GDPR全文和解析

本文翻译了GDPR并且添加了解析，深入剖析GDPR的各个方面，可以更好地理解这一法规的重要性，并为企业和个人在数据保护方面提供有益的指导和建议。非常有价值。

GDPR https://gdpr-info.eu

• Chapter 1 (Art. 1 – 4)General provisions
• 第1章（第1-4条）总则
• 第1条 主题和目标 Subject-matter and objectives
  • 1. 数据流动和保护自然人
  • 2. 保护个人数据目的
  • 3. 不得以保护个人数据为由，限制数据在欧盟内部自由流动
• 第2条 适用范围 Material scope
  • 1. 完全自动/部分自动方式处理个人数据，以及非自动汇集/拟构成汇集个人数据的活动
  • 2. 例外： a） 发生在欧盟法律范围外的个人数据处理 b） 成员国在欧洲联盟条约第五卷第2章范围内进行活动时的个人数据处理 c） 个人和家庭生活中的个人数据处理 d） 主管当局为预防、调查、侦查或起诉刑事犯罪或执行刑事处罚的目的～
    • 第五卷 关于欧盟对外行动的一般规定以及关于共同外交和安全政策的具体规定 第1章 关于欧盟对外行动的一般规定 第2章 关于共同外交和安全政策的具体规定 第1节 共同规定 第2节关于共同安全和国防政策的规定 中国企业正常商业活动中的个人数据处理构成上述例外的可能性极低。
  • 3. 欧盟相关机构、实体、办事处和代理机构处理个人数据，应适用45/2001/EC号条例。
    • http://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32001R0045
  • 4．本条例不影响2000/31/EC号指令的适用，特别是该指令第12条至第15条关于中间服务提供商责任的规定。
    • http://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32000L0031 电子商务指令
• 第3条 地域范围 Territorial scope
  • 1. 适用于设立在欧盟境内的控制者或处理者对个人数据的处理，无论其处理行为是否发生在欧盟境内。
  • 2. 境外： a） 向欧盟境内数据主体提供商品或服务，无论是否收费 b） 对数据主体发生在欧盟境内的行为进行监控
  • 3. 设立在欧盟境外的控制者，设立地依据国际公法而要适用欧盟成员国法律，对个人数据处理适用本条例。
• 参考链接：https://mp.weixin.qq.com/s/vZFQ-XVnfUx588ovAtWSgQ 针对第1款: EDPB 认为，应根据相关判例理解第 3 条第（1）款规定的在“控制者或处理者在欧盟境内的实体营业活动范围内进行的对个人数据处理”的含义。一方面，为了实现全面有效的保护目标，不应对其含义进行限缩性解释[6]；另一方面，也不应进行过于宽泛的解释，以致欧盟境内实体的营业活动与非欧盟实体的数据处理活动的关联度非常弱时，也将这种处理纳入欧盟数据保护法的适用范围。例如，非欧盟实体在成员国内进行的某些商业活动可能与该实体的数据处理活动关联性极弱，故而该实体在欧盟内进行的商业活动中涉及的数据处理活动不应受欧盟数据保护法的规制[7]。以下两个因素可以帮助确定数据处理是否属于控制者或处理者在欧盟境内的实体的营业活动： i)欧盟境外的数据控制者或处理者与其在欧盟境内的实体之间的关系：在欧盟境外设立的数据控制者或处理者的数据处理活动可能与在它在欧盟成员国境内设立的实体的活动之间发生不可分割的联系，从而导致欧盟法的适用，即使欧盟境内的实体没有实质上参与该数据处理活动。如果对事实的个案分析表明非欧盟数据控制者或处理者的数据处理活动与其在欧盟境内实体的活动之间存在密切关联，则无论其在欧盟的实体是否参与此数据处理。欧盟法均对该非欧盟实体产生约束力。 ii)有来自欧盟境内的收入：若欧盟境内某实体在欧盟进行了营收活动，且该营收活动与在欧盟境外进行的个人数据处理活动和欧盟居民“紧密关联”，则可认定“该非欧盟的控制者或处理者的处理活动属于在欧盟境内实体进行的营业活动”，该等处理活动进而可能因此受到欧盟法规制。 第 3 条第（1）款并未将GDPR的适用范围局限于在欧盟境内进行的个人数据处理活动。因此，EDPB 认为，控制者或处理者在其位于欧盟境内实体营业活动范围内进行的数据处理活动均受GDPR的约束，无论处理的个人数据对应的数据主体的所在地或国籍如何。这一观点在 GDPR 序言第 14 条也有所体现，该条规定：“本条例提供的保护适用于与个人数据处理有关的自然人，不论其国籍或居住地在何处”。但是当根据GDPR第3条第（1）款判断实体的不同义务时，须对每个实体所进行的数据处理单独分析。 例1：某电子商务网站由一家中国公司运营。该公司的个人数据处理活动仅在中国进行。这家中国公司已在柏林设立了欧洲办公室，以领导并实施针对欧盟市场的商业拓展和营销活动。在此案中，鉴于在欧洲市场开展商业拓展和营销活动的营利性，柏林欧洲工作室进行的商业拓展和市场营销活动可以被认定为与该中国公司在中国进行的数据处理行为密切关联。因此，中国公司处理与欧盟销售有关的个人数据可以被认定为是在欧盟的实体进行的营业活动。因此，中国公司进行的处理活动应遵守GDPR第3条第（1）款的规定。 例2：南非的一家连锁度假酒店通过其网站提供成套交易，并提供英语，德语，法语和西班牙语服务。该公司在欧盟没有任何办公室，代表或稳定的安排。在本案中，该连锁酒店在欧盟境内没有任何代表人或稳定部署，似乎没有任何实体与此南非的数据控制者有联系，使其有在 GDPR 项下的欧盟境内的实体。因此，相关数据处理不受GDPR第3条第（1）款规定的约束。但是，欧盟境外的数据控制者所进行的数据处理是否受GDPR第3条第（2）款的约束必须另行具体分析。需要判别是否针对欧盟游客有针对性的行为，还是面向全世界所有国家。 例3：某法国公司专门面向摩洛哥，阿尔及利亚和突尼斯的客户开发了一款汽车共享应用程序。该服务仅在这三个国家/地区可用，但所有个人数据处理活动均由在法国的数据控制者进行。尽管个人数据的收集是在非欧盟国家/地区进行的，但是个人数据的后续处理是数据控制者在欧盟境内的实体进行的营业活动范围内。因此，即使处理的个人数据对应的数据主体不属于欧盟居民，但根据GDPR第3条第（1）款的规定，该法国公司进行的数据处理活动须受GDPR的约束。 例4：总部位于斯德哥尔摩的某制药公司将与临床试验数据有关的所有个人数据处理活动都安排给了其位于新加坡的分支机构进行。在这种情况下，虽然处理活动在新加坡进行，但处理属于斯德哥尔摩制药公司的营业活动，即属于在欧盟境内设立的数据控制者的营业活动。因此，根据GDPR第 3 条第（1）款规定，该数据处理活动应受GDPR 的约束。 如果数据控制者和数据处理者中有一个不是在欧盟境内设立的，那么两者之间关系的存在不必然导致GDPR对两者都适用。一个组织若依另一个组织（客户公司）的指示代表其处理个人数据，则该组织将被认定为是客户公司（数据控制者）的处理者。如果处理者设立在欧盟境内，则该处理者须遵守GDPR对处理者规定的义务（“ GDPR数据处理者义务”）。如果向数据处理者下达指令的数据控制者也位于欧盟，则该数据控制者必须遵守GDPR规定的数据控制者的义务（“ GDPR控制者义务”）。数据控制者进行的数据处理活动符合GDPR第3条第（1）款的规定时，该处理活动将不会仅因为数据控制者指示的代其处理个人数据的处理者位于欧盟境外而逃脱GDPR的规制。 i)设立在欧盟境内的控制者指令设立在欧盟境外的处理者进行的数据处理活动。适用 GDPR 的控制者委托不适用 GDPR 的处理者处理数据时，控制者应通过合同或其他法律文件确保处理者会根据 GDPR 的要求处理数据。GDPR第 28 条第 3 条规定，处理者的数据处理行为应当受合同或其他法律文件约束。因此，控制者须确保与处理者签订的合同中列明GDPR第 28 条第（3）款规定的各项要求。此外，为了确保GDPR第 28 条第 1 款规定的义务的履行—即选择能提供充分保障按照GDPR的要求处理个人数据的处理者，控制者可考虑把 GDPR 对处理者的要求写入与处理者的合同中。也就是说，控制者应参照 GDPR 第 28 条第（3）款的要求，确保不受 GDPR 约束的处理者的处理行为受到合同或欧盟或各成员国法律规定的法律行为的约束。因此，不受 GDPR 管辖的处理者将基于 GDPR 第 28 条规定通过合同规定间接地受到GDPR关于数据控制者的特定义务的约束，也可能适用GDPR 第五章的规定。 例 5：芬兰研究机构对萨米人进行了研究。该研究所启动某一项目仅涉及俄罗斯萨米人。在这个项目中，研究所委托了位于加拿大的数据处理者处理个人数据。芬兰的控制者须仅委托能够提供足够的保证，并实施满足GDPR要求的措施保护数据主体权利的处理者。芬兰的数据控制者需要与加拿大的数据处理者签订数据处理协议，该协议将规定数据处理者的责任。 ii)在位于欧盟境内的数据处理者的营业活动范围内的数据处理行为：需要考虑两个问题。第一个问题是，控制者本身在欧盟境内是否有实体，且在该实体的营业活动范围内进行了数据处理。若控制者的数据处理行为不是发生在位于欧盟境内的实体的营业活动范围内，则该数据控制者不因第3条第（1）款规定而受GDPR 管辖（尽管可能因第3条第（2）款规定受 GDPR 管辖）。除非存在其他因素，否则数据处理者在欧盟境内有实体将不被视为数据控制者在欧盟境内有实体。另一个问题是处理者的处理行为是否属于欧盟境内实体的营业活动。如果是，则处理者将受到第3条第（1）款规定的GDPR处理者义务的约束。 然而，这并不会导致非欧盟控制者受到GDPR的约束。也就是说，“非欧盟”控制者（如上所述）不会仅因为委托欧盟境内的处理者而受GDPR的约束。 例6：一家墨西哥零售公司与一家在西班牙建立的处理器签订合同，以处理与墨西哥公司客户有关的个人数据。这家墨西哥公司专门向墨西哥市场提供服务，且其处理的个人信息仅涉及欧盟境外的数据主体。在这种情况下，墨西哥零售公司不向欧盟境内居民提供产品或服务，也不监控欧盟境内居民的行为。 因此，设立在欧盟境外的控制者进行处理不因第3条第（2）款的规定而受GDPR的约束。同样，数据控制者的活动不属于在欧盟境内的实体的营业活动范围内，从而不因第3条第（1）款的规定而受到GDPR的约束。，GDPR的规定不适用于数据控制者，因为它不在联盟机构的活动范围内处理个人数据。 本案中，数据处理者位于西班牙，因此根据GDPR第3条第1款的规定，其处理行为将受GDPR的规制。处理者在其营业活动范围内进行的数据处理须遵守GDPR关于处理者义务的规定。 针对第2款: GDPR第3条第（2）款，规定了“目标指向标准”。欧盟境外的控制者或处理者的两种特定的与欧盟境内数据主题相关的处理行为可能处罚该条款的规定，从而受到GDPR的规制。 a）欧盟境内的数据主体：EDPB认为，就与服务提供有关的处理活动而言，该规定针对的是有意而非无意或偶然地针对欧盟境内个人的活动。因此，如果处理涉及仅向欧盟以外的个人提供的服务，但当这些个人进入欧盟境内时，服务并未撤回，则相关处理将不受GDPR的约束。 例7：澳大利亚某公司根据用户的喜好和兴趣提供移动新闻和视频内容服务。用户每日或每周收到更新。此项服务仅提供给位于澳大利亚的用户，用户在订阅时必须提供澳大利亚电话号码。该服务的一位澳大利亚订阅者在德国度假期间继续使用该服务。尽管该澳大利亚用户在欧盟境内期间继续使用该服务，但该服务并非针对欧盟内的个人，而是仅针对澳大利亚境内的个人，因此澳大利亚公司对个人数据的处理不属于GDPR的规制范围。 例9：某美国设立的初创企业，欧盟没有任何业务存在或经营场所。该公司为游客提供城市地图App。该App处理用户在特定城市使用该应用程序时的地理位置，以便就游客参观的地点提供周边的餐馆、酒吧和酒店等有定向广告。该App适用于游览纽约、旧金山、多伦多、伦敦、巴黎和罗马的游客。该美国企业通过其城市地图App，面向欧盟(特别是伦敦、巴黎和罗马)的数据主体提供了服务，所提供的其对欧盟境内数据主体的个人数据的处理活动与其面向欧盟数据主体提供的服务相关，根据第 3 条第 2 款受GDPR 约束。 例10：一位美国公民在欧洲旅游度假期间下载并使用了某美国公司提供的新闻类App。从App的使用协议和将美元作为唯一可供支付货币来看，该App显而易见专门针对美国市场。这家美国公司通过App收集美国游客的个人数据不受GDPR的约束。 此外，只要处理过程不专门针对欧盟居民也不涉及对其在欧盟境内行为的监控，在第三国处理欧盟公民或居民的个人数据不会触发GDPR的应用。 例11：台湾的一家银行有居住在台湾但持有德国国籍的客户。该银行只在台湾开展业务，其活动不针对欧盟市场。该银行处理德国客户的个人数据不受GDPR的约束。 例12：一家在欧盟境内没有实体的美国公司处理临时出差到法国、比利时和荷兰的员工的个人资料，具体目的是报销他们的住宿费用和支付每日津贴，不同国家的报销额不同。在这种情况下，虽然处理活动与欧盟境内的人员（即临时在法国，比利时和荷兰出差的员工）有特殊关系，但是它并不涉及向这些个人提供服务，而是雇主履行其合同义务和与个人就业有关的人力资源职责所必需的处理行为。这处理行为不涉及服务的提供务，因此不因第3条第（2）款（a）项而受GDPR的约束。 尽管“指向性活动”的概念不同于“提供商品或服务”，但EDPB认为Pammer v Reederei Karl Schlüter GmbH&Co和Hotel Alpenhof v Heller（C-585/08和C-144/09）的判例可能有助于认定是否向欧盟中的数据主体提供产品或服务。因此，在考虑到案件的具体事实时，可以考虑或结合考虑以下因素： -提供的商品或服务中至少指明了欧盟或一个成员国； -数据控制者或处理者向搜索引擎运营商支付互联网参考服务的费用，以方便欧盟消费者访问其网站；或者控制者或处理者已针对欧盟国家的受众发起营销和广告活动； -有关活动的国际性质，如某些旅游活动； -欧盟国家可访问的地址或电话号码； -使用不同于控制者或处理者的第三个国家/地区以外的顶级域名，例如“ .de”，或使用中立的顶级域名，例如“ .eu”； -从一个或多个其他欧盟成员国到提供服务地点的旅行说明； -由多个欧盟成员国的客户组成的国际客户，特别是通过展示此类客户书面的帐户； -使用交易者所在国家/地区以外的语言或货币，尤其是一个或多个欧盟成员国的语言或货币； -数据控制者可在欧盟成员国内交付货物。 例14：某个在土耳其建立和管理的网站提供个性化家庭相册的创建，编辑，打印和运输服务。该网站提供英语，法语，荷兰语和德语版本，并且可以用欧元付款。该网站表明只能在法国，比荷卢三国和德国提供邮寄服务。 在本案中，很明显制作、编辑和印刷个性化家庭相册是欧盟法律意义上的服务。该网站以欧盟的四种语言提供服务，并且可以在六个欧盟成员国内邮寄相册，这表明土耳其网站有意向欧盟的个人提供服务。 因此土耳其网站作为数据控制者所进行的处理涉及向欧盟中的数据主体提供服务，因此依据GDPR第3条第（2）款（a）项的规定须受GDPR的约束并履行GDPR项下的义务。 根据GDPR第27条的规定，数据控制者必须在欧盟指定一名代表人。 例15：摩纳哥某私营公司为支付工资而处理其雇员的个人数据。该公司员工大部分是法国和意大利居民。在这种情况下，虽然该公司进行的处理涉及法国和意大利的数据主体，但并非在提供产品或服务的情况下进行。事实上，人力资源管理，包括第三国公司的工资支付，不能被认定为第3条第（2）款（a）项所指的提供服务。该处理行为不是向欧盟境内数据主体提供货物或服务（也不涉及对行为的监控），按照第3条的规定因此不受GDPR第的约束。前述分析不影响第三国有关法律的适用。 例16：苏黎世某瑞士大学提供在线平台以选拔硕士学位。候选人可以上传其简历、求职信以及联系方式。任何具有充足德语和英语水平并持有学士学位的学生均可参加选拔。这所大学并没有向欧盟境内大学的学生做特别宣传，也只接受瑞士货币的支付。 由于在本硕士学位的申请和遴选过程中没有对来自欧盟的学生进行区分或说明，因此无法确定瑞士大学有意针对特定欧盟成员国的学生。足够的德语和英语水平是适用于任何申请人的一项一般要求，无论该申请人是瑞士居民，欧盟人员还是来自第三国的学生。如果没有其他因素表明欧盟成员国学生的具体目标，那么就不能确定所涉及的处理与向欧盟数据主体提供教育服务有关，因此此类处理将不受GDPR规定的约束。 瑞士大学还提供国际关系暑期课程，并专门在德国和奥地利的大学中宣传此课程，以最大程度地提高课程的出勤率。在这种情况下，瑞士大学明确打算向欧盟中的数据主体提供此类服务，GDPR将适用于相关的处理活动。 监控数据主体的行为 GDPR第3条第（2）款（a）项的规定相反，GDPR第3条第（2）款（b）项或序言第24条均未明确规定数据控制者或处理者具有"目标指向"的必要程度，以确定监控活动是否会引起 GDPR的适用。但是，“监控”一词的使用意味着控制者有一个特定的目的，即收集和再利用在欧盟境内的个人行为的相关数据。EDPB认为在线收集或分析欧盟境内的个人数据不会自动被视为“监控”。这将有必要考虑控制者处理数据的目的，特别是涉及该数据的任何后续行为分析或识别分析技术。EDPB钻研了第24条的措辞，该措辞表明要确定数据处理是否涉及监控数据主体的行为，对互联网上自然人的跟踪（包括随后可能使用的识别分析技术）是关键考虑因素。根据第3条第(2)款(b)项的规定，数据控制者或处理者监控在欧盟境内数据主体的行为可包括广泛的监控活动，特别是包括： -用户行为广告 -地理定位，特别是用于营销 -通过使用cookies或其他跟踪技术（如指纹识别)进行在线跟踪 -个性化饮食和健康在线分析服务 -闭路电视 -基于用户画像的市场调查和其他行为研究 -监控或定期报告个人健康状况 例17：在美国成立的零售咨询公司通过Wi-Fi追踪收集顾客在购物中心的移动情况，为法国某购物中心提供零售布局方面的建议。通过Wi-Fi追踪分析顾客在购物中心内的活动相当于监控主体的活动。在本例中，由于购物中心位于法国，故数据对象的行为发生在欧盟境内。因此，作为数据控制者的该资讯公司以此为目的处理该等数据时，须根据GDPR第3条第（2)款（b)项的规定受GDPR约束。根据GDPR第27条的规定，该数据控制者美国咨询公司必须在欧盟境内指定一位代表人。 例18：某设立于加拿大，在欧盟境内没有实体的App开发者监控欧盟境内数据主体的行为，因此根据GDPR第 3条第（2）款（b）项的规定受GDPR的约束。该App开发者使用在美国设立的处理者进行应用优化和维护。就委托处理的行为而言，加拿大数据控制者有义务仅使用合适的处理者，确保其履行GDPR第28条项下的义务，并反映在管理其与美国处理者关系的合同或法律行为中。 设立在欧盟境外的数据处理者 如果处理活动与GDPR第3条第（2)款要求的目标指向活动“相关”的处理，则应受GDPR的规制。EDPB认为处理活动和提供产品或服务之间需要有联系，但是需要考虑控制者和处理者的处理活动是否均是相关的。对于设立在欧盟境外的数据处理者，为了确定其数据处理是否符合GDPR第3条第（2)款的规定，有必要审查处理者的数据处理活动是否与控制者的目标活动“相关”。EDPB认为，如果数据控制者的数据处理活动涉及商品或服务的提供或对个人在联盟中行为的监控(“目标指向”)，则根据第3条第(2)款的规定，任何指示其代表控制者执行该处理活动的处理者均属于GDPR的适用范围。EDPB认为重点应是处理者执行的处理活动与数据控制者执行的目标指向活动之间的关联。 例19：某巴西公司在网上销售食品配料和当地食谱向欧盟境内让居民提供产品。该公司采取投放广告的措施，并在法国，西班牙和葡萄牙提供送货服务。在本案中，公司指示同样在巴西设立的数据处理者基于法国、西班牙和葡萄牙的客户之前的订单开发特别优惠，进行相关的数据处理。处理者在控制者的指令下进行的处理活动与向联盟境内的数据主体提供货物有关。此外，通过开发这些定制的报价，数据处理者可以直接监视欧盟中的数据主体。因此，根据第3条第（2)款，处理者的数据处理活动应受GDPR的管辖。 例20:某美国公司开发了一款健康和生活方式App，允许用户记录他们的个人指标(睡眠时间、体重、血压、心跳等)。然后，该App为用户提供每日的饮食和运动建议。处理由美国数据控制者执行。该App提供给欧盟境内的个人使用。在数据存储方面，美国公司使用在美国设立的处理者(云服务提供商)在运行该App时，它将“瞄准”欧盟境内的个人，构成对欧盟境内个人的监控，从而根据GDPR第3条第(2)款须受GDPR的约束。在根据美国公司的指示并代表该公司进行处理时，该云服务商/处理者正在执行的处理活动与其控制者针对欧盟的个人目标指向活动“相关”。根据GDPR第3条第(2)款的规定，处理者代表其数据控制者进行的数据处理活动属于GDPR的规制范围。 与其他GDPR条款和其他法律的相互作用 EDPB还将进一步评估根据第3条适用的GDPR领域范围与根据第五章关于国际数据传输的规定之间的相互作用。如有必要，可能会就此发布额外的指导意见。在处理个人数据方面，设立在欧盟境外的第三国控制者或处理者须遵守其本国法律。但是，如果这种处理根据GDPR第3条第(2)款涉及针对联盟境内的个人，则除要遵守其国家/地区的法律外，控制者还必须遵守GDPR的规定。不管处理是按照第三国的法律义务进行的，还是仅仅是由控制者选择而进行的处理，情况都是如此。 设立与欧盟境外的控制者或处理者的代表人 根据GPDR第3条第（2)款的规定，受GDPR约束的数据控制者或处理者有义务在欧盟境内中指定一名代表人。