该是他用于工作的最小权限，以此来保障权限不被滥用。数据应用的时候也应该提倡这样的原则，真实数据最小化的原则。现在数据应用有一个非常简单的办法，充分利用数据脱敏数据，只保留需要使用的数据，将其他数据脱敏，从而保证真实数据的最小化。
第五，全生命周期的审计和评估
这里的审计和评估，是从评估到改善，到再评估，再改善，反复循环的过程。目前国内对于数据进行评估的业务还属于空白。国际上许多企业已纷纷开展此项业务。

‘拾’ 欧盟隐私保护数据该上哪找

欧盟“史上最严”数据隐私新规生效
欧洲联盟《通用数据保护条例》25日在全体成员国正式生效。这部条例对信息技术(IT)企业保护用户隐私的责任规范空前严格，旨在改变消费者信息在网络广告商面前“一览无遗”的现状。
业内人士说，美国谷歌、脸书公司等技术类企业在欧洲拥有庞大用户群，可能利用新规巩固行业垄断地位；“广告技术”行业近年来靠“收割”用户隐私数据蓬勃发展，可能受新规打击最大。
如同“裸身待在水族箱里”
《通用数据保护条例》生效前几个星期，大量欧洲网络用户抱怨自己遭大量垃圾邮件和短信集中“轰炸”，内容大同小异：请求用户“明确同意”接收企业发送的广告信息。
这部条例确立两项关键原则，一是任何机构获取用户个人数据，必须征得用户个人“明确同意”；二是消费者对“本人隐私数据由谁处理、作何用途”有知情权。
依据新规，用户有权用工具拦截任何应用于商业目的个人数据处理程序，也可行使所谓“被遗忘权利”，删除网络上的个人隐私数据。
未达法定年龄的用户由父母代行“同意”权利。法定年龄在13至16岁之间，由欧盟各成员国依据国情各自设定。
欧盟两年前颁布这部条例，但直至临近“缓冲期”结束，仍有大量企业匆忙征求用户许可，导致“信息轰炸”现象。
英国主管数据保护的信息监管局说，截止日前夕，它的网站服务遭遇“几次中断”，如今已恢复正常。
分管司法事务的欧盟委员薇拉·尧罗娃说，新规将“让欧洲人重新掌控自己的数据”。按她的说法，当前网络用户个人隐私几乎得不到任何有效保护，如同“裸身待在水族箱里”。
欧盟有大约5亿网民，任何在成员国运营的企业如触犯新规，将面临最高2000万欧元或相当于企业全球年营业额4%的罚款。
希望新规成为“全球标杆”
欧盟说，希望新规能成为保护网络用户个人隐私的“全球性标杆”，尤其在发生脸书公司大量用户隐私数据遭“窃用”之后，新规更具示范作用。
美英媒体今年3月曝光，英国剑桥分析公司曾利用社交媒体脸书平台一款“个性测试”程序，获取脸书大量用户隐私数据，用于有针对性地向选民投放政治广告，试图干预2016年美国总统选举和英国“脱欧公投”等政治事件。脸书公司后来承认，全球8700万用户数据遭“窃用”。
“个性测试”程序开发者辩称，获取数据已获用户“同意”，且脸书开发的工具提供了方便。
脸书公司因没有及时公布大量用户隐私遭滥用受到质疑。脸书首席执行官马克·扎克伯格22日出席欧洲议会一场听证会，为保护用户隐私不力道歉，承诺脸书将“完全遵守”欧盟隐私保护新规。
美国卡内基－梅隆大学商务教授帕拉梅·维耶·辛格接受法新社邮件采访时说：“我预计，至少美国会迅速采纳类似《通用数据保护条例》的(隐私保护监管)法规。”
欧盟官员说，日本、韩国、印度和泰国从欧盟新规汲取“灵感”，开始讨论或着手制定类似法规。
输家将是“广告技术产业”
法新社报道，大型社交媒体平台如脸书、WhatsApp和推特似乎对适应欧盟新规准备较充分，而小型网络技术企业担心受到冲击。
欧盟官员说，新规施行初期会紧盯大型技术类企业，因为它们凭借大量用户数据吸引商家“精准投放”广告，以实现营利，欧盟会给小型企业更多时间适应新规。
路透社报道，谷歌公司24日在美国纽约市召集70家媒体和广告客户代表开会，承诺在6月和8月投放更多广告技术工具，协助客户适应新规。
英国《经济学人》周刊一篇报道说，欧盟新规生效后，最大输家将是“广告技术产业”。这类企业永不餍足地收割用户个人数据，而“过分乐观”的风险投资家对广告技术新发明慷慨支持，使这个产业迅速壮大。
不过，皮沃资本管理公司的布莱恩·威泽认为，“广告技术泡沫”已开始萎缩。这个产业以为消费者会欢迎“与己相关”的广告，但随着“精准投放”广告侵略性日益强烈，用户开始反感并安装拦截工具。
《经济学人》报道，多数广告技术企业因为不曾与消费者建立直接联系，难以获取使用用户隐私数据的许可；即使它们能直接联系用户，也只有很小一部分用户会同意分享个人隐私数据。一些广告技术企业已选择退出欧洲市场。
谷歌公司已要求使用谷歌广告技术工具的所有网站和应用软件必须征得用户同意才可使用和分享用户个人数据，但同时规定，一旦客户使用谷歌工具“征求同意”，就必须限制使用其他广告技术商的服务。
数字发行商团体“下一代数字内容”的杰森·金特说，数字发行商指望欧盟新规协助遏制谷歌之类巨头垄断线上广告。新规若能有效防止广告商越过网站和应用软件、直接针对特定用户投放广告，发行商或许能从大型网络平台手里收回与消费者关系的部分掌控权。