文档介绍：通用数据保护条例
第一章一般条款
第二章原则
第三章数据主体的权利
第四章控制者和处理者
第五章将个人数据转移到第三国或国际组织
第六章独立监管机构
第七章合作与一致性
第八章救济、责任与惩罚
第九章和特定处理情形相关的条款
第十章授权法案与实施性法案
第十一章最后条款
经过欧盟议会长达四年的讨论,欧盟《通用数据保护条例》(General Data Protection Regulation,简称GDPR)终于在2018年5月25日生效。
第一章一般条款
第1条主要事项与目标
,以及个人数据自由流动的规则。
,特别是自然人享有的个人数据保护的权利。
,对欧盟内部个人数据的自由流动进行限制或禁止。
第2条适用范围
、半自动个人数据处理,以及形成或旨在形成用户画像的非自动个人数据处理。
:
(a)欧盟法管辖之外的活动中所进行的个人数据处理;
(b)欧盟成员国为履行《欧盟基本条约》(TEU)第2章第5款所规定的活动而进行的个人数据处理;
(c)自然人在纯粹个人或家庭活动中所进行的个人数据处理;
(d) )有关主管部门为预防、调查、侦查、起诉刑事犯罪、执行刑事处罚、防范及预防公共安全威胁而进行的个人数据处理。
、实体、办事处和规制机构所进行的个人数据处理,适用(EC)第45/2001条例。根据本条例第98条,(EC)第45/2001条例和其他适用于此类个人数据处理的欧盟法案应当进行调整,以符合本条例的原则和规则。
,特别是2000/31/EC指令第12至15条所规定的中间服务商的责任规则的适用。
第3条地域范围
,不论其实际数据处理行为是否在欧盟内进行。
,即使数据控制者或处理者不在欧盟设立:
(a)为欧盟内的数据主体提供商品或服务——不论此项商品或服务是否要求数据主体支付对价;或
(b)对发生在欧洲范围内的数据主体的活动进行监控。
,但基于国际公法成员国的法律对其有管辖权的数据控制者的个人数据处理。
第4条定义
就本条例而言:
(1)“个人数据”指的是任何已识别或可识别的自然人(“数据主体”)相关的信息;一个可识别的自然人是一个能够被直接或间接识别的个体,特别是通过诸如姓名、身份编号、地址数据、网上标识或者自然人所特有的一项或多项的身体性、生理性、遗传性、精神性、经济性、文化性或社会性身份而识别个体。
(2)“处理”是指任何一项或多项针对单一个人数据或系列个人数据所进行的操作行为,不论该操作行为是否采取收集、记录、组织、构造、存储、调整、更改、检索、咨询、使用、通过传输而公开、散布或其他方式对他人公开、排列或组合、限制、删除或销毁而公开等自动化方式。
(3)“限制处理”是指对存储的个人数据进行标记,以限制此后对该数据的处理行为。
(4)“用户画像”指的是为了评估自然人的某些条件而对个人数据进行的任何自动化处理,特别是为了评估自然人的工作表现、经济状况、健康、个人偏好、兴趣、可靠性、行为方式、位置或行踪而进行的处理。
(5)“匿名化”指的是在采取某种方式对个人数据进行处理后,如果没有额外的信息就不能识别数据主体的处理方式。此类额外信息应当单独保存,并且已有技术与组织方式确保个人数据不能关联到某个已识别或可识别的自然人。
(6)“档案系统”指的是根据某种特定标准——不论这种标准是去中心化的、分散的、功能性的或是基于地理而设置的——而可以访问的个人数据的结构化集合。
(7)“控制者”指的是那些决定——不论是单独决定还是共同决定——个人数据处理目的与方式的自然人或法人、公共机构、规制机构或其他实体;如果此类处理的方式是由欧盟或成员国的法律决定的,那么对控制者的定义或确定控制者的标准应当由欧盟或成员国的法律来规定。
(8)“处理者”指的是为数据控制者而处理个人数据的自然人或法人、公共机构、规制机构或其他实体。
(9)“接收者”指的是接收数据的自然人、法人、公共机构、规制机构或另一实体,不论其是否为第三方。然而,公共机构基于欧盟或成员国法律的某项特定调查框架而接收个人数据,则不应当被视为接收者;公共机构对此类数据的处理,应当根据处理目的遵循可适用的数据保护规则。
(10)“第三方”指的是除了数据主体、控制者、处理者、控制者或处理者直接授权其处理个人数据之外的自然人或法人、公共机