因此，未在联盟内设立但受GDPR约束的控制者或处理者如未能在联盟内指定代表将违反该条例。值得注意的是，设立在欧盟境外的数据控制者或处理者应在欧盟境内指定一名代表。这不属于第3条第（1）款的范围，换言之在欧盟境内的代表不会导致成立了GDPR第3条第（1）款所定义的“实体”。 指定代表人 序言第80条阐明：“数据控制者或处理者应当以书面授权方式明确指定其代表人以代表其履行本条例项下的义务。指定代表人并不影响数据控制者或处理者在本条例项下的义务与责任。该代表人应根据从数据控制者或处理者处获得的授权执行任务，包括与有权监管机构合作，实施任何确保遵守本条例的活动。”因此，在不影响数据控制者或处理者在GDPR项下的义务与责任的条件下，欧盟境外数据控制者或数据处理者应当按照引言第80条的要求以书面授权的方式在欧盟境内明确指定其代表人。该控制者或处理者与代表人之间的关系以及各自的义务应当参照该书面授权的规定。在欧盟境内的代表人既可以是自然人也可以是法人。该代表人应当有能力担任欧盟境外的数据控制者或处理者履行GDPR项下的义务时的代表。在实践中，欧盟境内代表的职能可以依据与欧盟境外数据控制者或处理者之间订立的服务协议行使，因此可以由各种不同类别的商业或非商业实体担任，例如律师事务所、咨询公司、私人企业等，只要该等实体设立在欧盟境内。同一实体可以担任多家欧盟境外数据控制者或数据处理者在欧盟境内的代表。 根据GDPR的规定，EDPB认为，在控制者或处理者的处理行为适用GDPR第3条第（2）款的规定（且不适用GDPR第27条第（2）款规定的豁免）的情况下，该控制者或处理者无须为不同的处理行为任命多名代表。EDPB认为，欧盟境内代表人的职责不等于在欧盟中设立的外部DPO的职责。GDPR第38条第3款为DPO履行其职责拥有足够的自治权规定了一些基本保障，特别是要求控制者或处理者应当确保“DPO不会收到任何有关执行其工作任务的指示”。此外，引言第97条规定，DPO“无论是否是控制者的雇员，都应当独立履行其义务与职责”。这种对DPO足够的自治权和独立权的规定似乎与欧盟境内代表人的职能不一致。代表人受制于控制者或处理者的委托，代表其行事，并因此受其直接指导，与DPO独立处理工作的要求不一致。 尽管GDPR并没有要求数据控制者或其代表人有义务将对代表人的任命通知监管机构，但EDPB认为，根据GDPR第13条第（1）款a项和第14条第（1）款a向的规定，数据控制者应当将对代表人的任命以及代表人的身份告知数据主体，以履行其告知义务，例如通过隐私政策等形式在收集数据之前告知数据主体。设立在欧盟境外且符合第3条第（2）款的适用条件的控制者未能告知用户该等代表人的的存在以及身份的行为则违反了GDPR规定的透明性原则。 例24：在例14中提及了某设立并在土耳其进行管理的网站提供定制化家庭相册的创建、编辑、打印和寄送服务。该网站提供英语、法语、荷兰语和德语的版本，且支持欧元或英镑付款。该网站声明，仅支持将相册在英国、法国、比荷卢经济欧盟国家和德国境内的邮递。根据GDPR第3条第（2）款（a）项的规定，该网站受GDPR的约束，并应当在欧盟境内指定一名代表人。代表人必须设立在服务接受方的其中一个欧盟成员国内，根据本案例的细节，即网站应当选择在英国、法国、比利时、荷兰、卢森堡或德国境内指定一名代表。数据控制者及其欧盟境内代表的名称和联系方式必须在数据主体开始创建其相册前在线告知该数据主体，并写入网站的一般隐私声明中。 指定代表义务的免除 尽管GDPR第3条第（2）款要求于设立于欧盟境外的数据控制者或处理者应当在欧盟境内指定一名代表，但GDPR第27条第（2）款规定了两种豁免情形： -对数据的处理是“偶尔发生的，且不包括第 9 条第 1 款规定的对特殊个人数据的大规模处理或第 10 条规定的有关刑事违法和定罪的数据处理”，且该等处理“依据处理行为的性质、环境、范围和目的，对自然人的权利和自由产生风险的可能性较小”。尽管GDPR并未明确定义什么是对个人数据的大规模处理，但第29条工作组先前在关于DPO的WP243指南中建议，在认定是否属于大规模处理时应当考虑如下因素：所涉数据主体的数量—具体数额或所占人口的比例；数据体量和/或正在被处理的不同数据的范围；数据处理活动进行的时长或持续性；以及数据处理活动的地理范围。EDPB强调GDPR第27条的豁免适用的情形是“对自然人的权利和自由产生风险的可能性较小”的处理行为，即不将豁免局限在不会对数据主体的权利和自由产生高风险的处理行为。根据引言第75条的建议，在评估对数据主体权利和自由的风险时，应当同时考虑风险发生的可能性和严重性。
• 第4条 定义 Definitions
  • （1）“个人数据”是指已识别到的或可被识别的自然人（“数据主体”）的所有信息。可被识别的自然人是指其能够被直接或间接通过识别要素得以识别的自然人，尤其是通过姓名、身份证号码、定位数据、在线身份等识别数据，或者通过该自然人的物理、生理、遗传、心理、经济、文化或社会身份的一项或多项要素予以识别。 （2）“处理”是指对个人数据或个人数据集合的任何单一或一系列的自动化或非自动化操作，例如对其的收集、记录、组织、建构、存储、适配或修改、检索、咨询、使用、披露、传播或其他的利用、排列或组合、限制、删除或销毁。 （3）“处理限制”是指为限制之后对数据进行处理而对存储数据进行标记的行为； （4）“画像”是指为评估与自然人相关的某些个人情况，特别是为了分析或预测该自然人的工作表现、经济状况、健康状况、个人偏好、兴趣、可信度、行为、位置或行踪，而对个人数据进行的任何形式的自动化处理和利用。 （5）“假名化”是一种使得个人数据在不参照其他数据的情况下无法指向特定数据主体的个人数据处理方式。该处理方式将个人数据与其他数据分别存储，并且会采取相应的技术和组织措施而使得个人数据无法指向一个已识别到的或可被识别的自然人。 （6）“个人数据整理汇集系统”是一种可依照特定标准得以利用的、结构化的个人数据集合，无论其是集中、分散或按照功能或地域基准进行分布。 （7）“控制者”是能单独或共同决定个人数据的处理目的和方式的自然人、法人、公共机构、行政机关或其他实体。其中个人数据处理的目的和方式，以及控制者或控制者资格的具体标准由欧盟或其成员国的法律予以规定。 （8）“处理者”是指为控制者处理个人数据的自然人、法人、公共机构、行政机关或其他实体。 （9）“接收者”是指被披露个人数据的自然人、法人、公共机构、行政机关或其他实体，无论其是否为第三方。但是，政府部门因在欧盟或其成员国法律框架内特定调查而获得个人数据的，不得被视为接收者；政府部门对这些数据的处理应当依据数据处理目的进行，并遵循相关数据保护规则。 （10）“第三方”是指数据主体、控制者、处理者以及根据控制者或处理者的直接授权处理个人数据的主体之外的自然人、法人、公共机构、行政机关或其他实体。 （11）数据主体的“同意”是指数据主体依照其意愿自愿作出的、具体的、知情的及明确的确认意思表示。其通过声明或明确肯定的行为作出的这种意思表示，表明其同意对其相关的个人数据进行处理。 （12）“个人数据泄露”是指个人数据在传输、存储或进行其他处理过程中发生安全问题，导致个人数据被意外或非法损毁、丢失、篡改、未经授权披露给第三方或可被第三方访问。 （13）“基因数据”是指与自然人先天或后天的遗传性特征相关的个人数据。这类数据能够反映与该自然人生理机能或健康状况相关的独特性质，并且上述数据往往来自对该自然人生物样本的分析结果。 （14）“生物识别数据”是通过对自然人的物理、生物或行为特征进行特定的技术处理而获得的个人数据。这类数据生成该自然人的唯一标识，比如人脸图像或指纹识别数据。 （15）“健康相关数据”是指与自然人身体或心理健康相关的个人数据，包括可以体现其健康状况的健康服务数据。 （16）“主营业场所”是指： （a）对于在多个成员国有营业机构的控制者，其在欧盟境内的主要管理机构所在地被视为主营业场所；但如果个人数据处理的目的和方式是控制者在欧盟境内另一营业机构内决定的，并且后者有权执行该决定，则作出该决定的营业机构所在地为主要营业场所； （b）对于在多个成员国有营业机构的处理者，其在欧盟境内的主要管理机构所在地为主营业场所；如果处理者在欧盟境内没有主要管理机构，但其在本条例项下承担特定义务的，则其欧盟境内营业机构主要处理活动发生地为主营业场所。 （17）“代表”指控制者或处理者依照第27条书面指定、代表控制者或处理者履行其各自在本条例项下义务的欧盟境内的自然人或法人。 （18）“企业”是指参与经济活动的所有组织形式的自然人或法人，包括经常参与经济活动的合伙或协会。 （19）“企业团体”是指控股企业及其控制的企业。 （20）“约束性企业规则”是指成员国范围内的控制者和处理者，向位于第三国的同一集团关联企业或者其他企业的控制者或处理者进行个人数据传输或系列传输时应遵守的个人数据保护政策。 （21）“监管机构”是指由成员国依据第51条设立的独立的公共权力机构。 （22）“有关监管机构”是基于下述原因而与个人数据处理有关的监管机构： （a）控制者或处理者设立于监管机构所在成员国之内； （b）居住于监管机构所在成员国的数据主体已经或可能因处理行为受到严重影响；或 （c）该监管机构收到申诉。 （23）“跨境处理”是指以下情形之一： （a）如果欧盟境内的控制者或处理者在多个成员国都有营业场所的，该控制者或处理者的营业机构在一个以上成员国的活动中发生的个人数据处理；或 （b）欧盟境内的控制者或处理者在欧盟境内只有一个营业场所，但是在其活动中发生的数据处理会严重影响或可能会严重影响多个成员国的数据主体。 （24）“相关与合理异议”是指对确定是否存在违反本条例行为或者对控制者或处理者拟采取的行为是否符合本条例，而对相关决议草案所提出的异议。该异议应清晰表明决议草案对数据主体的基本权利和自由以及欧盟境内个人数据自由流动所造成的重大风险。 （25）“数据社会服务”是指欧洲议会和欧盟理事会2015/1535/EC号指令的第1条第1款 （b）项中定义的服务。[19] （26）“国际组织”是指依照国际公法设立的组织及其下属机构，或者以两个或多个国家之间的协议为基础建立的其他机构。
    • 假名化的技术手段概述‌ ‌随机化‌：通过预定义规则集生成随机或虚构值，替换原始数据中的敏感信息，确保随机数据不链接到任何可识别的信息。 ‌替换‌：使用掩码值替换原始数据值，掩码值保留原始值的数据格式和特征，但不显示任何可识别的信息，保护数据安全。 ‌扰动‌：以受控方式向被屏蔽的数据集添加随机噪声或变化，打破常规的数据脱敏模式，增强对敏感信息的保护。 ‌高级技术‌：包括非对称加密、环签名和组假名、链接模式、基于多个标识符的假名、具有知识证明的假名和安全多方计算等，适用于更复杂的场景和高级需求。 加密和哈希属于假名化方式
• Chapter 2 (Art. 5 – 11)Principles
• 第2章（第5-11条）原则
• 第5条 与个人数据处理有关的原则 Principles relating to processing of personal data
  • 1. 原则： a）合法性、公平性、透明性 b）目的限制 c）数据最小化 d）存储限制 e）准确性 f）保密性和完整性 2. 证明遵守第1条-问责制
• 本条例提供之保护适用于个人数据被处理的当事自然人，无论其国籍或居所为何。本条例不适用于法人（尤其是设立为法人的企业）的信息处理，包括法人的名称、形式和联系方式等。RECITALS-14
• 第6条 处理的合法性 Lawfulness of processing
  • 1. 合法性要求： （a）数据主体同意为一个或多个特定目的而处理其个人数据； （b）数据处理是为履行数据主体作为一方的合同所必需，或者数据处理是在订立一项合同前为依据数据主体的要求采取特定行为所必需； （c）数据处理是为履行控制者所负担的法律义务所必需； （d）数据处理是为保护数据主体或另一自然人的重大利益所必需； （e）数据处理是为执行公共利益领域的任务所必需或是为行使控制者被赋予的公务职权所必需； （f）数据处理是为实现控制者或者第三方所追求的合法利益所必需，但数据主体所享有的、需要保护其个人数据的利益、基本权利和自由优先于上述合法利益的除外，尤其在数据主体为儿童的情形下。 上述（f）项不适用于政府机关在履行其职责时进行的数据处理。
  • 2．各成员国可以通过制定能够确保数据处理（包括条例第九章所规定的其他具体处理情形）的合法性和公平性的、更加准确、具体的数据处理要求和其他措施的方式，保留或制定更加具体的规定落实本条例第1款（c）项和（e）项。
  • 3．本条第1款（c）项和（e）项所指的处理活动法律依据如下： （a）欧盟法律；或 （b）适用于控制者的成员国法律。
  • 4．如果数据处理的目的与该数据被收集时的目的不同，并且该处理亦非基于数据主体的同意或欧盟或成员国法律（该法律对于民主社会中用于保障本条例第23条第1款所指之目标是必要且适当的）的情形下，控制者应当考虑下列情形以确定为该其他目的所进行的数据处理是否与个人数据最初被收集时的目的相一致，特别是： （a）收集个人数据时的目的和拟进一步数据处理的目的之间的关系； （b）收集个人数据的背景，尤其是数据主体和控制者之间的关系； （c）个人数据的性质，尤其是其是否涉及本条例第9条项下特殊类别个人数据的处理，或者其是否涉及本条例第10条项下与刑事定罪和罪行有关的个人数据的处理； （d）拟进一步处理数据可能造成的后果； （e）是否存在适当保障措施，如加密或假名化措施等。
• 本条例为员工人数少于250人的组织免除了必须保存数据处理记录的要求，并且鼓励欧盟各机构、组织以及各成员国及其监管机构在适用本条例时也照顾到中小微企业的实际需求。中小微企业的定义可参见《欧盟委员会2003/361/EC号推荐建议》[5]的附件第2条。RECITALS-13 控制者（包括可能获得个人数据披露的控制者）或第三方的正当利益可作为数据处理的合法依据，但条件是数据主体的利益或基本权利和自由不处于首要地位，为此要考虑到数据主体依照其与控制者之间的关系所作出的合理预期。可能存在该等正当利益的情形包括：数据主体和控制者之间存在适当的关联关系，例如数据主体属于控制者客户或为控制者提供服务或其他类似情况。无论何种情况下，控制者均须对是否存在正当利益进行审慎评估，包括在个人数据被收集时或在个人数据被收集的情况下，数据主体是否能够合理预期到为上述目的可能发生的数据处理行为。在数据主体未合理预期到数据将被进一步处理的情况下发生个人数据处理行为的，数据主体的利益和基本权利要优先于数据控制者的利益。由于政府机关处理个人数据的法律依据由立法机关通过法律的形式提供，因此上述法律依据不应适用于政府机关履行义务的数据处理行为。为防止欺诈目的必须进行个人数据处理的，也构成相关数据控制者的正当利益。为直接营销目的处理个人数据的，可视为为正当利益进行的处理。 RECITALS-47 控制者属于附属于中心机构的某一企业或机构团体成员的，为内部管理目的在企业团体内部传送个人数据（包括对客户或员工的个人数据的处理）的，属正当利益。向企业团体内部位于第三方国家的企业转移个人数据的，依然要适用个人数据转移的一般原则。 RECITALS-48
• 第7条 同意的条件 Conditions for consent
  • 1．如处理是基于同意，则控制者应能证明数据主体已经同意处理其个人数据。
  • 2．如数据主体通过书面声明的方式作出同意，且书面声明涉及其他事项，则要求数据主体同意的请求应以符合以下要求的形式呈现：与其他事项显著区别；易理解、易获得；使用清楚、平实的文字。如该声明中任何部分违反本条例的规定，则其应不具约束力。
  • 3．数据主体有权随时撤回其同意。同意的撤回不应影响在撤回前基于同意作出的合法的数据处理。在作出同意前，数据主体应被告知上述权利。撤回同意应与作出同意同样容易。
  • 4．当评估同意是否是自由作出时，应着重考虑一个合同的履行（包括服务的提供）是否是以数据主体同意处理为履行该合同不必要的个人数据为前提。
• 第8条 适用于儿童同意信息社会服务的条件 Conditions applicable to child’s consent in relation to information society services
  • 1．适用本条例第6条第1款（a）项规定，向儿童提供信息社会服务的，对16周岁以上儿童的个人数据的处理方为合法。在儿童未满16周岁时，当且仅当在取得该儿童监护人同意或者授权的情形下，上述数据处理方为合法。 各成员国可以以法律形式为前述目的设定更低的年龄界限，但不得低于13周岁。
  • 2．在考虑到现有技术水平的前提下，控制者应当作出合理的努力以核实在此种情况下相关同意是否由相关儿童的监护人作出或者授权。
  • 3．本条第1款不应影响各成员国的一般合同法适用，如与儿童有关的合同效力或者合同成立等。
• 第9条 特殊类别个人数据的处理 Processing of special categories of personal data
  • 1．禁止从事下列数据处理行为：对显示种族或民族出身、政治观点、宗教或哲学信仰、工会会员资格的个人数据进行的处理；为识别特定自然人为目的对基因数据、生物学数据进行的处理；对健康有关数据或者对特定自然人的性生活或性取向的数据进行的处理。
  • 2．在满足下述任一条件的情形下，本条第1款将不适用： （a）数据主体对以一个或数个特定目的对上述个人数据进行处理给予了明示同意，但欧盟或者成员国法律规定本条第1款所列的禁止情形不得被数据主体免除的除外。 （b）数据处理为控制者或数据主体在劳动、社会保障以及社会保障法的范畴内履行其义务或者行使其权利所必需，且该数据处理符合下列条件：依据欧盟、成员国法律或者依据成员国法律制定的集体合同进行；上述法律或者集体合同规定了保护数据主体基本权利和利益的适当措施。 （c）数据处理为保护数据主体或另一自然人的重大利益所必需，且数据主体物理上或法律上无法给予相关同意。 （d）数据处理是由政治、哲学、宗教、工会性质的协会、组织或其他非营利性组织在其有适当安全保障的合法活动中实施的，且该数据处理满足如下要求：处理仅仅与该组织的成员、前成员或与该组织依其组织宗旨而产生联系的经常联系人相关；相关个人数据未经数据主体同意不得向组织外的人披露。 （e）数据处理与已经由数据主体明显公开的个人数据相关。 （f）数据处理为法律请求的提出、行使或辩护所必需或者数据处理是法院依据其司法权力而作出。 （g）数据处理是依据欧盟或者成员国法律为实现重大公共利益所必需，但欧盟或者成员国法律应与其欲实现的目的成比例，应尊重请求数据保护的权利，以及应为保护数据主体的根本权利和利益提供适当与具体的措施。 （h）数据处理为依据欧盟、成员国法律或者与医疗执业人员间的合同实现预防医学或者职业医学目的、对员工的工作能力进行评估、医疗诊断、提供医疗服务或者社会关怀、治疗、健康或者社会关怀系统管理或者服务等所必需。 该类数据处理还应遵守本条第3款所要求的条件与保障措施。 （i）数据处理为依据欧盟或者成员国法律实现在公共健康领域的公共利益所必需，如为防止严重的跨境健康威胁、为保证健康医疗、医用产品或者医用设备的高质量与安全。欧盟或者成员国法律应为保障数据主体的权利和自由提供适当与具体的措施，尤其是职业保密规定。 （j）数据处理系依据本条例第89条第1款规定，为公共利益进行档案管理、科学研究或历史研究目的、统计目的所必需，且需以欧盟或者成员国法为依据。欧盟或者成员国法律应与其欲实现的目的成比例，应尊重请求数据保护的权利，以及应为保护数据主体的根本权利和利益提供适当与具体的措施。
  • 3．在满足以下条件的情形下，本条第1款所列的个人数据可以依据本条第2款（h）项所述之目的进行处理：相关数据应由依据欧盟、成员国法律或者由各国有权机关所创设的规则而负有职业保密义务的执业人员或者依据上述规定负有保密义务的其他人员为履行其义务而进行处理。
  • 4．成员国可以就基因数据、生物学数据或者健康相关数据的处理保留或者制定包括相关限制在内的进一步条件。
• 第10条 处理与刑事定罪和犯罪有关的个人数据 Processing of personal data relating to criminal convictions and offences
  • 依据本条例第6条第1款对有关刑事定罪和犯罪或者有关安全措施的数据进行的处理仅能在政府机关的控制下进行或者经由欧盟或者成员国法律授权。欧盟或者成员国法律应提供适当措施以保障数据主体的权利和自由。任何对刑事定罪的综合性登记均应在政府机关的控制下进行。
• 第11条 不需要识别的处理 Processing which does not require identification
  • 1．如果控制者持有相关数据的目的不需要或者不再需要识别其所掌控的个人数据的数据主体，则该控制者将不再仅仅为符合本条例之目的而被要求保存、获得或者处理额外信息。
  • 2．在本条第1款的情形下，如果数控制者能够表明其将不再识别数据主体，该控制者应当在可能的情形下通知数据主体。在此种情形下，本条例第15条至第20条将不再适用，但数据主体为行使其在前述条款下的权利而向控制者提供额外信息以识别其身份的除外。
• Chapter 3 (Art. 12 – 23)Rights of the data subject
• 第3章（第12-23条）数据主体的权利
• 第12条 数据主体行使权利的透明信息、沟通和方式 Transparent information, communication and modalities for the exercise of the rights of the data subject
