GDPR

法规及适用范围

GDPR是General Data Protection Regulation的简称，通常译为《通用数据保护条例》，法律编号为欧盟条例2016/679，自2018年5月25日起适用。它保护自然人在个人数据处理中的权利，规定数据处理活动的原则、合法基础和责任机制。

适用范围不仅包括欧盟境内机构。对未在欧盟设立的机构，如果相关处理活动涉及向欧盟境内个人提供商品或服务，或监测其在欧盟境内的行为，也可能适用。判断需结合实际活动和目标对象，不能简单认定所有欧盟公民在全球任何地点的全部数据处理均受GDPR约束，也不能因企业位于欧盟之外就认为完全不适用。

个人数据与处理责任

个人数据是与已识别或可识别自然人有关的信息，例如姓名、联系方式、与个人关联的订单资料或在线标识。删除姓名后，其他信息若仍能关联到个人，数据未必已经匿名化。健康、生物识别等特定类别的信息还可能受到更严格的处理条件限制。

决定处理目的和方式的主体称为数据控制者，受其委托处理数据的主体称为数据处理者。电商商家、客服工具、邮件服务或仓储系统之间的角色，应根据具体业务判断，不能仅凭软件或服务商身份统一归类。委托第三方处理，不表示控制者可以忽略其自身责任。

如何合法使用数据

处理活动需要有适用的合法依据，同意只是其中一种。履行合同、遵守法定义务或符合条件的合法利益等，也可能成为依据，但不能任意互换或借此扩大用途。为交付订单使用地址，与把订单资料上传到广告系统进行营销，是不同的处理目的。

数据使用还需遵循透明、目的限定、最小化、准确和保存期限等原则。隐私告知应说明处理目的、依据、接收方及相关权利，组织也应按业务需要限制访问权限。不能因未来“可能有用”而无期限保留所有客户数据。

需要依赖同意时，同意应具有自由、明确和知情等要素，并能够撤回。预先勾选或用户沉默不能直接当成有效同意。电子邮件营销和Cookie还可能涉及其他适用规则，不能仅添加一个同意按钮就视为完成全部合规工作。

个人权利与事件处理

个人在符合条件时享有访问、更正、删除、限制处理、反对及数据可携带等权利。不同权利有各自范围和例外，例如履行法定保存义务所需的数据，不会因提出删除请求就必然全部删除。组织需要设置可实际执行的请求处理流程，并按适用规则回应。

发生个人数据泄露时，控制者需要评估对个人权利与自由的风险。依法需要通知监管机构的，应无不当延迟，并在可行情况下于知悉后72小时内通知；若不太可能产生相关风险，则存在相应例外。对个人的通知适用高风险等条件，不能将规则简化为所有事件均须在72小时内通知全部用户。

跨境数据与持续管理

向欧盟以外转移个人数据，须符合适用的跨境传输条件，例如充分性决定或相应保障机制。将数据存放在某个地区，或者服务商声称支持GDPR，并不能自动证明整个业务满足要求。

GDPR要求组织根据处理活动及风险采取技术和管理措施，并在适用情况下开展影响评估、维护记录或指定相关责任岗位。监管处罚取决于具体违规及裁量规则，存在不同法定档次，并非所有问题一律适用最高罚款。合规应落实到日常业务的数据使用方式，而不只是网站上的一份声明。