1. 个人数据处理的七大原则
个人数据的处理问题作为欧盟GDPR的重点规制对象，其相关原则的规定被放在了该条例原则部分的首要位置。随着我国经济主体与欧盟各成员国之间往来的日益频繁，学习欧盟GDPR的相关内容对企业发展至关重要。
今天SCA安全通信联盟为大家整理了GDPR中个人数据处理的6大原则——“合法公平透明”、“目的限制”、“数据最小化”、“准确性”、“储存限额”、“完整性和机密性”。互联网让我们的世界越来越联动，为了在未来的商业活动中不触犯法律的底线，做合法商业活动，让我们一起来看一下这6大原则具体都包含了哪些内容吧。
1、个人数据必须是合法地，以善意和对数据主体合理的方式（“合法，公平，透明”）;
processed lawfully, fairly and in a transparent manner in relation to the data subject (‘lawfulness, fairness and transparency’);
即：对个人数据的处理过程中，无论是收集、传递还是使用，均要求符合法律规定，且符合透明性的要求。关于数据处理的公平性，有一个典型的例子，就是旅行社通过收集用户登录网站查询机票和酒店的信息，分析其偏好，然后通过程序自动设定针对该用户需要的机票和酒店涨价，这就是不公平的。
2、被收集用于指定的，明确的和合法的目的，不得以不符合这些目的的方式进一步处理; 根据第89（1）条，为公共档案目的进行进一步处理，用于科学或历史研究目的或用于统计目的，不得视为与原始目的不相符（“目的限制”）。
collected for specified, explicit and legitimate purposes and not further processed in a manner that is incompatible with those purposes; further processing for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes shall, in accordance with Article 89(1), not be considered to be incompatible with the initial purposes (‘purpose limitation’);
即：意谓在个人数据的处理问题上必须满足正当目的的要求，其后续的数据处理也不得违反初始目的的要求。
比如用于健康监测的APP需要收集用户的各项身体指标，如果该数据进而被分发给一家药品或医疗器械的销售商，用于推销，则超出了最初的处理目的，违反了GDPR。
3、合理地和限于与处理它们的目的有关的必要条件（“数据最小化”）;
adequate, relevant and limited to what is necessary in relation to the purposes for which they are processed (‘data minimisation’);
即：对于个人数据的处理数量以满足该业务需要的最小数量为限，不得收集任何非必须的个人数据。
4、准确，并在必要时保持最新， 必须采取一切适当措施，确保及时删除或纠正因处理目的不准确的个人资料（“准确性”）;
accurate and, where necessary, kept up to date; every reasonable step must be taken to ensure that personal data that are inaccurate, having regard to the purposes for which they are processed, are erased or rectified without delay (‘accuracy’);
即：明确对个人数据的使用要保持数据的真实准确，在个人数据更新时必须及时同步更新或者及时删除。
5、存储的形式允许仅在为处理目的所需的时间内识别数据主体; 个人数据可以存储较长时间，前提是个人数据受本法规要求的适当技术和组织措施的保护，以保护数据主体的权利和自由，仅用于公共利益或科学和历史研究目的或根据第89（1）条（“储存限额”）进行统计处理。
kept in a form which permits identification of data subjects for no longer than is necessary for the purposes for which the personal data are processed; personal data may be stored for longer periods insofar as the personal data will be processed solely for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes in accordance with Article 89(1) subject to implementation of the appropriate technical and organisational measures required by this Regulation in order to safeguard the rights and freedoms of the data subject (‘storage limitation’);
即：欧盟GDPR明确了可以超期储存的个人数据情形，包括为实现公共利益、进行科学或者历史研究、但是为了保障数据主体的权利和自由，要求必须采用该条例所规定的合理技术与组织措施方可进行。
6、以确保个人数据的适当安全性的方式处理，包括使用适当的技术或组织措施（“完整性和机密性”）防止未经授权或非法处理以及意外丢失，破坏或损坏。GDPR第四章对数据安全有专门规定。
processed in a manner that ensures appropriate security of the personal data, including protection against unauthorised or unlawful processing and against accidental loss, destruction or damage, using appropriate technical or organisational measures (‘integrity and confidentiality’).
即：明确个人数据处理过程中，获取该数据者必须经过严格授权，避免数据被非法处理或者不当泄露。
2. 欧美个人数据保护法规简介:GDPR
该条例于2018年5月生效，GDPR的目标是保护欧盟公民免受隐私和数据泄露的影响，同时重塑欧盟的组织机构处理隐私和数据保护的方式。
其中重要的定义有
“个人数据”指与 已经识别（identified）或可被识别（identifiable）的自然人（“数据主体”）相关的任何信息 。
其中，“可被识别的自然人”，指 通过姓名、识别号码、位置数据、在线身份识别码等标识符，或通过针对该自然人的身体、生理、遗传、心理、经济、文化或社会身份等特定相关的一个或多个要素，能够直接或间接地被识别出的个人 。
判断自然人是否可被识别，应考虑数据控制者或另外一人可能合理使用到的所有方式（all the means reasonably likely to be used）。判断何种方式为“可能合理使用到”，应考虑所有客观因素：例如当前现有的技术、技术的发展、识别所需的成本和时间等。
GDPR通过抽象定义对个人信息的管辖范围划定边界，有一定的法例解释空间。
属地管辖”+“属人管辖”+“保护性管辖
可以看出其管辖范围大，关系复杂，
默认 13到16周岁儿童 对个人信息的处理行为不具备完全认知能力，因而需要监护人的授权，企业方能处理其个人信息。
数据的处理以数据主体 “同意” 为原则，数据主体有“撤回同意权”，并且 对敏感数据的处理及直接营销、用户画像的行为拥有反对权 ，偏重于保护用户的数据
其中对行使公务的反对权总以可见GPDR对数据隐私的保护力度之大
国内目前而言，尚未有成熟的数据保护条例和方案，原有的法律条文已经远远落后于当前国内信息产业的发展；一方面是国情使然，另一方面我国数据建设过程一直存在法律建设滞后的现象。
但在当前的国际大背景下，我国应该会很快研究出台相关的严格数据保护条例。
此外作为数据系统及应用研发人员，应该着手研究如何在类似GPDR的保护条例下利用数据发挥价值，这是十分值得研究的课题。