  • 1．控制者应当采取适当措施向数据主体提供本条例第13条和第14条规定的信息和任何依据本条例第15条至第22条和第34条进行的、与数据处理相关的交流信息，尤其是需要提供给儿童的任何信息。该种信息应当以一种准确、透明、易于理解、易于获取的方式提供，且应使用清楚、平实的语言。该种信息应以书面或者其他适当方式（如电子方式）提供。在应数据主体的要求且数据主体的身份已通过其他方式加以证实的情形下，该等信息可以以口头形式提供。
    • cookie声明、信息获取协议等 同时告知数据主体的权利
  • 2．控制者应当为数据主体行使其在本条例第15条至第22条项下的权利提供便利。在本条例第11条第2款规定的情形下，控制者不应拒绝数据主体行使其在本条例第15条至第22条项下的权利的要求，但控制者表明其不会识别数据主体的除外。
    • 数据主体的权利，匿名化后不须遵守
  • 3．控制者应当及时（在任何情况下均不得超过收到相关请求后的1个月）向数据主体提供其根据数据主体在本条例第15条至第22条项下所提出的请求而采取的行动的信息。考虑到请求的复杂性和请求的数量，在必要情形下前述期限可以再延长两个月。数据主体应在收到相关请求后的1个月内告知数据主体任何有关于延期的信息，包括延迟原因。在数据主体以电子方式提出请求时，相关信息在可行的情况下以电子方式提供，但数据主体对提供方式有其他要求的除外。
    • 回应数据主体的时间要求，1个月，最长不超过3个月
  • 4．如果控制者没有根据数据主体的请求采取行动，控制者应当及时（最迟不超过收到相关请求后的1个月）通知数据主体其未采取行动的原因及向监督机构提起申诉和寻求司法救济的可能性。
  • 5．根据本条例第13条和第14条所提供的信息以及根据本条例第15条至第22条和第34条所进行的任何沟通或者采取的行动均应当免费。在数据主体提出的要求明显无依据或者明显超出合理范围（尤其是重复提起的）的情形下，控制者可以选择以下之一： （a）基于提供信息、进行交流或者采取行动的管理成本而收取合理费用； （b）拒绝数据主体的请求。 控制者应当承担证明数据主体的请求明显无依据或者明显超出合理范围的义务。
  • 6．在不违背本条例第11条的前提下，如控制者有合理理由质疑依据本条例第15条至第21条提出请求的自然人的身份，则其可以要求该自然人提供额外的必要信息来证明其数据主体身份。
  • 7．在根据本条例第13条和第14条向数据主体提供相关信息时可以一并提供标准化的图标，以简明可见、易于理解、清楚易读的方式向数据主体提供有关数据处理的总体概览。这些图标以电子方式呈现的情形下，应能够被机器所识别。
  • 8．欧盟委员会有权根据本条例第92条制定授权立法，以决定标准化图标所代表的信息内容和提供标准化图标所需遵循的程序。
• 有关数据主体个人数据处理的信息应于向数据主体收集数据之时向数据主体提供；控制者从其他渠道获得个人数据的，应根据具体情况在合理期限内提供给数据主体。个人数据可合法披露给其他接收者的，控制者应于首次披露给该其他接收方时告知数据主体。控制者处理个人数据的目的与其收集个人数据时的原定目的不同的，应在该再处理以前向数据主体提供有关该其他目的的信息及其他必要信息。因使用多种渠道获得个人数据而无法逐一向数据主体告知各来源渠道的，应提供一般性信息。 以下情况下不必强制履行上述提供信息的义务：数据主体已持有信息的，法律明确规定个人数据的记录或披露的，向数据主体提供上述信息被证明不可能做到或可能需要的工作与提供本身不成比例的，为公共利益进行档案管理、从事科学或历史研究或统计目的进行的处理行为尤是如此。上述情况下应考虑数据主体的人数、数据的年限及采取的适当防范措施。 RECITALS-60、61
• 第13条 从数据主体收集个人数据时提供的信息 Information to be provided where personal data are collected from the data subject
  • 1．当控制者向数据主体收集其个人信息时，控制者应当在获得数据主体个人信息的同时，向数据主体提供以下信息： （a）控制者的身份和详细联系方式，适当时还要提供控制者代表的身份和详细联系方式； （b）适当时提供数据保护专员的详细联系方式； （c）个人信息处理的目的以及处理的法律基础； （d）当处理过程是依据第6条第1款（f）项的规定进行的，应当说明控制者或者第三方追求的合法利益； （e）个人数据接收方或者接收方的种类（如有）； （f）在适当的情况下，还应向数据主体告知控制者会将个人数据向第三国或者国际组织进行传输的意图、欧盟委员会是否作出过第三国或国际组织数据保护是否充分的决议以及第46条、第47条或者第49条第1款第二段提及情形的相关信息。此外，还包括所采取的保护个人信息的合理安全措施、获取安全措施复本的方式以及可以获得相关复本的地点。
    • 找一个例子看看，比如苹果的声明
  • 2．除了第1款提到的信息，控制者在获取个人数据时，出于证实处理过程的公正和透明的需要，在必要的情况下，还应当向数据主体提供如下信息： （a）个人数据的存储时限，在无法提供具体存储时限的情形下，应当提供确定该存储时限的标准； （b）数据主体享有的可以要求控制者提供、修正、删除个人信息、要求对数据处理活动进行限制、反对对其个人信息进行处理以及要求数据可携带性的权利； （c）如果数据处理是基于第6（1）条（a）项以及第9（2）条（a）项进行的，则数据主体可以随时撤回其之前作出的同意，但是该撤回不影响撤回作出之前根据数据主体同意对数据进行处理的合法性； （d）向监管机构提起申诉的权利； （e）应向数据主体告知其提供个人信息是法定要求、合同要求还是签署合同的必要条件，以及数据主体是否有义务必须提供个人信息和如果无法提供数据情形下的可能产生的后果； （f）控制者对个人信息的自动决策机制，包括第22条第1款以及第4款所述的数据画像。在该种情况下，控制者至少应向数据主体提供数据画像过程中运用的逻辑以及该种数据处理对数据主体的重要性和可能产生的后果。
  • 3．如果控制者将要对个人数据进行进一步处理，且该种处理的目的已经超出了之前对个人信息进行收集时的目的，则控制者应当在对数据进行进一步处理之前向数据主体提供其他目的的相关信息以及第2款规定的其他相关信息。
  • 4．当数据主体已经获知上述信息时，本条第1款、第2款和第3款不再适用。
• 第14条 未从数据主体处获得个人数据时应提供的信息 Information to be provided where personal data have not been obtained from the data subject
  • 1．当个人信息并非从数据主体处获取时，控制者应当向数据主体提供如下信息； （a）控制者的身份和详细联系方式，适当时还要提供控制者代表的身份和详细联系方式； （b）适当时提供数据保护专员的详细联系方式； （c）个人信息处理的目的以及处理的法律基础； （d）相关个人数据的种类； （e）个人数据接收方或者接收方的种类（如有）； （f）在适当的情况下，还应向数据主体告知控制者会将个人数据向第三国或者国际组织进行传输的意图、委员会是否作出过第三国或国际组织数据保护是否充分的决议以及第46条、第47条或者第49条第1款第二段提及情形的相关信息。此外，还包括所采取的保护个人信息的合理安全措施、获取安全措施复本的方式以及可以获得相关复本的地点。
  • 2．除了第1款提到的信息，在必要的情况下，控制者在获取个人数据时还应当向数据主体提供如下信息，以示公正和透明： （a）个人数据的存储时限，或者在无法提供具体存储时限的情形下，确定该存储时限的标准； （b）当处理过程是依据第6条第1款（f）项的规定进行的，应当说明控制者或者第三方追求的合法利益； （c）数据主体享有的可以要求控制者提供、修正、删除个人信息、要求对数据处理活动进行限制、反对对其个人信息进行处理以及要求数据可携带性的权利； （d）如果数据处理是基于第6条第1款（a）项以及第9条第2款（a）项进行的，则数据主体可以随时撤回其之前作出的同意，但是该撤回不影响撤回作出之前根据数据主体同意对数据进行处理的合法性； （e）向监管机构提起申诉的权利； （f）个人数据的来源，并在适当时候提供其是否来源于公共渠道； （g）控制者对个人信息的自动决策机制，包括第22条第1款以及第4款所述的数据画像。在该种情况下，控制者至少应向数据主体提供数据画像过程中运用的逻辑以及该种数据处理对数据主体的重要性和可能产生的后果。
  • 3．控制者应当在以下时限内向数据主体提供第1款和第2款所述的信息： （a）考虑到数据处理案件的不同情况，应在获取个人数据之后的合理期限内（最迟不超过1个月）向数据主体提供； （b）如果个人数据将要用于与数据主体的交流，则最迟应该在与数据主体第一次交流之前向数据主体提供； （c）如果已经预见到个人数据将要披露给其他数据接收方，则最迟应该在个人数据首次披露之前向数据主体提供。
  • 4．如果控制者将要对个人数据进行进一步处理，且该种处理的目的已经超出了最初收集个人信息进行时的目的，则控制者应当在对数据进行进一步处理之前向数据主体提供其他目的的相关信息以及第2款规定的其他相关信息。
  • 5．第1款至第4款在以下情形不得适用： （a）数据主体已经获知上述信息。 （b）受限于第89条第1款的规定以及本条第1款提及的义务规定，这些信息的提供是不可能的或者必须要付出不成比例的巨大的努力，尤其是出于公共利益、科学或者历史调查和统计调查的目的而进行的处理活动。在这些情况下，控制者应当采取适当的措施保护数据主体的权利、自由以及合法利益（其中包括将上述信息公之于众）。 （c）欧盟或者控制者所属成员国已经对数据的获取和披露作出明确规定，控制者已经采取适当的措施来保护数据主体的合法利益。 （d）根据欧盟或者成员国法律以及保密法规定的职业保密制度，个人数据必须保密。
• 第15条 数据主体的访问权 Right of access by the data subject
  • 1．数据主体应当有权从控制者处确认与其相关的个人数据是否正在被处理，并在确认控制者正在对其个人数据进行处理的情况下，有权要求访问与其相关的个人数据并获知下列信息： （a）处理的目的； （b）相关个人数据的类别； （c）已经被披露或者将被披露的个人信息的接收方或者接收方的种类，尤其是第三国或国际组织的接收方； （d）在可以确定的情况下，提供个人数据将要存储的时限；如果上述具体时限不可确定，应提供确定该时限的标准； （e）数据主体具有要求控制者纠正、删除、限制处理其个人数据或者反对控制者对其个人数据进行处理的权利； （f）向监管机构提出申诉的权利； （g）在个人数据并非从数据主体处收集的情况下，关于其来源的任何信息。 （h）控制者对个人信息的自动决策机制，包括第22条第1款以及第4款所述的数据画像。在该种情况下，控制者至少应向数据主体提供数据画像过程中运用的逻辑以及该种数据处理对数据主体的重要性和可能产生的后果。
  • 2．如果控制者会将个人数据传输给第三国或国际组织，数据主体应当有权要求控制者向其告知控制者根据第46条采取的保护措施。
  • 3．控制者应向数据主体提供其正在处理的个人数据的复本。对于数据主体要求的任何进一步的文本，控制者可以根据管理成本收取合理的费用。如果数据主体通过电子方式提出请求，除非数据主体另有要求，信息应当以常用的电子形式提供。
  • 4．数据主体获得第3款所指复本的权利不得对他人的权利和自由产生不利影响。
• 数据主体应有权访问有关其自身的已被收集的个人数据，并以合理的频率和简便的方式行使该访问权，从而来知晓并确认该种数据处理的合法性。上述访问包括数据主体有权访问其健康相关数据，例如其医疗记录中有关诊断、检查结果、主治医师的评估及提供的任何治疗或诊疗等。因此数据主体应有权了解并获知个人数据处理的目的、处理期限（如可能）、个人数据的接收者、任何自动化个人数据处理的逻辑以及该等处理的后果（至少在根据画像进行处理的情况下）。在可能情况下，控制者应能够提供安全系统的远程访问，允许数据主体直接访问其个人数据，但该等访问权不得对他人的权利或自由（包括商业机密或知识产权，尤其是对软件提供保护的版权）产生不利影响。但不得因前述限制而拒绝向数据主体提供所有信息。控制者处理大量数据主体相关信息的，应能够要求数据主体在交付信息以前对相关信息或处理活动进行说明。 在网络服务和网络识别信息的情况下，控制者应使用一切合理的措施核实提出访问请求的数据主体的身份。控制者不得仅为回应潜在访问请求的目的保存个人数据。 RECITALS-63、64
• 第16条 纠正权 Right to rectification
  • 数据主体有权要求控制者对其不准确的个人数据进行及时纠正。考虑到处理的目的，数据主体应当有权要求控制者通过包括如提供补充声明的方式对其个人信息予以补充。
• 第17条 删除的权利（“被遗忘的权利”） Right to erasure (‘right to be forgotten’)
  • 1．数据主体有权要求控制者对其个人数据进行删除，并且在下列情形下，控制者有义务及时地删除个人数据： （a）就收集或以其他方式处理个人数据的目的而言，该个人数据已非必要； （b）数据主体根据第6条第1款（a）项或第9条第2款（a）项撤回同意，并且在没有其他有关（数据）处理的法律依据的情况下； （c）数据主体根据第21条第1款反对对数据进行处理，并且没有有关（数据）处理的压倒性合法依据，或者数据主体根据第21条第2款反对处理； （d）个人数据被非法处理； （e）为遵守欧盟或控制者所属成员国法律规定的法定义务，个人数据必须被删除； （f）个人数据是根据第8条第1款为提供信息社会服务而收集的。
  • 2．如果数据主体已经要求控制者删除其个人数据的任何链接、复本或复制件，但控制者已将个人数据公开，并且根据第1款有义务删除这些个人数据，控制者在考虑现有技术及实施成本后，应当采取包括技术措施在内的合理步骤，通知正在处理个人数据的控制者。
  • 3．当处理（数据）对于以下情形而言是必要的时，则第1款和第2款不再适用： （a）为了行使言论和信息自由的权利； （b）为了遵守欧盟或者控制者所属成员国法律规定的法定义务、为了公共利益或在行使控制者被赋予的官方权限时必须对数据进行处理； （c）根据第9条第2款（h）、（i）项以及第9条第3款，为了公共卫生领域的公共利益的原因； （d）根据第89条第1款，为了公共利益进行档案管理、科学或历史研究目的或统计目的，而第1款所述权利的实施已为不可能或者很可能严重损害该处理目标的实现； （e）为了提出、行使或捍卫法律诉求。
• 当保留个人数据的控制者违反本条例或控制者受约束的欧盟或成员国法律的，数据主体有权要求纠正其个人数据并要求“被遗忘权”。尤其在以下情况下，数据主体有权要求控制者删除并不再处理其个人数据：收集或以其他方式处理个人数据的目的可在不需要个人数据的条件下达成；数据主体已撤销其同意或反对处理其个人数据；或对其个人数据的处理不符合本条例的规定。作为儿童的数据主体作出同意后，因不完全了解数据处理的风险，因此希望清除（特别是在互联网上清除）该等个人数据，尤其可以援引上述权利对控制者作出要求。即便数据主体已不再是儿童，仍可行使前述权利。但控制者为以下目的需要进一步保留个人数据的，应属合法：为行使言论和信息自由、为遵守法定义务、为公共利益或履行法定职权、为了公共健康领域的公共利益、为公共利益进行档案管理、科学或历史研究或统计目的，或为提起、行使或抗辩法律诉求的目的。 为切实保护网络环境下的被遗忘权，删除权也可以下列形式行使：已公开个人数据的控制者应有义务告知处理该等个人数据的其他控制者清除该等个人数据的任何链接、复本或复制品。为此，该控制者应采取合理的措施（考虑可用的技术和手段）将数据主体的清除请求告知正在处理其个人数据的其他控制者。 RECITALS-65、66
• 第18条 限制加工的权利 Right to restriction of processing
  • 1．在下列情况之一，数据主体应当有权限制控制者处理数据： （a）数据主体对个人数据的准确性提出争议，且其允许控制者在一定期间内对个人数据的准确性进行核实； （b）该处理是非法的，但是数据主体反对删除该个人数据，而是要求限制使用该个人数据； （c）控制者基于该处理目的不再需要该个人数据，但数据主体为提出、行使或抗辩法律诉求而需要该个人数据； （d）数据主体按照第21条第1款反对控制者对其个人数据进行处理，但需要核实控制者的法律依据是否优先于数据主体的法律依据。
  • 2．如果处理行为根据第1款受到限制，除存储之外，这些个人数据只应在数据主体同意的情况下，或为提起、行使或抗辩法律诉求、为保护其他自然人或法人的权利或为了欧盟或者成员国的重要公共利益才能被处理。
  • 3．根据第1款有权对数据处理活动进行限制的数据主体应当在处理限制解除之前收到控制者的通知。
• 第19条 关于更正或删除个人数据或限制处理的通知义务 Notification obligation regarding rectification or erasure of personal data or restriction of processing
  • 除非被证明不可能完成或者包含不成比例的工作量，控制者应当将根据第16条、第17条第1款以及第18条对个人数据进行的任何纠正、删除或者处理限制告知已接受个人数据披露的接收者。如果数据主体请求，控制者应当向数据主体告知上述数据接收者。
• 第20条 数据可移植性权利 Right to data portability
  • 1．当发生以下情形时，数据主体有权以结构化的、通用的、可以机读的方式接收其提供给控制者的与其相关的个人数据，并且有权将该等数据传输至其他控制者而不受此前已经获得该等数据的控制者的妨害： （a）数据根据第6条第1款（a）项或第9条第2款（a）项获得的同意，或根据第6条第1款（b）项达成的合同进行处理；并且 （b）数据以自动方式进行处理。
  • 2．依据第1款行使数据可携带权时，数据主体有权以技术上可行的方式将个人数据从某一控制者直接传输至其他控制者。
  • 3．本条第1款所述权利的行使不应违反第17条的规定。该权利不适用于为公共利益执行任务或行使赋予控制者的职权时进行的必要的数据处理。
  • 4．第1款所述权利不得侵犯他人权利和自由。
• 第21条 拒绝权 Right to object
  • 1．数据主体有权以其所处特定情形有关的理由，随时拒绝依据第6条第1款（e）项或（f）项规定处理与其相关的个人数据，包括基于该等条款进行数据画像。控制者应停止处理个人数据，除非控制者能够提出令人信服的正当理由，以证明数据处理优先于数据主体的利益、权利和自由，或者以此提出、行使、抗辩法律诉求。
    • 注意不是所有条款，仅仅是e、f两项
  • 2．以直效营销为目的处理数据的，数据主体随时有权拒绝该等营销目的下对其个人数据的处理，包括与该等直效营销有关的数据画像。
  • 3．数据主体拒绝以直效营销为目的处理数据的，控制者应当停止为该种目的处理个人数据。
  • 4．最迟在与数据主体第一次沟通时，应当明确提请数据主体注意第1款和第2款所述的权利，并清晰地、独立于任何其他信息地将该等权利介绍给数据主体。
  • 5．在利用信息社会服务的背景下，即使有2002/58/EC号指令，数据主体也可通过使用技术规范以自动化方式行使拒绝权。
  • 6．根据第89条第1款以科学历史研究或统计的目的处理数据的，数据主体有权以其所处特定情形有关的理由拒绝处理与其相关的个人数据，除非该等处理对于为公共利益执行任务是必要的。
• 第22条 自动化个人决策，包括分析 Automated individual decision-making, including profiling
  • 1．若某个单独基于自动化处理作出的决定，包括数据画像，将对数据主体产生法律后果或类似重大影响，则数据主体有权不受该决定的限制。
  • 2．第1款在以下情形不适用： （a）该决定对于数据主体与数据控制者之间合同的达成和履行是必要的； （b）该决定是由欧盟或其成员国的法律授权作出的，该欧盟或其成员国的法律不仅约束控制者，并且明确了保护数据主体权利、自由和合法利益的适当措施是联盟或成员国的法律所规定的；或 （c）该决定基于数据主体的明示同意。
  • 3．在第2款（a）项和（c）项所述情况下，数据控制者应当采取适当的措施保护数据主体的权利、自由和合法利益，至少包括为表达其观点和挑战某项决定而对控制者获得人为干预的权利。
  • 4．第2款所述决定不得基于第9条第1款规定的特殊类别下的个人数据，除非适用第9条第2款（a）项或（g）项并且已经采取适当措施保护数据主体的权利、自由和合法利益。
• 为直接营销目的对个人数据进行处理（无论是首次处理或再处理）的，数据主体应有权随时反对该等数据处理（包括与该等直接营销相关的画像活动），且无须就此承担任何费用。控制者应明确告知数据主体该等反对权，并且该等反对权的告知应与其他信息分开呈现给数据主体。 对于单纯依照自动化处理作出的、且对数据主体产生法律效力或其他类似重大影响的（例如在没有任何人为干预的情况下自动拒绝网上信用申请或电子招聘信息）的对数据主体进行个人评估的任何决定（其中可能包括采取的措施）,数据主体有权要求不受该等决定的约束。上述处理包括画像等各种形式的自动化个人数据处理和对自然人的个人资料进行评估，特别是对数据主体的工作表现、经济状况、健康、个人偏好或兴趣、信用度或行为、地点或活动进行分析或预测，而此类活动会对自然人产生法律等效力或其他类似的重大影响。但经控制者受约束的欧盟或成员国法律明确授权的（包括根据欧盟机构或成员国监管机构的条例、标准和推荐建议，为对欺诈和逃税行为进行监控和防范、为确保控制者提供的服务的安全可靠性，或者为数据主体与控制者之间签订或履行合同）或数据主体作出明确同意的情况下，应当允许控制者根据该等数据处理（包括画像）作出的决策。无论基于上述何种情况，该等处理应当采取适当的防范措施，其中应包括明确告知数据主体相关信息并告知数据主体其具有获得人为干预、表达观点、对评估后作出的决定要求作出解释以及对该决定提出质疑的权利。该等措施不得涉及儿童。 为确保数据主体的个人数据得到公平透明的处理，控制者应当依照个人数据处理的具体情况和情境使用适当的数学或统计画像程序，实施技术和组织方面的适当措施，确保导致个人数据出现误差的因素得到纠正，出现差错的风险降到最低，保证影响数据主体权益的潜在风险得到充分考虑，防止自然人因其种族或种族本源、政治观点、宗教或信仰、工会成员资格、基因或健康状况或性取向受到歧视，或引发该等歧视的措施。依据特殊种类个人数据进行的自动化决策和画像只有在特定情况下方可被允许。 画像活动要遵守本条例有关个人数据处理的规定（例如数据处理的法律依据或数据保护原则）。依据本条例设立的欧洲数据保护委员会（“委员会”）应有权就该等事项发布指引。 RECITALS-70、71、72
• 第23条 Restrictions 限制
  • 1．欧盟或成员国的法律可以通过立法措施限制第12条至第22条和第34条项下的权利与义务的范围，以及第5条中规定的与第12条至第22条项下权利义务相对应的条款，从而对数据控制者或处理者进行约束。该等限制应尊重基本权利和自由的本质，并作为民主社会必要的、适当的措施，以此保障： （a）国家安全； （b）国防； （c）公共安全； （d）刑事犯罪的预防、调查、侦查、起诉或者刑事处罚的执行，包括对公共安全威胁的防范和预防； （e）属于欧盟或其成员国一般公共利益的其他重要对象，特别是欧盟或其成员国的重要经济或财政利益，包括货币、预算和税收等事项、公共卫生以及社会保障； （f）司法独立与司法程序的保护； （g）违反职业道德规范的预防、调查、侦查和起诉； （h）与（a）项至（e）项和（g）项下行使官方权力相关的监督、检查或相关的监管职能（即使仅偶尔相关）； （i）对数据主体或他人的权利与自由的保护； （j）民事诉讼请求的执行。
  • 2．特别而言，第1款所述任何立法措施应至少包括以下相关具体规定： （a）处理的目的或处理的分类； （b）个人数据的分类； （c）引入的限制范围； （d）防止滥用、非法获取或转让的保障措施； （e）控制者的具体说明或控制者的分类； （f）结合处理的性质、范围和目的或处理的分类确定的存储期限和适用的保障措施； （g）对数据主体权利和自由的威胁；以及 （h）数据主体对限制的知情权，除非违反限制的目的。
• Chapter 4 (Art. 24 – 43)Controller and processor
• 第4章（第24-43条）控制者和处理者
• 第24条 控制者的责任 Responsibility of the controller
  • 1．考虑到处理的性质、范围、内容和目的以及处理给自然人的权利和自由带来的不同可能性与严重程度的风险，控制者应当采取适当的技术和组织措施，确保并能够证明处理是根据本条例进行的。该等措施应在必要时进行审查和更新。
  • 2．与有关处理活动相适应的情形下，第1款所述措施应包括由控制者执行适当的数据保护政策。
  • 3．遵守第40条所述经批准的行为准则或第42条所述经批准的认证机制，可以作为证明控制者合规义务的要素之一。
• 第25条 设计和默认数据保护 Data protection by design and by default
  • 1．考虑到发展现状、执行成本、处理的性质、范围、内容和目的以及处理给自然人的权利和自由造成的各种可能性与严重程度的风险，控制者应在确定处理手段时以及进行处理的同时，采取假名化等适当的技术和组织措施执行数据保护原则，如数据最小化原则。该等措施应以有效的方式进行，并且在处理时结合必要的保障措施以符合本条例要求，保护数据主体的权利。
  • 2．控制者应采取适当的技术和组织措施以确保在默认情况下仅处理对特定处理目的所必需的个人数据。该义务适用于收集的个人数据的数量、数据处理的程度、数据的存储期限和数据的可及性。特别是，该等措施应确保个人数据在默认情况下对不限数量的自然人而言是不可访问的，除非有个人的干预。
  • 3．第42条项下经批准的认证机制可以作为证明符合本条第1款和第2款要求的要素之一。
• 第26条 联合控制者 Joint controllers
  • 1．当由两个或两个以上的控制者共同决定数据处理的目的和手段时，他们即为联合控制者。他们应以明确的方式确定在本条例规定下各自承担的合规义务，特别是依据内部安排确定关于数据主体权利的行使以及各自提供第13条和第14条项下信息的义务，除非欧盟或成员国的法律对联合控制者各自的义务已经作出规定。控制者之间可以通过内部安排指定数据主体的一个联络人。
  • 2．第1款所述安排应当如实反映联合控制者各自的角色及其与数据主体的对应关系。数据主体应当能够获得该安排的主要内容。
  • 3尽管存在第1款所述安排条款，数据主体可以行使其在本条例下关于或对抗控制者的各项权利。
• 第27条 非欧盟境内设立的控制者或处理者的代表 Representatives of controllers or processors not established in the Union
  • 1．当第3条第2款适用时，控制者或处理者应当以书面形式在欧盟中指定一位代表。
    • 不是必须
  • 2．本条第1款所述义务不适用于： （a）数据处理是偶然发生的，不包括大规模的对第9条第1款所述特殊类别数据的处理，或者对第10条项下有关刑事定罪和处罚的个人数据的处理，并且考虑到处理的性质、内容、范围和目的，不太可能对自然人的权利和自由造成风险；或者 （b）政府机关或机构。
  • 3．代表应设立在接受商品或服务或者其行为受到监控的数据主体所在的成员国内。
  • 4．为确保遵守本条例，代表应获得控制者或处理者的授权，与控制者或者处理者一起，或者代替控制者或处理者，就数据处理相关的所有事宜与监管机构和数据主体联系。
  • 5．控制者或处理者指定的代表不应损害可能发生的针对该控制者或处理者的诉讼。
• 第28条 处理者 Processor
  • 1．当处理是以控制者的名义进行的，控制者只能使用那些能够充分保证在处理中采取恰当的技术和组织措施以满足本条例的要求，并且确保保护数据主体权利的处理者。
  • 2．未经控制者事先特别或一般的书面授权，处理者不能引入其他处理者。获得一般书面授权的情况下，处理者应当就有关增加或替换其他控制者而可能发生的变更通知控制者，以便控制者有机会对该变更进行反对。
  • 3．处理者处理数据应遵守欧盟或其成员国法律管辖下的合同或其他法律法规，该等合同或法律法规应对处理者有约束力，并明确处理的标的、期限、性质和目的、个人数据的类别、数据主体的分类以及控制者的权利义务。该合同或其他法律法规对处理者应进行以下特别规定： （a）处理个人数据只能基于控制者的书面指示，包括将个人数据向第三国或国际组织传输，除非该等处理是适用于该处理者的欧盟或其成员国的法律所要求的；在这种情况下，处理者应在处理之前将相关法律的要求通知控制者，除非该法律基于重要的公共利益原因禁止该等通知； （b）确保被授权处理个人数据的人已经承诺保密或承担法定保密义务； （c）采取第32条要求的全部措施； （d）遵守第2款和第4款项下关于引入其他处理者的条件； （e）结合处理的性质，尽可能运用适当的技术和组织措施协助控制者在面临行使第三章项下数据主体权利的请求时履行相应的义务； （f）结合处理的性质和处理者可得到的信息，协助控制者在第32条至第36条项下合规； （g）根据控制者的指示，处理者应在处理服务完成之后删除或向该控制者返还全部个人数据并删除复制件，除非欧盟或其成员国的法律要求存储该等个人数据； （h）向控制者提供所有证明在本条项下合规的必要信息，并允许、配合控制者或控制者指定的审计师进行审计，包括检查。 关于第1款（h）项，如果处理者认为控制者的指令违反了本条例或其他欧盟或其成员国的法律关于数据保护的规定，处理者应当立即通知控制者。
  • 4．处理者引入其他处理者代表控制者进行特定处理活动的，第3款项下控制者和处理者之间的合同或其他法律法规对数据保护义务应以欧盟或其成员国法律管辖的合同或其他法律法规的方式同样约束该其他处理者代表，特别是提供充分保证将采取适当的技术和组织措施以确保处理获得满足本条例要求。该其他处理者未能履行其数据保护义务的，最初处理者应就该其他处理者义务的履行对控制者承担全部责任。
  • 5．处理者遵守第40条所述经批准的行为准则第42条所述经批准的认证机制，可以作为证明本条第1款和第4款项下充分保证的要素之一。
  • 6．在不违反控制者和处理者之间的单个合同的情况下，本条第3款和第4款所述合同或其他法律法规可部分或全部依据本条第7款和第8款项下标准化合同条款，包括作为第42条和第43条项下授予控制者或处理者的认证的一部分。
  • 7．欧盟委员会可依据第93条第2款所载审查程序就本条第3款和第4款所述事项制定标准化的合同条款。
  • 8．监管机构对本条第3款和第4款所述事项可按照第63条项下的一致性机制采用标准化的合同条款。
  • 9．第3款和第4款项下的合同或其他法律法规应当以书面形式（包括电子形式）记载；
  • 10．在不违背第82条、第83条和第84条的情况下，如果处理者违反本条例的规定对处理的目的和手段进行决策，该处理者在该等处理下应被认定为控制者。
• 第29条 在控制者或处理者的授权下进行处理 Processing under the authority of the controller or processor
  • 除非收到控制者的指令，在控制者或处理者授权下访问个人数据的处理者以及任何人不得处理该等数据，欧盟或其成员国的法律另有要求除外。
• 控制者需要处理者代为履行某些处理行为的，为确保遵守本条例规定，控制者在委托处理者进行处理活动时，应当仅使用能够提供充分担保（尤其在专业知识、可靠性及资源方面）的处理者实施符合本条例要求的技术和组织措施（包括为处理的安全性目的）。处理者遵守某一经认可的行为规范或认证机制的，可作为证明控制方行为合规的证据。处理者进行处理行为的，应受合同或欧盟或成员国项下其他法律行为的管辖。上述合同和法律中应规定处理者向控制者负责、列明处理的主旨事项和期限、处理的性质和目的、个人数据的类型和数据主体的种类，并考虑处理者在将要进行的处理行为中应承担的具体责任和义务，以及可能对数据主体权利和自由产生的风险。控制者和处理者可选择使用单独的合同，或在合同中选择使用委员会直接采用的，或者先由监管机构根据一致性机制采用，而后再由委员会通过的标准合同条款。处理者在代表控制者完成处理行为后，应根据控制者的指示归还或删除个人数据，除非适用于该处理者的欧盟或成员国法律要求其对个人数据进行存储。 RECITALS-81
• 第30条 处理活动记录 Records of processing activities
  • 1．各控制者以及控制者代表（如适用）应当留存依职责进行处理活动的记录。该记录应当包括以下全部信息： （a）控制者以及联合控制者、控制者代表和数据保护专员（如适用）的姓名和联系信息； （b）处理的目的； （c）数据主体的类别和个人数据的分类的描述； （d）已经或将要向其披露个人数据的接收者类别，包括第三国的或国际组织接收者； （e）如适用，向第三国或国际组织传输个人数据的情况，包括该第三国或国际组织的身份以及在第49条第1款第2段所述传输的情况下，采取适当安全措施的有关文档； （f）如可能，对删除不同类别的数据设定时间限制； （g）如可能，对第32条第1款所述技术和组织安全措施进行一般性描述。
  • 2．各处理者以及处理者代表（如适用）应当留存其代表控制者进行处理活动的记录。该记录应当包括： （a）处理者、处理者代表的控制者以及控制者或处理者的代表（如适用）的姓名和联系信息； （b）代表各控制者进行处理的类别； （c）如适用，向第三国或国际组织传输个人数据的情况，包括该第三国或国际组织的身份以及在第49条第1款第2段所述传输的情况下，采取适当安全措施的有关文档； （d）如可能，对第32条第1款所述技术和组织安全措施进行一般性描述。
  • 3．第1款和第2款项下的记录应当为书面形式，包括电子形式。
  • 4．控制者或处理者以及控制者或处理者的代表（如适用）应当按照监管机构要求提供该等记录。
  • 5．第1款和第2款所述义务不适用于雇用人数少于250人的企业或组织，除非其处理活动可能对数据主体的权利和自由造成风险，或该处理不是偶然发生的，抑或该处理包括第9条第1款项下特殊类别的数据或第10条项下与刑事认定和犯罪相关的个人数据。
• GDPR第30条规定了企业有责任全面了解组织内发生的数据处理活动，也要求企业对这些活动进行相应的记录。但是考虑到不同的企业有大小区别，不少人还会问，小企业也要这样做吗？同时，GDPR数据处理记录，真正实施起来不仅需要很长时间，而且还会涉及到企业内部不同组织之间、不同业务部门的协同工作，又该如何着手履行这项法律义务呢？ 事实上，在国外，荷兰和比利时的组织已经熟悉的履行向当地数据保护局通知其数据处理活动的义务了。企业记录数据处理活动，不仅因为它本身是一项法律要求，更重要的作用在于，它可以很好的支持国家的数据治理工作并帮助企业证明对GDPR其他方面的合规性。今天，SCA安全通信联盟结合GDPR官方文档，解读数据控制者、数据处理者以及小企在数据处理记录方面的法律责任，探索如何通过技术操作创建数据处理活动记录，仅供大家参考。 根据GDPR第30条规定：如果企业有250名或更多员工，则必须记录所有处理活动。如果企业是中小型组织，则有豁免权限。数据控制者和数据处理者各自都有自己的数据处理记录义务。那么企业需要记录哪些内容？中小型企业在实际数据处理中应该主要注意哪些事项？企业应该如何建立数据处理记录？SCA安全通信联盟结合GDPR原文探索整理如下： 一、数据控制者 任何数据控制者及其代表（如适用），应维护其负责的处理活动的记录，根据GDPR第30条第1款，企业应该记录以下所有信息： （a）数据控制者及其共同控制者（如适用）、数据控制者的代表和数据保护官的名称和详细联系方式； （b）处理的目的； （c）对数据主体类别和个人数据类别的描述； （d）个人数据已经或将要其披露的数据接收者类别，包括第三国或国际组织的数据接收者； （e）将个人数据向第三国或国际组织传输时，包括该第三国或国际组织的名称或身份信息，在本条例第49条第1款第2项规定的传输情形下，适当安保措施的证明文件（如适用）； （f）删除不同类别数据的预计时间上限（如可能）； （g）本条例第32条第1款规定的技术性和组织性保护措施的概述（如可能）。 即，企业数据控制者必须记录以下信息： 企业的名称和联系方式（以及适用时，其他控制人员，企业的代表和企业的数据保护官员的信息）；企业处理的目的；个人主体类别和个人数据类别的描述；个人数据接收者的类别。转移到第三国的详细信息，包括记录转移机制的保障措施；保留时间表；企业的技术和组织安全措施的描述。 二、数据处理者 GDPR不仅要求控制者承担数据处理记录的责任，而且还要求所涉及的数据处理者承担更多责任。因此，如果企业是数据处理者或企业中的数据处理者，也应履行这项义务。GDPR第30条第2款对数据处理者的处理活动的记录规定如下： 任何数据处理者及数据处理者的代表（如适用）应维护代表数据控制者所进行的所有类别的处理活动的记录，包括： （a）一个或多个数据处理者、数据处理者代表其进行数据处理的各个数据控制者，以及该数据控制者或数据处理者的代表（如适用）和数据保护官的名称和详细的联系方式； （b）代表各个数据控制者进行处理的类别； （c）将个人数据向第三国或国际组织传输时，包括该第三国或国际组织的名称或身份信息，在本条例第49条第1款第2小段规定的传输情形下，适当安保措施的证明文件（如适用）； （d）本条例第32条第1款规定的技术性和组织性保护措施的概述（如可能）。 即，每个数据处理者都有责任维护代表数据控制者执行的所有类别处理活动的记录，包括： 一个或多个数据处理者以及数据处理者所代表的每个数据控制者的名称和联系方式，以及数据保护官的信息；代表每个数据控制者进行的处理类别；将个人数据转移到第三国或国际组织，包括适当保障的文件；应用技术和组织安全措施的一般描述。 三、关于中小企业 如果企业是中小型组织，根据GDPR第30条第5款：第一款和第二款的义务不适用于员工人数少于250人的企业或组织，但其所进行的处理可能会给数据主体权利和自由带来风险且处理并非偶尔的，或者其处理包括本条例第9条第1款规定的特殊类别的数据或第10条规定的有关刑事和犯罪的个人数据的除外。 即，根据GDPR第30条第(5)款所述，如果处理不太可能对数据主体的权利和自由构成风险，如果没有处理特殊类别的数据，或者如果处理只是偶尔进行，雇员少于250人的公司或机构可以免于保留记录。但实际上，这种豁免很少适用。因为除了在解释被认为是“偶然的”时会出现的很多困难之外，在大多数公司的数据会被明确地定期处理，包括网站、网站商店、工资计算或客户关系管理系统的数据处理。企业必须注意的是，记录处理活动的义务是当局检查《数据保护条例》执行情况的重点。 最后提醒企业，如果企业的员工少于250人，需要记录以下处理活动： 不是偶然的； 可能会对个人的权利和自由造成风险的； 涉及处理特殊类别的数据或刑事定罪和犯罪数据。 四、企业应该记录其他什么吗？ 作为处理活动记录的一部分，数据处理记录对企业遵守GDPR和英国《数据保护法案》的其他方面可能很有用。因此，企业的数据处理记录文档还应尽可能包括： 隐私声明所需的信息，例如：处理的合法依据；处理的合法利益；个人权利；自动决策的存在，包括分析；个人资料的来源； 同意记录； 控制器 - 处理器合同； 个人资料的位置； 数据保护影响评估报告； 个人数据泄露记录； 根据GDPR处理特殊类别数据或刑事定罪和犯罪数据所需的信息，包括： “数据保护法”中的处理条件；GDPR处理的合法依据；企业的保留和删除政策记录。 PS：英国《数据保护法案》该法案主要用于：施与补充《一般数据保护条例》（GDPR）中的核心准则；阐明英国法律与某些GDPR法规的不同之处；对英国本国法律进行升级与改进，从而尽可能简单且顺利地完成与GDPR的协调工作以及英国脱离欧洲经济区的工作。关于此法案的更多内容，链接：http://www.ipraction.gov.cn/article/xxgk/gjhz/gjdt/201709/20170900157012.shtml 五、企业应该如何记录数据的加工处理活动？ 有什么运营和技术措施？ 企业对组织内发生的所有数据处理活动进行记录可能是一个挑战，尤其是当这些类型的处理活动分散在不同的部门或业务单位中进行时。如何最好地协调信息流？记录应该存储在哪里？更重要的是，这些记录应该如何维护和保持最新？下面列出了一些实用的技巧和窍门。 1.参与业务 当数据处理活动发生在企业的组织中时，将在产品、过程、系统、应用程序或项目的开发或设计开始时发挥作用的利益相关者本地化是非常关键的。这些人对数据处理活动有着主要的洞察力，并且对创建和维护数据库具有极高的价值。当企业开始考虑生成这些记录所需的底层流程时，就应该让业务参与进来，同时让他们意识到企业的优势和附加值。 2、设计(并协调)一个具有明确角色和职责的流程 当企业的利益相关者参与其中时，下一步是确定必须获取、检查记录、添加到中央登记册并保持最新的记录的过程。请注意，通过执行隐私影响评估，企业很可能已经获得了大量所需信息。如果有一个现有的支持流程，请探索这个新流程可以在多大程度上协调一致。这将协调所需的工作，并防止企业多做重复的工作。 此外，确保在开发流程时定义了明确的角色和职责，还应考虑收集所需信息的责任，包括将信息存入中央登记册，并在需要时更新登记册中的信息。 最后，不要忘记涉及到的其他权限，例如信息技术、合规、采购和法律，因为它们也可以从信息中获益。考虑采购过程中的合同，这些信息将对达成数据处理协议有很大价值。 3、为记录创建一个中央寄存器。 必须保存的记录，应集中存放。根据特定组织的基础架构，探索如何支持基本流程。企业最好不要简单地在电子表格中“寻求庇护”，而应使用适当的技术或工具。这样，一个集中的系统将提供组织内发生的处理活动的完整概述。当然，在这种情况下，人们必须了解适当的技术措施，例如访问和授权权利(不是每个人都应该被授权更改或改变信息)。 六、对企业来说， 这项义务是一种负担，还是资产？ GDPR的这一要求，需要企业做出长久的努力。除了不遵守记录可能导致高达10，000，000欧元或全球年营业额2%的罚款这一事实之外，考虑到企业组织部分的大量业务，企业需要相关的隐私专业人员，还要探索和实施技术措施，这是一个耗时的过程。 但是，这些记录将提供组织内所有数据处理活动的概述，从而使组织能够掌握正在处理的数据类别、由谁(哪些部门或业务单位)处理以及基于何种目的。这种信息将帮助组织内部建立联系，加入具有相同或等同目标和/或挑战的工作或项目，并且它可以增加对数据处理活动的更多控制。同时这将有助于为企业提供对风险和所需缓解措施的洞察视角，并将不可避免地导致授权组织使用可用的个人数据以有序的方式做更多的事情。
• 第31条 与监管机构的合作 Cooperation with the supervisory authority
  • 控制者、处理者及其代表（如适用）在事务执行的过程中应当按照要求与监管机构进行合作。
• 处理过程的安全性 Security of processing
  • 1．统筹考虑最先进的技术、实施成本、处理的性质、范围和目的以及自然人权利和自由风险的各种可能性和严重性，控制者和处理者应当采取适当的技术和组织措施保证安全性与风险性一致，包括以下措施： （a）个人数据的假名化和加密； （b）保证处理系统和服务持续保密、完整、可用以及快速恢复的能力； （c）在发生物理或技术事故的情况下，及时恢复个人数据可用性和可及性的能力； （d）为保证处理的安全性对技术性和组织性措施的有效性进行定期测试、评定和评估的流程。
  • 2．评估安全等级时，应特别考虑处理过程中出现的风险，特别是对传输、存储或通过其他方式处理的个人数据的意外或非法损毁、丢失、篡改、未经授权披露或获取。
  • 3．遵守第40条所述经批准的行为准则或第42条所述经批准的认证机制，可以作为证明符合本条第1款所述合规义务的要素之一。
  • 4．控制者和处理者应当采取措施，确保在控制者或处理者授权之下可获取个人数据的任何自然人均不能对该等数据进行处理，除非得到控制者的指令或者按照欧盟或其成员国的法律要求。
• 第33条 向监管机构通知个人数据泄露 Notification of a personal data breach to the supervisory authority
  • 1．在个人数据泄露的情况下，控制者应当（强制）尽快且最迟自知道该泄露之时起72小时之内，根据第55条通知监管机构，除非个人数据的泄露不太可能对自然人的权利和自由造成风险。迟于72小时向监管机构发出通知的，应说明迟延的原因。
    • https://blog.csdn.net/yong9ai/article/details/134074526 详细说明
  • 2．处理者知道个人信息泄露后应当尽快通知控制者
  • 3．第1款项下的通知至少应当包括： （a）对个人数据泄露的性质进行描述，包括涉及数据主体的类别、大致数量以及相关个人数据记录的种类和大致数量； （b）告知数据保护专员的姓名和联系方式，或者能获取更多信息的其他联络人； （c）描述个人信息泄露可能造成的后果； （d）描述控制者为弥补个人数据泄露采取的或计划采取的措施，包括降低潜在负面影响的措施。
  • 4．若无法在同一时间提供全部信息，可以在没有不合理延误的情况下分阶段进行。
  • 5．控制者应当书面记录任何个人数据泄露情况，包括和个人数据泄露有关的事实、影响和采取的补救性措施。该等书面记录应足以供监管机构核查本条项下的合规性。
• 第34条 向数据主体通报个人数据泄露事件 Communication of a personal data breach to the data subject
  • 1．如个人数据泄露可能对自然人的权利和自由造成高风险，控制者应当毫无延误地就个人数据泄露与数据主体交流。
  • 2．本条第1款所述与数据主体交流，应当以清晰平实的语言描述个人数据泄露的性质和内容，并至少应当包括第33条第3款（b）（c）（d）项三项规定的信息和措施。
  • 3．以下情形均不适用第1款所述与数据主体交流： （a）控制者已经采取适当的技术性、组织性保护措施，并且该等措施已经应用于受泄露影响的个人信息，特别是使任何未经授权的人都无法理解该个人信息含义的措施，比如数据加密； （b）控制者已经采取后续措施，确保第1款所述对于数据主体的权利和自由造成的高风险不可能出现； （c）当与数据主体交流会涉及不成比例的努力。在该等情况下，应当通过公共交流机制或类似举措使得数据主体能够获得同等有效的通知。
  • 4．如果控制者并未就个人数据泄露与数据主体进行交流，考虑到个人数据泄露造成高风险的可能性，监管机构可以要求控制者进行该等交流或决定第3款所述任何条件是否成就。
• 第35条 数据保护影响评估 Data protection impact assessment
  • 1．处理，尤其是运用新技术进行处理，考虑到处理的性质、范围、背景和目的，可能对自然人的权利和自由产生较高风险，因此，在进行数据处理前，控制者应对拟进行的处理操作进行个人数据保护影响评估。存在类似较高风险的一系列类似处理操作可统一进行一次评估。
  • 2．控制者在进行数据保护影响评估时，应当向任命的数据保护专员寻求建议。
  • 3．第1款所述的数据保护影响评估尤其适用于以下情形： （a）基于自动化处理（包括数据画像）对自然人的个人情况进行系统、广泛的评估，并基于该评估作出对该自然人产生法律效力或类似重大影响的决定； （b）对第9条第1款所述的特殊种类的数据，或第10条所述的与刑事定罪和犯罪相关的个人数据进行大规模处理；或 （c）对公共区域进行大范围系统监控。
  • 4．监管机构应当确立并公开须按照第1款进行数据保护影响评估的处理操作种类清单。监管机构应当将该等清单告知第68条所述的欧洲数据保护委员会。
  • 5．监管机构亦可确立并公开无须进行数据保护影响评估的处理操作种类清单。监管机构应当将该等清单告知欧洲数据保护委员会。
  • 6．在通过第4款和第5款所述的清单前，如处理活动涉及向数据主体提供货物或服务或者在多个成员国监督数据主体行为的相关处理活动，或者可能严重影响个人数据在欧盟境内的自由流动的，主管监管机构应当适用第63条所述的一致性机制。
  • 7．评估应当至少包含： （a）对拟进行的处理操作和处理目的的系统描述，适当情况下包括对控制者追求的合法利益的系统性描述； （b）对与处理目的相关的操作必要性和合理性的评估； （c）对第1款所述数据主体权利和自由风险的评估；及 （d）消除上述风险的拟定措施，考虑到数据主体和其他相关人的合法利益，包括确保个人数据得到保护并证明本条例得到遵守的保障、安全措施和机制。
  • 8．在对相关控制者或处理者的处理操作进行影响评估时，尤其是为了数据保护影响评估之目的做评估时，应当将其是否遵守第40条所述经批准的行为准则考虑在内。
  • 9．适当情况下，在不损害商业或公共利益保护或处理操作安全性的原则下，控制者应当咨询数据主体或数据主体代表对拟进行的数据处理的意见。
  • 10．如果按照第6条第1款（c）项或（e）项进行的处理在欧盟法律或控制者受约束的成员国法律中具有法律依据，而该法调整相关的具体处理操作或一系列操作，并且作为总体影响评估的一部分，在采用该法律依据时已做过数据保护影响评估的，第1款至第7款不适用，除非成员国认为有必要在处理活动之前进行该评估。
  • 11．必要时，至少在处理操作的风险发生变化时，控制者应对评估进行审核，以评估处理是否根据数据保护影响评估进行。
• DPIA这个概念，源自于GDPR第35条——“当某种类型的处理——特别是适用新技术进行的处理——很可能会对自然人的权利与自由带来高风险时，在考虑了处理的性质、范围、语境与目的后，控制者应当在处理之前评估计划的处理进程对个人数据保护的影响。若多项高风险处理活动属于同一种类，那么此时仅对其中某一项活动进行评估即可。” 可以看出，DPIA是各组织和企业在GDPR的accountability原则下的一项关键义务，也是一项风险评估工具。一般实践中，各地区/国家的数据保护监管机构都会发布其制作的DPIA模板，以及DPIA白名单和黑名单，即不用开展DPIA和必须开展DPIA的情况。 根据GDPR里的规定，DPIA评估至少应当包含以下内容： 1.对计划的处理操作和处理目的的系统性描述，以及——如果适用的话——对控制者所追求的正当利益的描述； 2.对和目的相关的处理操作的必要性与相称性进行分析； 3.对35条第1款所规定的给数据主体的权利与自由带来的风险的评估；以及 4.结合数据主体和其他相关个人的权利与正当利益，准备采取的风险应对措施，包括保障个人数据保护和证明遵循本条例的安全保障、安全措施和机制。 因此，可以看出DPIA的关键词在于“高风险”。对此，EDPB也进一步解释了其认为属于高风险的9种情形。这9种情形目前也是国际上通用的一套欧洲标准。笔者做了简要的翻译如下，供参考和讨论： 一、EDPB对“高风险”的理解 标准一 - 评估或评分：包括识别分析（用户画像-Profilling）和预测，特别是从“有关数据主体在工作中的表现、经济状况、健康、个人偏好或兴趣、可靠性或行为、位置或动作等方面”（GDPR序言第71、91条）。 例子：一个根据信用数据库或反洗钱、反恐融资或反诈骗数据库审查客户的金融机构，或者是一家为了评估和预测疾病/健康风险向消费者提供基因测试的生物技术公司或者是一家根据用户使用其网站的情况建立行为、营销画像的公司。 标准二 - 自动化决策产生法律或类似显著影响：处理的目的在于对数据主体（自然人）产生“法律影响”或“类似重大影响”（GDPR第35条第3款a项）。 处理可能导致对个人的排斥或歧视。对个人几乎或没有影响的处理活动不符合此标准。关于这些概念的进一步解释在WP29识别分析（用户画像）指南中予以提供。 标准三 - 系统性监控：用来观察、监视或控制数据主体的处理活动，包括通过网络收集的数据或“对公共可访问区域的系统性监视”（GDPR第35条第3款c项） 这种类型的监视是一种标准，其原因在于数据主体会在并不知道是谁在收集他们的数据，以及会如何使用这些数据的情况下被收集数据。此外，个人可能无法避免其个人数据在公共空间（或公共可访问空间）被处理。 标准四 - 敏感数据或高度个人性质的数据：这包括GDPR第9条所界定的特殊类别的个人数据，例如政治意见的数据，以及第10条所界定的与刑事定罪量刑有关的个人数据。 例子：综合性医院保存病人的医疗记录或私人侦探保存罪犯的详细资料。除了GDPR的这些规定外，某些类别的数据可能会增加个人权利和自由的风险。这些个人数据被视为是敏感的（如同这个术语的通常理解），因为它们与家庭和私人活动有关（例如应保密的电子通讯），或者是因为它们影响一项基本权利的行使（例如收集的位置数据对行动自由的影响），或者因为违规使用这类数据显然会对数据主体日常生活造成严重影响（例如可能用于欺诈的财务数据）。在这方面，数据主体或第三方是否已公开提供该等数据也是具有相关性的。个人数据已经是公开可获取的状态会作为预期个人数据会被进一步用于某些目的的评估因素之一。同时，本标准还可能包括个人文档、电子邮件、日记、带有记笔记功能的电子阅读器，以及生活记录应用程序中包含的非常私人的信息等数据。 标准五 - 大规模处理数据：GDPR并未定义什么是大规模，但序言第91条给出了一些参考。无论如何，WP29小组建议在决定处理是否是大规模进行时，尤其应考虑下列因素：a.涉及的数据主体的数量，或者以特定数量或占涉及人口的比例计算；b.正在处理的数据量和/或不同数据的范围；c.数据处理活动的持续时间或持久性； d.处理活动涉及的地理范围。 标准六 - 匹配或者组合的数据集：由不同目的和/或由不同数据控制者执行的两项或多项数据处理操作，而该操作的方式会超出数据主体的合理期望。 标准七 - 易受伤害的数据主体的数据 （序言第75条）：处理这类主体的数据成为标准的原因在于数据主体和数据控制者之间不平衡的权力倾斜愈发严重，这意味着个人可能无法轻易地同意或拒绝其个人数据被处理，或行使他们的权利。易受伤害的数据对象可能包括儿童（他们会被视为不能明确地、深思熟虑地拒绝或同意处理数据）、员工、需要特别保护的人群中较为柔弱的部分（精神病患者、寻求庇护者、老年人、病人等）以及在任何情况下，能确定数据主体和控制者之间存在一个不平衡的关系。 标准八 - 创新使用或者应用新技术或者企业解决方案：例如结合使用指纹和人脸识别来改进物理上的访问等。GDPR明确规定（第35条第1款和序言第89、91条），界定的新技术的使用可能会引起实施DPIA的必要性。 标准九 - 处理本身“阻止数据主体行使权利或者使用服务或合同”（第22条、序言第91条）。这包括处理操作中允许、修改或拒绝数据主体查阅服务或订立合同的行为。这方面的一个例子是银行根据信用数据库筛选其客户，以决定是否向他们提供贷款。因为使用这类技术可能涉及数据收集和使用的新形式，可能对个人的权利和自由造成高风险。事实上，部署新技术对个人和社会造成的后果很可能是未知的。DPIA将帮助数据控制者了解和处理这些风险。例如，某些“物联网”应用可能会对个人的日常生活和隐私产生重大影响。 通过以上标准，可以感受到欧洲标准中对高风险的界定，如同GDPR recital第75条中介绍： 因个人数据处理而对自然人权利和自由产生的风险，按可能性和严重性的不同，可能在以下情况对数据主体造成人身、重大或非重大的损害：歧视、身份盗用或诈骗、财务损失、名誉损失、具有职业保密性的个人数据被公开、未经授权移除假名化处理或任何其他重大的经济或社会不利影响；数据主体丧失对其个人数据的权利和自由，无法对其个人数据行使控制权；处理的个人数据披露了数据主体的种族或种族本源、政治观点、宗教或哲学信仰、工会成员资格，以及基因数据、健康相关数据或有关性生活、刑事审判和犯罪行为或相关的安全措施；为创建或使用个人档案而分析个人信息，特别是对工作表现、经济状况、健康、个人偏好或兴趣、信用或行为、地点或活动进行分析和预测；对易受伤害的自然人（尤其是儿童）数据的处理；或者处理行为涉及的个人数据和影响的数据主体数量较大的情况。 因为这些高风险带来的严重后果对个人的影响深远，所以在技术日益发展的当前时代，对未知的技术发展和管理的预先掌控显得尤为重要。DPIA作为一项风险工具，也就顺势而生。 值得一提的是，GDPR没有给出明确的DPIA模板。一般实践中，是建议公司使用公司所在地主管的数据保护机构的DPIA模板。在这方面比较积极的机构有英国ICO。 同时应当指出的是，正如WP29所说，实施DPIA是一个持续的过程，而不是一次性的练习。即便实施了DPIA后，也需要keep review，从而确保和监督处理活动的持续性，建立和维持一个风险导向的机制在不停运转。 二、国内对“可能影响个人隐私”的活动的理解 国内在2018年6月11日也推出了一个《信息安全技术个人信息安全影响评估指南》（征求意见稿）（以下简称“《意见稿》”），其中采取PIA（其实就是DPIA）的标准为： a）新项目或者新业务的开拓或者产生； b）对现有系统进行更改时，PIA可用于审查现有系统，以及对系统进行必要更改的机会； c）个人信息出境前，需要进行安全评估； d）个人信息处理目的变更前的影响评估； e）匿名化和去标识化后的效果评估； f）委托处理、转让、共享或公开批露个人信息前进行影响评估； g）个人信息安全事件的影响评估； h）可能产生高风险的个人信息处理活动，如对个人信息主体进行直接画像和自动化决策的行为，对个人进行系统性监控并给出分析结论，收集敏感信息数量较多且持续时间较长的行为，以及对特殊类型人群进行个人信息收集和使用某些创新技术或者解决方案进行数据收集的，如生物特征识别、物联网和人工智能技术等进行评估。 这与EDPB的指南WP248rev.01中所列举的可能导致高风险的9类标准是高度近似的。由此，可以看出我国的PIA指南极大程度上采取和借鉴了欧洲标准。
• 第36条 事前咨询 Prior consultation
  • 1．根据第35条项下的数据保护影响评估结果，在降低风险的措施缺失、处理可能导致高风险的情况下，控制者在进行处理前应当咨询监管机构。
  • 2．监管机构认为第1款中所述拟进行的处理将违反本条例的，尤其是控制者未充分识别或降低风险的，应当在收到咨询请求后8周内，向控制者（适当情况下，和处理者）出具书面建议，并可行使第58条规定的任何权力。考虑到拟进行的处理的复杂性，上述期间可延长6周。若需延长，监管机构应当在收到咨询请求后1个月内通知控制者（适当情况下，和处理者），并说明延迟的原因。在监管机构取得其为咨询目的所要求的信息前，上述期间可以中止。
  • 3．在按照第1款咨询监管机构时，控制者应当向监管机构提供下列信息： （a）适当情况下，处理尤其是企业集团内部的处理中涉及的控制者、共同控制者和处理者各自的责任； （b）拟进行的处理的目的和方式； （c）按照本条例保护数据主体权利和自由的措施与保障； （d）适当情况下，数据保护专员的联系方式； （e）第35条规定的数据保护影响评估；及 （f）监管机构要求的任何其他信息。
  • 4．在成员国准备将与处理相关的立法措施提案提交国会通过时，或者准备基于该立法措施制定与处理相关的监管措施时，应当咨询监管机构。
  • 5．尽管有第1款的规定，对于控制者为履行职责而进行的合乎公共利益的处理，包括与社会保护和公共卫生相关的处理，成员国法律可以要求控制者咨询监管机构或取得监管机构的事先授权。
• 第37条 指定数据保护官 Designation of the data protection officer
  • 1．以下情况中，控制者和处理者应任命一名数据保护专员： （a）除法院基于司法权进行数据处理外，数据处理由政府机关进行； （b）控制者或处理者的核心活动是数据处理操作，由于处理操作的性质、范围和/或目的，要求对数据主体进行定期和系统的大规模监控的；或者 （c）控制者或处理者的核心活动主要是对第9条特殊类别的个人数据以及第10条中有关刑事定罪和罪行的个人数据进行大规模处理的。
  • 2．企业团体可仅指定一名数据保护专员，但应保证每一营业机构均可便捷地与其联络。
  • 3．如果控制者或处理者是政府机关或机构，考虑到其组织结构和规模，可为这些机关或机构共同指定一名数据保护专员。
  • 4．除第1款所述的情况外，控制者或处理者或者代表不同类别控制者或处理者的协会及其他机构可根据欧盟或成员国法律的要求，任命一名数据保护专员。该数据保护专员可服务于代表控制者或处理者的协会和其他机构。
  • 5．应依据专业水平任命数据保护专员，并且被任命的数据保护专员特别应具有数据保护法律和实务方面的专业知识，具备履行第39条所述职责的能力。
  • 6．数据保护专员可以由控制者或处理者的员工担任，或基于服务合同的方式履行职责。
  • 7．控制者或处理者应公布数据保护专员的联系方式，并将其告知监管机构。
• 第38条 数据保护官的职位 Position of the data protection officer
  • 1．控制者和处理者应确保数据保护专员以适当方式及时参与所有涉及个人数据保护的事宜。
  • 2．控制者和处理者应支持数据保护专员履行第39条所述职责，为其提供必要的资源及查阅个人数据、进行处理操作及保持其专业知识的途径。
  • 3．控制者和处理者应确保数据保护专员不会收到任何指令指示其如何履行职责，并且数据保护专员不会因其履行职责而被解雇或受处罚。数据保护专员直接向控制者或处理者的最高管理层负责。
  • 4．数据主体可就其个人数据处理以及本章程规定下权利行使的所有问题与数据保护专员取得联系。
  • 5．根据欧盟或者成员国法律，数据保护专员应当对其履行职责的内容保密。
  • 6．数据保护专员可履行其他职责。控制者或处理者应确保履行任何此等职责不会导致利益冲突。
• 第39条 数据保护官的职责 Tasks of the data protection officer
  • 1．数据保护专员至少应承担下列职责： （a）根据本条例及欧盟或成员国其他数据保护规定，告知控制者或处理者及处理数据的员工所承担的义务，并提供这方面的建议； （b）监督对本条例、欧盟或成员国其他数据保护规定和控制者或处理者有关个人数据保护政策的遵守情况，包括在个人数据处理操作中相关工作人员的职责分配、强化意识和培训，及相关审计； （c）根据要求提供数据保护影响评估方面的建议，并监督其依照第35条进行数据保护评估； （d）配合监管机构； （e）作为监管机构在数据处理（包括第36条中的事先咨询）及适当情况下任何其他事务的联络人。
  • 2．数据保护专员在履行职责过程中，应考虑到数据处理的性质、范围、环境和目的，注意处理操作的风险。
• 第40条 行为守则 Codes of conduct
  • 1．成员国、监管机构、欧洲数据保护委员会和欧盟委员会应鼓励起草旨在促进本条例正确适用的行为准则，并在制定过程中考虑到各处理行业的具体特点以及微型和中小型企业的具体需求。
  • 2．为使本法得到具体应用，代表各类别控制者或处理者的协会及其他机构可制定关于下列方面行为准则，或者对行为准则进行修订或扩展： （a）公平透明处理； （b）控制者在具体情况下所追求的合法利益； （c）个人数据的收集； （d）个人数据假名化； （e）向公众和数据主体提供的信息； （f）数据主体权利的行使； （g）提供给儿童的数据和对儿童的保护，以及获得儿童监护人同意的方式； （h）第24条和第25条中所述的措施和程序以及第32条中所述的确保处理安全的措施； （i）将个人数据泄露的情况告知监管机构及数据主体； （j）将个人数据传输至第三国或国际组织；或者 （k）解决控制者与数据主体之间关于数据处理的庭外程序和其他争议解决程序，但不得影响数据主体依照第77条和第79条所享有的权利。
  • 3．除本条例范围内的控制者或处理者须遵守之外，为第46条第2款（e）项规定的向第三国或国际组织传输个人数据框架内提供适当的保障，依照第3条不属于本条例范围内的控制者或处理者也应遵守依照本条第5款批准并且依照本条第9款具有一般有效性的行为准则。此等控制者或处理者应通过合同或其他具有合法约束力的文件，对采取的适当保障（包括有关数据主体权利的适当保障）作出具有约束力和可执行的承诺。
  • 4．除第55条及第56条所述主管监管机构的职责和权力另有规定外，本条第2款所述行为准则应规定相关机制，使第41条第1款中的机构能够对承诺实施行为准则的控制者或处理者遵守准则规定的情况实施强制监督。
  • 5．本条第2款所述协会和其他机构，如拟起草行为准则或者对现有准则进行修订或延伸的，应将行为准则草案或对现有准则所做的修订或延伸提交依第55条确定的主管监管机构。监管机构应对行为准则草案或对现有准则所做的修订或延伸是否符合本条例提出意见，并批准其认为提供了充分适当保障的行为准则草案或对现有准则所做的修订或延伸。
  • 6．如果准则草案或现有准则的修订或延伸按照第5款获得批准，并且相关行为准则不涉及在多个成员国的处理活动，监管机构应登记并公布该准则。
  • 7．如果行为准则草案涉及在多个成员国的处理活动，依照第55条确定的主管监管机构在批准准则草案、现有准则的修订或延伸前，应当依第63条所述的程序将其提交给欧洲数据保护委员会，由该委员会对准则草案、现有准则的修订或延伸规定是否符合本条例提出意见，或在本条第3款提及的情况中，对准则草案、现有准则的修订或延伸是否提供适当的保障提出意见。
  • 8．如果第7款中欧洲数据保护委员会确认准则草案、现有准则的修订或延伸规定符合本条例，或者确认在本条第3款所述情况中，准则草案、现有准则的修订或延伸提供了适当的保障的，其应将该意见呈交欧盟委员会。
  • 9．欧盟委员会可通过实施法案决定依照本条第8款呈交的已获批准的行为准则、对现有准则的修订或延伸在欧盟范围内普遍有效。这些实施法案应按照第93条第2款中规定的审查程序通过。
  • 10．欧盟委员会应确保对经过批准并且按照第9款具有普遍有效性的准则进行适当的公示。
  • 11．欧洲数据保护委员会应对登记簿中所有经过批准的行为准则、对现有准则的修订或延伸进行整理，并通过适当的方式向公众提供。
• 第41条 监测核准的行为守则 Monitoring of approved codes of conduct
  • 1．除第57条和第58条对主管监管机构的职责与权力另有规定外，对第40条所述行为准则的监管应由对行为准则有关内容具有适当专业水平并由主管监管机构认可的机构实施。
  • 2．如第1款所述的机构已经从事下列行为的，可被认可对行为准则的遵守情况进行监督： （a）证明其独立性及对行为准则内容的专业性，并得到主管监管机构的认可； （b）设置了相关程序，允许其评估相关控制者和处理者适用行为准则的资格、监督其遵守情况并定期审查操作情况； （c）设置了相关程序和体系，处理针对违反准则的行为或者对控制者或处理者过去或现在实施行为准则方式的申诉，并将这些程序和体系对数据主体和公众公开透明；和 （d）已证明其职责不会导致利益冲突，并获得主管监管机构的认可。
  • 3．依照第63条中提及的一致性机制，主管监管机构应将本条第1款所述的机构认可标准草案提交欧洲数据保护委员会。
  • 4．本条第1款所述的机构，在已采取恰当保障措施的情况下，应当对控制者或处理者违反准则的情况采取适当的措施，包括在不影响主管机构的职责和权力以及第八章规定的前提下，将相关控制者或处理者暂停或排除在准则之外，并将所采取的此等措施及采取的理由通知相关主管监管机构。
  • 5．如果第1款中所述机构的认可不符合或不再符合本条例，或者该机构采取的措施违反本条例的，主管监管机构应撤销对该机构的认可。
  • 6．本条不适用于政府权力机构和公共机构处理数据的行为。
• 第42条 认证 Certification
  • 1．成员国、监管机构、欧洲数据保护委员会和欧盟委员会应鼓励设立数据保护认证机制和数据保护印章与标记（尤其是在欧盟层面），用以证明控制者和处理者遵守了本条例的数据处理操作规定，但应考虑到微型和中小型企业的具体需求。
  • 2．除本条例范围内的控制者或处理者须遵守之外，为在第46条第2款（f）项规定的向第三国或国际组织传输个人数据框架内提供适当的保障，依照第3条不属于本条例范围内的控制者或处理者也应遵守依照本条第5款批准的数据保护认证机制、印章和标记规定。此等控制者或处理者应通过合同或其他具有合法约束力的文件，对采取的适当保障（包括有关数据主体权利的适当保障）作出具有约束力和可执行的承诺。
  • 3．认证应当是自愿的，且程序透明。
  • 4．依照本条进行的认证并未减少控制者或处理者遵守本条例的责任，也未影响第55条和第56条所述主管监管机构的职责和权力。
  • 5．依照本条进行的认证由第43条所述认证机构或主管监管机构，根据该主管监管机构依照第58条第3款批准的标准或者欧洲数据保护委员会依照第63条批准的标准签发。经欧洲数据保护委员会批准的标准可成为一般性认证，即欧洲数据保护印章。
  • 6．将处理提交认证机制后，控制者或处理者，应向第43条所述认证机构或在适当情况下向主管监管机构，提供认证程序所需的一切数据和获取其处理活动的权利。
  • 7．向控制者或处理者签发的认证最长有效期为3年，根据同样的条件并在继续符合相关要求的情况下可续展该认证。如果不符合或者不再继续符合认证要求的，第43条中的认证机构或主管监管机构应根据情况撤销认证。
  • 8．欧洲数据保护委员会应对登记簿中的所有认证机制及数据保护印章和标记进行整理，并通过适当的方式向公众提供。
• 第43条 认证机构 Certification bodies
  • 1．在不妨害第57条和第58条所述主管监管机构的职责和权力的情况下，在数据保护方面具有相应专业水平的认证机构，如必要，应在告知监管机关允许其依照第58条第2款（h）项行使权利后签发和续展认证。成员国应确保这些认证机构获得以下一家或两家机构的认可： （a）依照第55条或第56条具有管辖权的监管机构； （b）按照根据EN-ISO/IEC 17065/2012签发的欧洲议会和欧盟理事会765/2008/EC号条例，以及依照第55条或第56条主管监管机构的其他要求指定的全国性认可机构。[1]
  • 2．第1款的认证机构只有具备下列条件时，方应按照该款获得认可： （a）证明其对认证的内容具有独立性和专业性，并且得到主管监管机构的认可； （b）承诺遵守第42条第5款所述，并经主管监管机构根据第55条或第56条或者欧洲数据保护委员会根据第63条批准的标准； （c）制定了数据保护认证、印章和标记的签发、定期审查和撤销程序； （d）针对违反认证的行为或者对控制者或处理者过去或现在实施认证的方式的申诉，设置了处理程序和体系，并且将这些程序和体系面向数据主体与公众透明化； （e）证明其职责不会导致利益冲突，并且获得相关监管机构的认可。
  • 3．本条第1款和第2款所述认证机构的认可，应由主管监管机构依照第55条或第56条或由欧洲数据保护委员会依照第63条批准的标准进行。在依照本条第1款（b）项认可时，这些要求是对765/2008/EC号条例中预设的要求以及陈述认证机构方法和程序的技术规则的补充。
  • 4．除控制者或处理者为遵守本条例所承担的责任另有规定外，第1款所述认证机构应负责为认证或撤销认证进行适当评估。认证的最长期限为5年，在认可机构符合本条要求的情况下可以同样的条件续展。
  • 5．第1款所述认证机构应向主管监管机构提供授予或撤销认证的理由。
  • 6．本条第3款中的要求以及第42条第5款所述的标准，应由监管机构以便于查阅的方式公示。监管机构还应将这些要求和标准传达给欧洲数据保护委员会。欧洲数据保护委员会应对登记簿中的所有经过批准的认证机制和数据保护印章进行整理，并通过适当的方式向公众提供。
  • 7．除第八章另有规定外，如果认证机构没有或者不再符合认可条件，或者认证机构采取的措施违反本条例的，主管监管机构或国家认证机构应依照本条第1款撤销对该认证机构的认可。
  • 8．欧盟委员会应有权根据第92条通过授权法案，以对第42条第1款所述的数据保护认证机制的要求进行详细说明。
  • 9．欧盟委员会可通过制定实施法案，规定认证机制和数据保护印章及标记的技术标准，以及促进和认可这些认证机制、印章和标记的机制。这些实施法案应按照第93条第2款中的审查程序通过。
• Chapter 5 (Art. 44 – 50)Transfers of personal data to third countries or international organisations
• 第5章（第44-50条）向第三国或国际组织转移个人数据
• 第44条 传输的一般原则 General principle for transfers
  • 对于正在处理中的个人数据或拟在传输到第三国或国际组织后进行处理的个人数据，在不违反本条例其他规定的前提下，控制者和处理者满足本章规定后方可传输，包括个人数据从第三国或国际组织再传输到其他第三国或国际组织。本章所有规定应当适用，以确保本条例所保障的对自然人的保护程度不受减损。
• 以下情况下可容许进行数据转移：数据主体已作出明确同意或转让基于偶然情况，如根据某一合同或法律请求权[无论是司法、行政程序或庭外程序（包括向监管机关提起的程序）中的法律请求权]而必须进行转移。如果欧盟或成员国法律规定的公共利益下的重要依据要求转移，或从为征集公众或有正当利益的个人的意见而依法设立的登记册中转出，也可以进行数据转移。在后一种从登记册转出的情况下，该等转让不应涉及登记册内包含的全部个人数据或个人数据的全部种类，若该登记册旨在征求有正当利益人士的意见，则该转让应仅在该等人士提出要求时进行，或仅在该等人士为数据接收者的情况下进行，此种情况下也应全面考虑数据主体的利益和基本权利。 RECITALS-111
• 第45条 基于充分性决定的转移 Transfers on the basis of an adequacy decision
  • 1．欧盟委员会决定第三国、第三国境内的地区或一个或多个特定行业、国际组织能够确保充分的保护程度的，可向该第三国或国际组织传输个人数据。该传输无须任何特别授权。
  • 2．评估保护程度是否充分时，欧盟委员会尤其应当考虑下列因素： （a）法治，尊重人权和基本自由，一般和部门相关立法，包括有关公共安全、国防、国家安全、刑法和政府机关获取个人数据的相关立法，以及对此等立法的实施，数据保护规则，专业规则和安全措施，包括将个人数据再传输到其他第三国或国际组织的情况下该其他第三国或国际组织遵守的规则，判例法，以及个人数据被传输的数据主体有效、可强制执行的数据主体权利和有效的行政与司法赔偿； （b）第三国境内是否存在或是否存在约束国际组织的一个或多个独立监管机构以及是否有效运作，其负责确保并强制遵守数据保护规则，包括充分的执行权，协助数据主体行使权利及提供咨询，并与成员国的监管机构合作；及 （c）有关第三国或国际组织达成的国际承诺，或因具有法律约束力的公约或文件及参加多边或区域体系产生的其他义务，尤其是与个人数据保护有关的国际承诺或义务。
  • 3．欧盟委员会在评估保护程度的充分性后，可通过颁布实施法案决定第三国、第三国境内地区或一个或多个特定行业、国际组织是否能够确保本条第2款所述的充分保护。实施法案应当规定至少每4年一次的定期审核机制，该机制应当将第三国或国际组织的所有相关发展考虑在内。实施法案应当明确其地域和部门适用范围，并在适当情况下指明本条第2款（b）项所述的监管机构。实施法案应当根据第93条第2款所述审查程序通过。
  • 4．欧盟委员会应当持续监控第三国和国际组织是否有任何进展，可能影响按本条第3款通过的决议运行和基于95/46/EC号指令第25条第6款通过的决议。
  • 5．有信息显示尤其是在进行本条第3款所述审核后发现第三国、第三国境内地区或一个或多个特定行业、国际组织不再确保本条第2款所指的充分保护的，欧盟委员会应当在必要范围内，通过颁布不具有追溯效力的实施法案撤销、修订或中止本条第3款所述决议。该等实施法案应当根据第93条第2款所述审查程序通过。
  • 6．欧盟委员会应当与第三国或国际组织协商，以对引起第5款所述决议的情形作出补救。
  • 7．根据本条第5款所作决议不影响个人数据根据第46条至第49条向有关第三国、第三国境内地区或一个或多个行业、国际组织的传输。
  • 8．欧盟委员会应当在《欧盟官方公报》和其网站上公布其裁定能够确保或不再确保充分保护的第三国、第三国境内地区和特定行业及国际组织清单。
  • 9．在欧盟委员会根据本条第3款或第5款通过修订、取代或废除决议前，欧盟委员会基于95/46/EC号指令第25条第6款通过的决议应当继续有效。
• 掌握组织数据所在位置并了解数据处理（传输）方式，有助于组织确保其数据保护文化的透明性和可见性。全球许多法规规定，涉及跨境数据传输的组织必须签订具体的合同或建立其它数据治理保护机制。尽管很多国家制定了跨境传输法规，但欧盟针对个人数据传输制定了一些最严格的要求。一般而言，如果欧洲经济区 (EEA) 以外的国家/ 地区被认为有能力实现适当水平的数据保护，便可以将个人数据传输到这些国家/地区。GDPR 第 45 条规定，欧盟执委会有权评估第三国的个人数据保护水平。若欧盟执委会认定某些国家/地区的数据保护水平不充分，可将标准合同条款 (SCC) 作为数据传输的有效方法。使用 SCC 的组织应针对在欧盟以外传输个人数据的机制，根据具体个案评估数据传输。这种方法被称为“数据传输影响评估”（DTIA 或 TIA）。 要对数据传输进行合理评估，需采取以下若干步骤： · 映射数据所在位置以及数据传输目标位置 · 确认传输机制 · 评估传输机制的有效性 · 根据需要采用其他保障措施 · 确保其它措施符合业务要求 · 监督以确保持续合规 关于 TIA 的监管机构指南仍在不断演化。但是，根据数据保护监管机构 (DPA) 的要求，TIA 应包括但不限于以下问题： · 政府获取这些数据的可能性有多大？ · 数据是否属于情报和执法活动的范围？ · 是否已执行合理的保护措施？ · 接收数据的国家/地区有哪些适用的隐私和安全标准？ · 接收数据的国家/地区的一般人权评级如何？ 所有获得认可的欧盟跨境数据传输方案：
• 第46条 须采取适当保障措施的传输 Transfers subject to appropriate safeguards
  • 1．在没有根据第45条第3款所作决议的情况下，只有控制者或处理者已提供适当保障，并且数据主体可获得可强制执行的数据主体权利和有效法律救济的条件下，控制者或处理者方可向第三国或国际组织传输个人数据。
  • 2．第1款所述的适当保障可由以下文件规定，无须监管机构特别授权： （a）政府机关或机构之间具有法律约束力、可强制执行的文件； （b）第47条规定的约束性企业规则规定； （c）欧盟委员会根据第93条第2款所述审查程序通过的标准数据保护条款； （d）监管机构通过且欧盟委员会根据第93条第2款所述审查程序批准的标准数据保护条款； （e）根据第40条批准的行为准则，以及第三国境内的控制者或处理者所作的适当保障并具有约束力和强制执行力的承诺，包括与数据主体权利有关的承诺；或 （f）根据第42条批准的认证机制，以及第三国境内的控制者或处理者所作的适当保障并具有约束力和强制执行力的承诺，包括与数据主体权利有关的承诺。
  • 3．经主管监管机构授权，第1款中所述的适当保障尤其还可由以下文件规定： （a）控制者或处理者与第三国或国际组织内的控制者、处理者或个人数据接收者之间的合同条款；或 （b）在政府机关或机构之间的行政安排之间插入的包含可强制执行、有效的数据主体权利的规定。
  • 4．对于本条第3款所述的情形，监管机构应当适用第63条所述的一致性机制。
  • 5．成员国或监管机构基于95/46/EC号指令第26条第2款所作的授权，在被该监管机构修订、取代或废除（如有必要）前应当继续有效。欧盟委员会基于95/46/EC号指令第26条第4款通过的决议，在被根据本条第2款通过的欧盟委员会裁定修订、取代或废除（如有必要）前应当继续有效。
• 第47条 约束性企业规则-BCRs Binding corporate rules
  • 1．主管监管机构应当根据第63条规定的一致性机制批准约束性企业规则，前提是该等规则： （a）具有法律约束力，适用于企业集团或从事共同经济行为的企业团体内每个有关成员（包括其员工）并被其执行； （b）明确授予数据主体与其个人数据处理相关的可强制执行的权利；及 （c）满足第2款所述要求。
  • 2．第1款所述约束性企业规则应当至少列明： （a）企业集团或从事共同经济行为的企业团体及其内部每个成员的结构和联系方式； （b）数据传输或一系列传输，包括个人数据的类别、处理的种类及目的、受影响的数据主体种类，并指明相关第三国； （c）其对内对外均具有法律约束力的性质； （d）一般数据保护原则的适用，尤其是目的限制、数据最小化、有限存储期间、数据质量、通过设计和默认情况下的数据保护、处理的法律依据、特殊类别个人数据的处理、确保数据安全的措施，及将个人数据再传输给不受约束性企业规则约束的机构的要求； （e）数据主体与处理相关的权利和行使该等权利的方式，包括不受仅基于自动化处理（包括根据第22条进行的数据画像）的决议约束，根据第79条向相关监管机构申诉并向成员国具有管辖权的法院起诉，以及就违反约束性企业规则的行为获得赔偿及（适当情况下）补偿等权利； （f）设立在欧盟境外的任何有关成员违反约束性企业规则的，由成员国范围内的控制者或处理者承担责任；控制者或处理者只有在证明该成员不对引起有关损害的事件负责的情况下，才能全部或部分免责； （g）除第13条和第14条以外，关于约束性企业规则的信息，尤其是关于本款（d）项、（e）项和（f）项所述规定的信息，是如何向数据主体提供的； （h）根据第37条任命的任何数据保护专员或负责监管约束性企业规则在企业集团或从事共同经济行为的企业团体内的遵守情况以及培训和申诉处理事宜的其他人或实体的职责； （i）申诉程序； （j）企业集团或从事共同经济行为的企业团体确保核实约束性企业规则遵守事宜的机制。该等机制应当包含数据保护审计和确保采取纠正措施保护数据主体权利的方法。核实结果应当告知（h）项所述的个人或实体和企业集团或从事共同经济行为的企业团体中有控制权企业的董事会，并在相关监管机构要求时向其提供； （k）汇报和记录规则变化并将规则变化汇报监管机构的机制； （l）与监管机构的合作机制，尤其是通过向监管机构提供（j）项所述措施的核实结果，以确保企业集团或从事共同经济行为的企业团体任何成员遵守约束性企业规则； （m）将企业集团或从事共同经济行为的企业团体在第三国应当遵守的、可能对约束性企业规则提供的保障具有重大不利影响的任何法律要求向相关监管机构汇报的机制；及 （n）向可永久或定期访问个人数据的人员进行适当的数据保护培训。
  • 3．欧盟委员会可规定控制者、处理者和监管机构之间关于本条所指的约束性企业规则的信息交流格式和程序。该等实施法案应当根据第93条第2款所述审查程序通过。
• 第48条 未经欧盟法律授权的转让或批露 Transfers or disclosures not authorised by Union law
  • 要求控制者或处理者传输或披露个人数据的法院判决或仲裁庭裁决和第三国行政机关决定，只有基于提出请求的第三国与欧盟或欧盟成员国之间有效的国际条约（例如司法互助协定），且不影响本章规定的其他传输的基础上，才可以得到承认或执行。
• 第49条 特定情况下的豁免 Derogations for specific situations
  • 1．若无第45条第3款规定的充分性决议或第46条规定的适当保障，包括约束性企业规则，满足下列条件之一的，方可向第三国或国际组织进行数据的传输或一系列传输： （a）在数据主体被告知因缺乏充分性决议和适当保障的情况下进行传输可能对其产生的风险后，数据主体明确同意传输； （b）为履行数据主体与控制者之间的合同或实施数据主体要求的先合同措施，有必要进行传输； （c）为订立或履行控制者与其他自然人或法人之间为了数据主体的利益订立的合同，有必要进行传输； （d）出于公共利益的重要原因，有必要进行传输； （e）为提起、行使或抗辩法律诉求，有必要进行传输； （f）对于因生理原因或法律原因无法给予同意的数据主体，为保护该数据主体或其他人的重大利益，有必要进行传输； （g）传输通过登记册进行，根据欧盟或成员国法律该登记册旨在向公众提供信息，可供一般公众或可以证明存在正当利益的任何人查阅，但仅限于满足欧盟或成员国法律规定的查阅条件范围内的特定情况。 若非基于第45条或第46条的规定（包括关于约束性企业规则的规定）进行传输，且本款第1小段特定情形下的豁免均不适用，则仅在下列情况下，可向第三国或国际组织传输：传输不重复、仅涉及有限的数据主体、为控制者追求重大合法利益的目的之必要，且该合法利益未被数据主体的利益或权利和自由超越，且控制者已评估所有与数据传输有关的情况，并已基于该评估提供有关个人数据保护的适当保障。控制者应当将传输通知监管机构。除了提供第13条和第14条所述信息外，控制者还应当通知数据主体有关传输的情况和所追求的重大合法利益。
  • 2．根据第1款第1小段（g）项进行的传输，不得包含登记册内的全部个人数据或个人数据的所有类型。登记册供具有正当利益的人员查阅的，应当仅在这些人员的要求下或这些人员作为收件人的情况下传输。
  • 3．第1款第1小段（a）项、（b）项、（c）项和第2小段不适用于政府机关为行使公共权力开展的活动。
  • 4．第1款第1小段（d）项所述的公共利益，应当在欧盟法律或控制人受约束的成员国法律中予以承认。
  • 5．在没有充分性决议的情况下，欧盟或成员国法律可以为了公共利益的重要原因，明确对特定类别的个人数据向第三国或国际组织传输设定限制。成员国应当将这些规定通知欧盟委员会。
  • 6．控制者或处理者应当将本条第1款第2小段所述的评估以及适当的保障记录在第30条所指的记录中。
• 第50条 个人数据保护的国际合作 International cooperation for the protection of personal data
  • 对于第三国和国际组织，欧盟委员会和监管机构应当采取适当措施： （a）制定国际合作机制，促进个人数据保护立法的有效执行； （b）在为个人数据和其他基本权利和自由的保护提供适当保障的前提下，在个人数据保护执法过程中提供国际互助，包括通过通知、申诉转介、调查协助和信息交流； （c）利益相关方参加旨在深化个人数据保护执法方面的国际合作讨论和活动； （d）促进个人数据保护立法和实践（包括与第三国的管辖权冲突）的交流和记录。
• Chapter 6 (Art. 51 – 59)Independent supervisory authorities
• 第6章（第51-59条）独立监管机构
• 第51条 监管机构 Supervisory authority
  • 1．各成员国应当规定一个或多个独立政府机关（“监管机构”）负责监督本条例的适用，以保护自然人与数据处理相关的基本权利和自由，并促进个人数据在欧盟境内的自由流动。
  • 2．各监管机构应当促进本条例在整个欧盟境内的一致适用。为此，监管机构应当根据第七章的规定相互合作，并与欧盟委员会相配合。
  • 3．一个成员国境内设有多家监管机构的，该成员国应当指定一家监管机构，在欧洲数据保护委员会代表所有监管机构，并制定一项机制，确保其他机构遵守与第63条所述一致性机制相关的规则。
  • 4．各成员国应当于2018年5月25日之前将其依据本章通过的法律规定通知欧盟委员会，并将对这些法律规定有影响的任何后续修订及时通知欧盟委员会。
• 第52条 独立性 Independence
  • 1．各监管机构在根据本条例履行职责和行使权力时应当保持完全的独立性。
  • 2．各监管机构成员在根据本条例履行职责和行使权力时应当不受外部的直接或间接影响，也不得寻求或接受任何人的指示。
  • 3．各监管机构成员不得从事与其职责冲突的任何行为，也不得在任职期间从事与其职业冲突的任何职业，无论是否有报酬。
  • 4．各成员国应当确保各监管机构获得有效履行职责和行使权力（包括在欧盟数据保护委员会内的互助、合作和参与）所需的人力、技术和财务资源、场所和基础设施。
  • 5．各成员国应当确保各监管机构有权自主选择并配备自己的员工而不受外来影响。
  • 6．各成员国应当确保各监管机构所受的财务控制不影响其独立性，并且具有单独、公开的年度预算，该预算可以是州或国家总体预算的一部分。
• 第53条 监管机构成员的一般条件 General conditions for the members of the supervisory authority
  • 1．成员国应当规定监管机构各成员由下列机构通过透明程序委任： ——议会； ——政府； ——国家元首；或 ——成员国法律授权的独立机构
  • 2．各成员应当具备履行职责和行使权力所需的资质、经验和技能，尤其是个人数据保护方面的资质、经验和技能。
  • 3．根据有关成员国法律，成员的职责在任期届满、辞职或强制退休时结束。
  • 4．成员仅在有严重不当行为或不再满足履行职责所需条件时可被免职。
• 第54条 关于设立监督机构的规则 Rules on the establishment of the supervisory authority
  • 1．各成员国应当通过法律方式对如下所有内容作出规定： （a）各监管机构的设立； （b）拟委任的各监管机构成员应当具备的资质和资格条件； （c）委任各监管机构成员的规则和程序； （d）各监管机构成员任期不少于4年，若首次委任是在2016年5月24日后，出于保护监管机构独立性的必要，可通过交错委任的方式使部分成员缩短部分任期。 （e）各监管机构成员是否可以连任以及可以连任几届； （f）关于各监管机构成员和员工义务的条件、行为限制、任期内和任期结束后与其义务冲突的职业和利益以及关于雇用终止的规则。
  • 2．各监管机构成员和员工对于其在履行职责或行使权力的过程中获知的任何保密信息，应当根据欧盟或成员国法律在其任期内及任期结束后遵守职业保密义务。在其任期内，职业保密义务应当尤其适用于自然人汇报违反本条例的任何行为。
• 第55条 管辖权限 Competence
  • 1．各监管机构有权在其所属成员国管辖区域内履行本条例规定的职责，行使本条例赋予的权利。
  • 2．政府机关或私人实体基于第6条第1款（c）项或（e）项进行处理的，由有关成员国主管监管机构管辖。在该等情形下，第56条不适用。
  • 3．监管机构无权监督法院行使司法权进行的处理操作。
• 第56条 主监管机构的管辖权限 Competence of the lead supervisory authority
  • 1．在不违反第55条的情况下，控制者或处理者根据第60条所述程序进行跨境数据处理的，由该控制者或处理者主营业场所或唯一营业场所的监管机构担任主监管机构。
  • 2．作为第1款规定的豁免，各监管机构对于向其提交的申诉或可能违反本条例的行为，若标的事项仅与其所属成员国的一个营业场所相关或仅严重影响其所属成员国境内的数据主体，由该监管机构处理。
  • 3．发生本条第2款所述情形的，监管机构应当立即通知主监管机构。主监管机构在收到通知后3周内，结合控制者或处理者在履行通知义务的监管机构所在的成员国是否有营业场所，决定其是否将根据第60条所述程序处理。
  • 4．主监管机构决定受理的，应当适用第60条规定的程序。通知主监管机构的监管机构可向主监管机构提交一份决议草案。主监管机构在准备第60条第3款所述决议草案时应当尽量重视该草案。
  • 5．主监管机构决定不予受理的，通知主监管机构的监管机构应当根据第61条和第62条的规定处理。
  • 6．在控制者或处理者进行的跨境处理中，主监管机构应当作为该控制者或处理者的唯一问询方。
• 第57条 职责 Tasks
  • 1．在不违反第55条的情况下，控制者或处理者根据第60条所述程序进行跨境数据处理的，由该控制者或处理者主营业场所或唯一营业场所的监管机构担任主监管机构。 2．作为第1款规定的豁免，各监管机构对于向其提交的申诉或可能违反本条例的行为，若标的事项仅与其所属成员国的一个营业场所相关或仅严重影响其所属成员国境内的数据主体，由该监管机构处理。 3．发生本条第2款所述情形的，监管机构应当立即通知主监管机构。主监管机构在收到通知后3周内，结合控制者或处理者在履行通知义务的监管机构所在的成员国是否有营业场所，决定其是否将根据第60条所述程序处理。 4．主监管机构决定受理的，应当适用第60条规定的程序。通知主监管机构的监管机构可向主监管机构提交一份决议草案。主监管机构在准备第60条第3款所述决议草案时应当尽量重视该草案。 5．主监管机构决定不予受理的，通知主监管机构的监管机构应当根据第61条和第62条的规定处理。 6．在控制者或处理者进行的跨境处理中，主监管机构应当作为该控制者或处理者的唯一问询方。 第57条 职责 1．在不影响本条例项下其他职责的前提下，各监管机构应当在其管辖区内： （a）监督、执行本条例的适用； （b）提高公众对与处理相关的风险、规则、保障和权利的认识和理解。专为儿童举办的活动应当特别关注； （c）根据成员国法律，将针对保护自然人与处理相关的权利和自由的立法和行政措施通知国会、政府和其他机关和机构； （d）提高控制者和处理者对其在本条例项下义务的认识； （e）应数据主体要求，向其提供与本监管机构在本条例项下行使权利相关的信息，以及在适当时为此目的与其他成员国的监管机构合作； （f）处理数据主体或机构、组织、协会根据第80条提交的申诉，在适当范围内调查申诉事项，并在合理期间内告知申诉人调查的进展和结果，尤其是是否有必要进一步调查或与其他监管机构协调； （g）与其他监管机构合作，包括分享信息和互相协助，以确保本条例适用和执行的一致性； （h）调查本条例的适用，包括基于其他监管机构或其他政府机关提供的信息进行调查； （i）监督对个人数据保护有影响的相关进展，尤其是信息与通信技术和商业实践的进展； （j）采用第28条第8款和第46条第2款（d）项所述的标准合同条款； （k）制定并维持第35条第4款所述关于数据保护影响评价要求的清单； （l）就第36条第2款所述处理操作提出建议； （m）鼓励根据第40条第1款起草行为准则，提出意见并批准根据第40条第5款提供了充分保障的行为准则； （n）鼓励根据第42条第1款设立数据保护认证机制和数据保护印章与标记，并批准根据第42条第5款建立的认证标准； （o）适当情况下，定期审核根据第42条第7款签发的认证； （p）起草并公布第41条规定的行为准则监督机构及第43条规定的认证机构的认证标准； （q）根据第41条对行为准则监督机构进行认可，根据第43条对认证机构进行认可； （r）对第46条第3款所述的合同条款和规定作出授权； （s）批准根据第47条制定的约束性企业规则； （t）参与欧盟数据保护委员会的活动； （u）对违反本条例的行为和根据第58条第2款采取的措施保留内部记录；及 （v）履行与个人数据保护相关的其他职责。
  • 2．各监管机构应当为第1款（f）项所述申诉的提交提供便利，例如以电子方式提交申诉，但不排除其他通信方式的使用。
  • 3．各监管机构履行职责应当对数据主体免费，适当情况下，对数据保护专员也应当免费。
  • 4．请求明显无根据或过分的，尤其是请求重复的，监管机构可基于行政成本收取合理费用，或拒绝对请求作出回应。请求明显无根据或过分的证明责任，由监管机构承担。
• 第58条 权力 Powers
  • 1．各监管机构对下列所有事项具有调查权： （a）命令控制者和处理者，并可在适当情况下，命令控制者或处理者的代表提供监管机构履行职责所需的任何信息； （b）以数据保护审计的方式开展调查； （c）审核根据第42条第7款签发的认证； （d）将涉嫌违反本条例的行为通知控制者或处理者； （e）向处理者和控制者取得所有个人数据的查阅权与履行职责所需的所有信息的查阅权； （f）根据欧盟或成员国程序法规定，进出控制者和处理者任何场所的进出权，包括使用任何数据处理设备和工具。
  • 2．各监管机构对下列各事项有权进行纠正： （a）拟进行的处理操作可能违反本条例规定的，对控制者或处理者予以警告； （b）处理操作已经违反了本条例规定的，对控制者或处理者予以谴责； （c）命令控制者或处理者遵守数据主体根据本条例行使权利的要求； （d）适当情况下，命令控制者或处理者在特定期间内以特定方式使处理操作符合本条例的规定； （e）命令控制者将个人数据泄露情况告知数据主体； （f）颁发临时或确定性限制，包括处理禁令； （g）根据第16条、第17条和第18条的规定，命令更正或删除个人数据或限制处理，并根据第17条第2款和第19条将该等行动通知个人数据的接收者； （h）根据第42条和第43条撤销或命令认证机构撤销签发的认证，或者在未满足或不再满足认证条件时，命令认证机构不予签发认证； （i）视个案具体情况，根据第83条给予行政罚款，作为本款规定的处罚措施的补充或者替代； （j）命令暂停向第三国境内的接收者或国际组织传输数据。
  • 3．各监管机构对下列所有事项具有授权和咨询权： （a）根据第36条所述的事先咨询程序向控制者提供咨询； （b）就个人数据保护事宜，自行或应要求向国会、成员国政府出具意见，或根据成员国法律向其他机构、实体和公众出具意见； （c）如果成员国法律要求事先授权，对第36条第5款所述的数据处理给予授权； （d）根据第40条第5款对行为准则草案提出意见并予以批准； （e）根据第43条认可认证机构； （f）根据第42条第5款签发认证并批准认证标准； （g）通过第28条第8款和第46条第2款（d）项所述的标准数据保护条款； （h）对第46条第3款（a）项所述的合同条款给予授权； （i）对第46条第3款（b）项所述的行政安排给予授权； （j）批准第47条所述的约束性企业规则。
  • 4．监管机构根据本条履行被赋予的权力不得违反适当保障措施，包括欧盟和成员国法律根据宪章规定的有效的司法救济和正当程序。
  • 5．各成员国应当通过法律的形式规定其监管机构应当有权将违反本条例的行为提交司法机关处理，并在适当情况下启动或以其他方式参与法律程序，以执行本条例的规定。
  • 6．各成员国可通过法律的形式规定其监管机构应当具有第1款、第2款和第3款所述权力以外的其他权力。行使该等权力不得损害第七章的有效实施。
• 第59条 活动报告 Activity reports
  • 各监管机构应当起草年度活动报告，该报告可包含通知的侵权种类清单和根据第58条第2款的规定采取的措施种类。该等报告应当送交国会、政府和成员国法律指定的其他机关。该等报告还应当可供公众、欧盟委员会和欧洲数据保护委员会查阅。
• Chapter 7 (Art. 60 – 76)Cooperation and consistency
• 第7章（第60-76条）合作与一致性
• 第60条
• 第60条 主监管机构与其他有关监管机构之间的合作 Cooperation between the lead supervisory authority and the other supervisory authorities concerned
  • 1．主监管机构应当根据本条规定与其他有关监管机构合作，努力达成共识。主监管机构与有关机构应当互相交流所有相关信息。
  • 2．主监管机构可在任何时间要求其他有关监管机构根据第61条提供互助，并可根据第62条开展共同操作，尤其是为开展调查或对其他成员国的控制者或处理者实施有关措施的情况进行监督。
  • 3．主监管机构应当及时将事项的相关信息告知其他有关监管机构。主监管机构应当及时向其他有关监管机构提交一份决议草案，征求其意见并充分考虑其意见。
  • 4．其他有关监管机构在收到本条第3款所述的咨询后4周内对决议草案提出相关且合理的异议的，如主监管机构不认同该异议，或认为该异议无关或不合理，应当按第63条所述的一致性机制处理。
  • 5．主监管机构拟接受相关且合理异议的，应当向其他有关监管机构提交一份修订后的决议草案征求其意见。修订后的协议草案应当按第四款所述程序在两周内处理。
  • 6．其他有关监管机构未在第4款和第5款所述期间内对主监管机构提交的协议草案提出异议的，应视为主监管机构和有关监管机构就该协议草案达成一致并受其约束。
  • 7．主监管机构应当通过该决议，将该决议通知控制者或处理者的主营业场所或唯一营业场所，并视情况告知其他有关监管机构和欧洲数据保护委员会，包括相关事实概要和依据。收到申诉的监管机构应当将决议告知申诉人。
  • 8．除第7款另有规定外，申诉被驳回或拒绝的，收到申诉的监管机构应当通过决议，将其通知申诉人并告知相关控制人。
  • 9．主监管机构和有关监管机构同意驳回或拒绝申诉的一部分但处理其他部分的，应当对该事项的各相关部分分别通过决议。主监管机构应当就涉及控制者行动的部分通过决议，将其通知所属成员国范围内的控制者或处理者的主要营业场所或营业场所并告知申诉人。而申诉人的监管机构应当就被驳回或拒绝的部分通过决议，将其通知申诉人并告知相关控制者或处理者。
  • 10．在收到主监管机构根据第7款和第9款作出的决议后，控制者或处理者应当采取必要措施确保其在欧盟境内的所有营业机构的处理活动均遵守该决议。控制者或处理者应当将为遵守该决议所采取的措施通知主监管机构，主监管机构应当将该等措施告知其他有关监管机构。
  • 11．在豁免情况下，有关监管机构有理由认为有紧急必要采取行动以保护数据主体利益的，应适用第66条所述的紧急程序。
  • 12．主监管机构和其他有关监管机构应当使用标准化格式以电子形式进行互相提供本条项下所要求的信息。
• 第61条 互助 Mutual assistance
  • 1．为本条例实施和适用的一致性，监管机构应当互相提供相关信息和协助，并将互相有效合作的措施落实到位。互助尤其应当涵盖信息请求和监管措施，例如进行事先授权和咨询、检查和调查的请求。
  • 2．各监管机构在收到其他监管机构的请求后，应当及时且最迟不超过1个月，采取所需的所有适当措施作出回应。该等措施可能特别包含与开展调查相关的信息的传输。
  • 3．互助请求应当包含所有必要信息，包括请求的目的和原因。交流的信息应当仅用于请求所述之目的。
  • 4．收到请求的监管机构不得拒绝遵从请求事项，除非： （a）请求内容或请求执行的措施不在其管辖权限内； （b）遵守请求会导致其违反本条例或收到请求的监管机构受约束的欧盟或成员国法律。
  • 5．收到请求的监管机构应当将结果或为回应请求所采取的措施的进展（视情况而定）告知提出请求的监管机构。收到请求的监管机构应当根据第4款说明拒绝请求的原因。
  • 6．收到请求的监管机构通常应当使用标准化格式以电子形式提供其他监管机构所请求的信息。
  • 7．收到请求的监管机构不得就其按照互助请求采取的任何措施收取费用。对于豁免情况下提供互助所产生的特定支出，监管机构可约定互相补偿规则。
  • 8．如监管机构在收到其他监管机构的请求后1个月内未提供本条第5款所述信息，提出请求的监管机构可根据第55条第1款在其所属成员国范围内通过一项临时措施。应当推定此情形满足第66条第1款项下采取行动的紧急必要，且欧洲数据保护委员会应当根据第66条第2款作出一份紧急而又有约束力的决议。
  • 9．欧盟委员会可通过实施法案的方式，对本条所述互助的格式和程序以及监管机构之间和监管机构与欧洲数据保护委员会之间以电子形式（尤其是本条第6款所述的标准化格式）交流信息的安排作出规定。实施法案应当根据第93条第2款所述审查程序通过。
• 第62条 监管机构的联合操作 Joint operations of supervisory authorities
  • 1．适当情况下，监管机构应当开展联合操作，包括由其他成员国监管机构的成员或员工共同参与的联合调查和联合执法措施。
  • 2．控制者或处理者在多个成员国设立机构的，或在一个以上成员国有相当多的数据主体可能受到处理操作的实质性影响的，各相关成员国的监管机构应当有权参与联合操作。根据第56条第1款或第4款具有管辖权限的监管机构应当邀请各有关成员国的监管机构参与联合操作，并且应当及时回应监管机构的参与请求。
  • 3．监管机构可根据成员国法律，并经辅助监管机构授权，赋予辅助监管机构参与联合操作的成员或员工包括调查权在内的权力，或在牵头监管机构所属成员国法律允许的范围内，允许辅助监管机构的成员或员工根据辅助监管机构所属成员国的法律行使调查权。该等调查权仅可在牵头监管机构成员或员工的指导下和在场的情况下行使。辅助监管机构的成员或员工应当受牵头监管机构所属成员国法律的约束。
  • 4．根据第1款，辅助监管机构的员工在其他成员国开展操作的，牵头监管机构所属成员国应当根据操作地区所在成员国的法律为该等员工的行为负责，包括该等员工在操作期间引起的任何损害。
  • 5．对由自己员工引起的损害，发生损害的地区所在的成员国应当对损害作出赔偿。辅助监管机构的员工造成其他成员国地区内任何人损害的，该辅助监管机构所属成员国应当全额补偿其他成员国已代表其向被损害人支付的金额。
  • 6．除第三方权利行使及第5款另有规定外，对于第1款规定的情形，各成员国不得就第4款所述的损害要求其他成员国赔偿。
  • 7．拟进行联合操作且监管机构未在1个月内遵守本条第2款第二小段所述义务的，其他监管机构可根据第55条在其所属成员国范围内通过一项临时措施。应当推定此情形满足第66条第1款项下采取行动的紧急必要，且欧洲数据保护委员会应当根据第66条第2款作出一份紧急而又有约束力的决议。
• 第63条 一致性机制 Consistency mechanism
  • 为促进本条例在整个欧盟范围内的一致适用，监管机构应当通过本节规定的一致性机制互相合作，并在适当时与欧盟委员会进行合作。
• 第64条 欧洲数据保护委员会的意见 Opinion of the Board
  • 1．主管监管机构拟通过下列任何措施的，欧洲数据保护委员会应当发表相关意见。为此，在下列情形下，主管监管机构应当将决议草案发送给欧洲数据保护委员会： （a）拟通过第35条第4款所述的须进行数据保护影响评估的处理操作清单；（b）涉及第40条第7款规定的事项，即对行为准则草案或对行为准则的修订或延伸是否符合本条例进行判断； （c）拟批准第41条第3款规定的机构认可标准或第43条第3款规定的认可机构； （d）拟确定第46条第2款（d）项和第28条第8款所述的标准数据保护条款； （e）拟对第46条第3款（a）项所述的合同条款作出授权；或 （f）拟批准第47条所述的约束性企业规则。
  • 2．任何监管机构、欧洲数据保护委员会主席或欧盟委员会可要求欧洲数据保护委员会对普遍适用的事项或在一个以上成员国内产生效力的事项进行审查以征求其意见，尤其是在主管监管机构未履行第61条规定的互助义务或第62条规定的联合操作义务时。
  • 3．在第1款和第2款所述情形下，如果欧洲数据保护委员未曾就相同事项出具意见，则其就应当就向其提交的事项发表意见。该意见应当在8周内由欧洲数据保护委员会的成员以简单多数通过。如果事项比较复杂，则该期间可延长6周。根据第5款将第1款所述的决议草案分发给欧洲数据保护委员会成员后，成员在主席指定的合理期间内未提出异议的，应当视为同意决议草案。
  • 4．监管机构和欧盟委员会应当及时以电子化的标准形式向欧洲数据保护委员会传达有关信息，该等信息视情况应当包括事实概述、决议草案、颁发必要措施的依据以及其他有关监管机构的意见。
  • 5．欧洲数据保护委员会主席应当及时以电子形式： （a）使用标准化格式将其收到的任何有关信息告知欧洲数据保护委员会成员和欧盟委员会。欧洲数据保护委员会秘书处在必要时应当为有关资料提供翻译；及 （b）将意见告知第1款和第2款提及的（视情况而定）监管机构和欧盟委员会，并予以公开。
  • 6．主管监管机构不得在第3款规定期间内通过第1款所述的决议草案。
  • 7．第1款提及的监管机构应当充分考虑欧洲数据保护委员会的意见，并且应当在收到意见后两周内，使用电子化的标准形式将是否维持或修订决议草案的意见传达给欧洲数据保护委员会主席，并同时提供修订后的决议草案（如有）。
  • 8．有关监管机构在本条第7款规定期间内告知欧洲数据保护委员会主席其不打算接受欧洲数据保护委员会全部或部分意见并提供相关理由的，应适用第65条第1款。
• 第65条 欧洲数据保护委员会的争议解决 Dispute resolution by the Board
  • 1．为确保本条例在个案中的准确和一致适用，在下列情形中，欧洲数据保护委员会应通过约束性决议： （a）在第60条第4款所述情形中，有关监管机构对主监管机构的决议草案提出相关的合理异议，或主监管机构认为该异议无关或不合理而拒绝的。约束性决议应当涵盖作为相关与合理异议主题的所有事项，尤其是关于是否违反本条例的相关事项； （b）关于对主营业场所有管辖权限的有关监管机构持不同意见的； （c）在第64条第1款所述情形中，主管监管机构未征求欧洲数据保护委员会意见的，或未接受欧洲数据保护委员会根据第64条出具的意见的。在此情形下，任何有关监管机构或欧盟委员会可将该事项告知欧洲数据保护委员会。
  • 2．第1款所述的决议应当在主题事项提交后1个月内由欧洲数据保护委员会成员以2/3多数通过。如事项较为复杂，则该期间可延长1个月。第1款所述的决议应当列明理由，并发送给主监管机构和所有有关监管机构，该决议对主监管机构和所有有关监管机构均具有约束力。
  • 3．欧洲数据保护委员会无法在第2款规定的期间内通过决议的，其应当在第2款所述的第2个月期满后的两周内以简单多数通过决议。欧洲数据保护委员会支持与反对通过决议的成员人数相等的，则是否通过该决议应取决于主席的投票。
  • 4．对于第1款项下提交欧洲数据保护委员会的主题事项，有关监管机构不得在第2款和第3款所述期间内就其通过决议。
  • 5．欧洲数据保护委员会主席应当及时将第1款所述的决议通知有关监管机构，并应当将该决议告知欧盟委员会。监管机构将第6款所述的最终决议通知相关方后，应当在欧洲数据保护委员会的网站上公布该决议。
  • 6．主监管机构或收到申诉的监管机构（视情况而定）应当及时且最迟不晚于欧洲数据保护委员会将本条第1款所述的决议告知其之后1个月内，基于该决议通过最终决议。主监管机构或收到申诉的监管机构（视情况而定）应当将分别通知控制者或处理者和数据主体最终决议的日期告知欧洲数据保护委员会。有关监管机构的最终决议应当根据第60条第7款、第8款和第9款的条款通过。最终决议应当参照本条第1款所述的决议，并载明该款所述决议将根据本条第5款的规定公布在欧洲数据保护委员会的网站上。最终决议应当附上本条第1款规定的决议。
• 第66条 紧急程序 Urgency procedure
  • 1．在例外情况下，有关监管机构为了保护数据主体的权利和自由，认为有采取行动的迫切需要的，可适当放松第63条、第64条和第65条所述的一致性机制或第60条所述的程序要求，并可立即通过临时措施，以在特定有效期内（不得超过3个月）在其管辖地域内产生法律效力。监管机构应当及时向其他有关监管机构、欧洲数据保护委员会和欧盟委员会传达该等措施及通过该等措施的原因。
  • 2．监管机构已经根据第1款采取措施并认为迫切需要通过最终措施的，可要求欧洲数据保护委员会发布紧急意见或紧急约束性决议，并说明提出此要求的原因。
  • 3．有采取行动的迫切需要但主管监管机构未采取适当措施的，任何监管机构可要求欧洲数据保护委员会发布紧急意见或紧急约束性决议（视情况而定），以保护数据主体的权利和自由，并说明提出此要求的原因，包括迫切需要采取行动的原因。
  • 4．作为第64条第3款和第65条第2款的例外，本条第2款和第3款所述的紧急意见或紧急约束性决议应由欧洲数据保护委员会成员在两周内以简单多数通过。
• 第67条 信息交流 Exchange of information
  • 欧盟委员会可通过适用于所有成员的实施细则，对监管机构之间和监管机构与欧洲数据保护委员会之间以电子形式（尤其是第64条所述的标准化格式）交流信息的安排作出规定。 实施细则应根据第93条第2款所述审查程序审查通过。
• 第68条 欧洲数据保护委员会 European Data Protection Board
  • 1．欧洲数据保护委员会作为欧盟机构设立，具有法律人格。
  • 2．欧洲数据保护委员会由其主席代表。
  • 3．欧洲数据保护委员会由各成员国监管机构和欧洲数据保护监督机构的负责人或其各自派遣的代表组成。
  • 4．根据本条例相关规定，如果在一个成员国有一家以上监管机构负责对本条例实施进行监管的，应当根据该成员国法律委派一名共同代表。
  • 5．欧盟委员会有权列席欧洲数据保护委员会的活动和会议，但是欧盟委员会在会议中不具有表决权。欧盟委员会应当指定一名代表。欧洲数据保护委员会的主席应向欧盟委员会传达欧洲数据保护委员会的活动。
  • 6．在第65条所述的情形下，只有在对适用于欧盟相关机构、实体、办事处和代理机构的原则和规则通过决议且该等原则和规则在实质上与本条例中的相关原则和规则相符的情况下，欧洲数据保护监督机构才有投票权。
• 第69条 独立性 Independence
  • 1．欧洲数据保护委员会在根据第70条和第71条履行职责或行使权力时应当保持独立性。
  • 2．在不影响欧盟委员会提出第70条第1款（b）项和第70条第2款所述要求的前提下，欧洲数据保护委员会在履行职责或行使权力时不得寻求或接受任何人的指示。
• 第70条 欧洲数据保护委员会的职责 Tasks of the Board
  • 1．欧洲数据保护委员会应当确保本条例的一致适用。为此，欧洲数据保护委员会应当主动或在适当时应欧盟委员会的要求，尤其是： （a）在第64条和第65条规定的情况下，监督并确保本条例的正确适用，但不得影响国家监管机构履行职责； （b）就欧盟境内数据保护相关问题（包括对本条例任何修订的提议）向欧盟委员会提供建议； （c）就控制者、处理者和监管机构之间关于约束性企业规则的信息交流格式和程序向欧盟委员会提出建议； （d）对于按第17条第2款删除向公众公开的通信服务中的个人数据链接、复本或复制件的程序，发布指引、建议或最佳实践范例； （e）主动应其成员的要求或欧盟委员会的要求审查关于本条例适用的任何问题，或发布指引、建议和最佳实践范例以促进本条例的一致适用； （f）根据本款（e）项发布指引、建议和最佳实践范例，进一步明确第22条第2款基于画像作出决议的标准和条件； （g）根据本条（e）项发布指引、建议和最佳实践范例，确定违反个人数据泄露和第33条第1款和第2款所述的不当延误，以及控制者或处理者须通知个人数据泄露的具体情形； （h）对第34条第1款所述个人数据泄露可能对自然人的权利和自由产生较高风险的情形，根据本条（e）项发布指引、建议和最佳实践范例。 （i）根据本款（e）项发布指引、建议和最佳实践范例，进一步明确基于控制者遵循的约束性企业规则和处理者遵循的约束性企业规则传输个人数据的标准和要求，以及为确保第47条所述有关数据主体个人数据保护的其他必要要求； （j）根据本款（e）项发布指引、建议和最佳实践范例，进一步明确基于第49条第1款传输个人数据的标准和要求； （k）就第58条第1款、第2款和第3款措施的适用和第83条行政罚款的设置方面为监管机构起草指引； （l）对（e）项和（f）项所述的指引、建议和最佳实践范例的实际实施进行审查； （m）根据本条（e）项发布指引、建议和最佳实践范例，建立自然人根据第54条第2款汇报违反本条例行为的通用程序； （n）鼓励根据第40条起草行为准则，根据第42条设立数据保护认证机制和数据保护印章与标记制度； （o）根据第43条认证机构进行认可并进行定期审核，建立第43条第6款获认可机构的公开登记簿及第42条第7款所述在第三国境内建立的获认可控制者或处理者的公开登记簿； （p）为第42条项下认证机构进行认可的目的，明确第43条第3款所述的要求； （q）就第43条第8款所述的认证要求向欧盟委员会提供意见； （r）就第12条第7款所述的图标向欧盟委员会提供意见； （s）就第三国或国际组织保护程度的充分性评估向欧盟委员会提供意见，包括评估第三国、第三国境内的地区或一个或多个特定行业、国际组织的保护程度是否不再满足充分性要求。为此，欧盟委员会应当向欧洲数据保护委员会提供与该第三国、地区或特定行业、国际组织有关的所有必要文件，包括与第三国政府之间的通信往来。 （t）就监管机构按第64条第1款一致性机制作出的决议草案和根据第64条第2款提交的事项出具意见，并根据第65条发布约束性决议，包括第66条所述的情形； （u）促进监管机构之间的合作以及关于信息和最佳实践范例的有效双边和多边交流； （v）推广监管机构之间的共同培训项目，促进监管机构之间的人才交流，并在适当时促进监管机构与第三国的监管机构之间或与国际组织之间的共同培训项目和人才交流； （w）促进与世界范围的数据保护监管机构之间关于数据保护立法和实践的知识和文件的交流； （x）就第40条第9款所述在欧盟层面起草的行为准则出具意见；及 （y）对于监管机构和法院按一致性机制处理的问题的决议，建立一份电子登记簿，供公众查阅。
  • 2．欧盟委员会向欧洲数据保护委员会征求意见时，可在考虑事项的紧急程度情况下，设定一个时间期限。
  • 3．欧洲数据保护委员会应当将其意见、指引、建议和最佳实践范例转发给欧盟委员会和第93条提及的委员会，并予以公布。
  • 4．欧洲数据保护委员会在适当时应当咨询利益相关方，并给予其机会在合理期间内发表意见。在不影响第76条的前提下，欧洲数据保护委员会应当将咨询程序的结果进行公开。
• 第71条 报告 Reports
  • 1．欧洲数据保护委员会应当起草在欧盟境内及相关第三国和国际组织内处理个人数据方面的自然人保护年度报告。报告应当公布并发送给欧洲议会、欧盟理事会和欧盟委员会。
  • 2．年度报告应当对第70条第1款（l）项所述的原则、建议和最佳实践范例以及第65条所述的约束性决议进行评述。
• 第72条 程序 Procedure
  • 1．除非本条例另有规定，欧洲数据保护委员会以其成员简单多数通过决议。
  • 2．欧洲数据保护委员会的议事规则以2/3成员表决通过，并组织本委员会的运行安排。
• 第73条 主席 Chair
  • 1．除非本条例另有规定，欧洲数据保护委员会以其成员简单多数通过决议。
  • 2．欧洲数据保护委员会的议事规则以2/3成员表决通过，并组织本委员会的运行安排。
• 第74条 主席的职责 Tasks of the Chair
  • 1．主席具有如下职责： （a）召集欧洲数据保护委员会会议并准备会议议程； （b）将欧洲数据保护委员会依照第65条通过的决议通知主监管机构和有关监管机构； （c）确保及时履行欧洲数据保护委员会的工作，特别是第63条规定的有关一致性机制的事项。
  • 2．欧洲数据保护委员会应当在议事规则中规定主席和副主席之间的工作分配。
• 第75条 秘书处 Secretariat
  • 1．欧洲数据保护委员会应当设有秘书处，由欧洲数据保护监督机构设立。
  • 2．秘书处按照欧洲数据保护委员会主席的指令履行工作。
  • 3．欧洲数据保护监督机构的工作人员中，从事本条例规定的欧洲数据保护委员会工作的工作人员与从事欧洲数据保护监督机构工作的工作人员应遵从不同的汇报程序。
  • 4．适当情况下，欧洲数据保护委员会和欧洲数据保护监督机构应当制定并公布实施本条规定的谅解备忘录，确定其合作的条款，该备忘录适用于从事本条例规定的欧洲数据保护委员会工作的欧洲数据保护监督机构工作人员。
  • 5．秘书处应当向欧洲数据保护委员会提供分析、行政及后勤支持。
  • 6．秘书处特别应当负责下列事项： （a）欧洲数据保护委员会的日常工作； （b）欧洲数据保护委员会、其主席和欧盟委员会成员间的交流； （c）与其他机构和公众的交流； （d）在内部和外部交流中使用电子形式； （e）相关资料的翻译； （f）欧洲数据保护委员会会议的筹备和跟进； （g）准备、起草和发布关于监管机构之间争议解决的意见、决议及欧洲数据保护委员会通过的其他文本。
• 第76条 保密 Confidentiality
  • 1．按照欧洲数据保护委员会议事规则的规定，欧洲数据保护委员会的讨论在其认为必要时应当保密。
  • 2．提交给欧洲数据保护委员会成员、专家和第三国代表的文件的查阅应适用欧洲议会和欧盟理事会1049/2001/EC号条例。
• Chapter 8 (Art. 77 – 84)Remedies, liability and penalties
• 第8章（第77-84条）补救措施、责任和处罚
• 第77条 向监管机构申诉的权利 Right to lodge a complaint with a supervisory authority
  • 1．除任何其他行政或司法救济另有规定外，如数据主体认为对其个人数据的处理违反本条例，有权向监管机构申诉，特别是向其经常居住地、工作地或涉嫌违法行为地所在成员国的监管机构申诉。
  • 2．接受申诉的监管机构应将申诉进程和结果，包括依照第78条采取司法救济的可能性告知申诉人。
• 第78条 针对监管机构获得有效司法救济的权利 Right to an effective judicial remedy against a supervisory authority
  • 1．除任何其他行政或非司法救济另有规定外，各自然人或法人均有权对监管机构作出的与其相关的具有法律约束力的决议获得有效司法救济。
  • 2．除任何其他行政或非司法救济另有规定外，如依照第55条和第56条具有管辖权的监管机构没有处理申诉或者没有在3个月内将依照第77条提出的申诉的进程或结果告知数据主体的，每一位数据主体均有权获得有效的司法救济。
  • 3．针对监管机构的诉讼应向监管机构设立地的成员国法院提起。
  • 4．针对监管机构决议提起的诉讼，如欧洲数据保护委员会在该决议之前通过一致性机制曾作出意见或决议，则监管机构应将该意见或决议提交法院。
• 第79条 针对控制者或处理者获得有效司法救济的权利 Right to an effective judicial remedy against a controller or processor
  • 1．除第77条向监管机构申诉的权利在内的可以获得的任何行政或非司法救济另有规定外，如数据主体认为由于对其个人数据的处理不符合本条例而导致其在本条例项下的权利受到侵犯的，其有权获得有效的司法救济。
  • 2．针对控制者或处理者的诉讼应向控制者或处理者设有营业场所的成员国法院提起。除控制者或处理者是成员国行使公共权力的政府机构外，该诉讼也可以向数据主体经常居住地所在成员国法院提起。
• 第80条 数据主体的代表 Representation of data subjects
  • 1．除第77条向监管机构申诉的权利在内的可以获得的任何行政或非司法救济另有规定外，如数据主体认为由于对其个人数据的处理不符合本条例而导致其在本条例项下的权利受到侵犯的，其有权获得有效的司法救济。
  • 2．针对控制者或处理者的诉讼应向控制者或处理者设有营业场所的成员国法院提起。除控制者或处理者是成员国行使公共权力的政府机构外，该诉讼也可以向数据主体经常居住地所在成员国法院提起。
• 第81条 诉讼的中止 Suspension of proceedings
  • 1．如具有管辖权的成员国法院知悉同一控制者或处理者的同一处理事项在另一成员国法院的诉讼悬而未决的，其应与该另一成员国的法院联系确认是否存在该诉讼。
  • 2．如同一控制者或处理者的同一处理事项在另一成员国法院的诉讼悬而未决的，除最先受理的法院外，任何其他具有管辖权的法院可中止诉讼程序。
  • 3．如上述悬而未决的诉讼在一审程序中，最先受理的法院对这些诉讼享有管辖权并且其法律允许合并审理的，除了最先受理案件的法院之外，其他法院也可依任何一方当事人的申请拒绝行使管辖权。
• 第82条 享有赔偿的权利和责任 Right to compensation and liability
  • 1．由于违反本条例的行为而遭受重大或非重大损害的任何人均有权就所受到的损害从控制者或处理者处获得赔偿。
  • 2．参与处理的任何控制者均应对违反本条例的处理行为导致的损害承担责任。处理者仅在其没有遵守本条例对处理者义务的具体规定，或者超出或违背控制者合法指令的情况下，才对处理行为引起的损害承担责任。
  • 3．控制者或处理者如果能够证明其对引起损害的事件没有任何责任，则应免于承担本条第2款规定的责任。
  • 4．如果一个以上的控制者或处理者，或者控制者和处理者两者均参与同一项处理，且他们根据第2款和第3款对处理造成的损害负有责任的，为了确保对数据主体的有效赔偿，各控制者或处理者均应对全部损害承担责任。
  • 5．如果控制者或处理者已经按照第4款全额赔偿了数据主体所遭受的损害，该控制者或处理者有权根据第2款中规定的条件，向参与同一处理行为的其他控制者或处理者主张他们各自对损害应承担的相应部分的赔偿。
  • 6．行使获取赔偿权利的诉讼程序应向根据第79条第2款中所述的成员国法律具有管辖权的法院提起。
• 因处理行为违反本条例导致对自然人产生任何损害的，控制者或处理者应当向其作出赔偿。控制者或处理者能够证明其对损害的发生没有责任的，可以免责。损害应根据欧盟法院的判例法作广义解释，并充分反映本条例的目标。此项规定不影响数据主体对违反欧盟或成员国法律其他规定所致损害提出索赔的权利。违反本条例的处理行为包括违反根据本条例和成员国法律根据本条例规定通过的授权性和执行性法规所进行的处理行为。受到损害的数据主体应当获得全部而有效的赔偿。同一诉讼程序内涉及多个控制者或处理者的，每个控制者或处理者都应对整个损害负责，但遭受损害的数据主体能够确保获得完整有效的赔偿，涉及同一诉讼的各控制者或处理者可根据成员国法律按其就损害各自应承担的责任分摊承担该损害。若任何控制者或处理者支付了全部赔偿的，可随后对同一诉讼内涉及的其他控制者或处理者追偿。 RECITALS-146 GDPR数据控制者要证明对数据泄漏没有责任，需要满足以下条件‌： ‌证明企业已采取必要的预防措施‌：数据控制者必须证明其已经采取了所有合理的预防措施来保护个人数据，包括员工培训、技术防护措施等‌。 ‌证明企业不存在组织缺陷‌：数据控制者需要证明其组织在数据保护方面没有缺陷，并且已经尽到了合理的注意义务‌。 ‌证明员工培训‌：企业有义务培训和指导员工，确保他们了解GDPR的要求，并能够正确处理个人数据。如果数据泄露是由于员工错误导致的，企业需要证明其已经进行了充分的培训‌1。 ‌证明不存在故意或严重疏忽‌：数据控制者需要证明其没有故意违反GDPR的规定，也没有因为严重疏忽而导致数据泄露‌。 ‌证明及时通知和透明度‌：在发生数据泄露后，数据控制者必须及时通知相关监管机构和受影响的个人，并提供必要的透明度，包括设立网页和求助热线等‌23。 ‌证明符合问责制要求‌：控制者应该能够证明其符合GDPR的规定，包括数据的收集、处理、存储和传输等各个环节‌。 通过以上措施，数据控制者可以有效地证明其对数据泄漏没有责任，并符合GDPR的要求。
• 第83条 处以行政罚款的一般条件 General conditions for imposing administrative fines
  • 1．各监管机构应确保依照本条对违反本条例行为处以的第4款、第5款和第6款中所述的行政罚款，在个案中有效、与违反本条例的行为相称并具有惩戒性。
  • 2．根据个案具体情况，行政罚款应作为第58条第2款（a）项至（h）项和（j）项中所述措施的补充或者替代性措施。在具体个案中确定是否处以行政罚款及罚款数额时，应适当注意下列各方面： （a）违法行为的性质、严重程度和持续期间，还应考虑相关处理行为的性质、范围或目的以及受影响数据主体的数量及所遭受损害的程度； （b）违法行为的故意或过失的性质； （c）控制者或处理者为减少数据主体遭受的损害而采取的措施； （d）控制者或处理者的责任程度，但应考虑其依照第25条和第32条实施的技术和组织措施； （e）控制者或处理者以前的相关违法行为； （f）为了补救违法行为并减少违法行为可能产生的不利影响而与监管机构的配合程度； （g）受到违法行为影响的个人数据的类别； （h）监管机构获知违法行为的方式，尤其是控制者或处理者是否通知该违法行为，如已通知，通知违法行为的范围； （i）如果曾对控制者或处理者就同样的情况采取过第58条第2款所述措施，相关控制者或处理者对这些措施的遵守情况； （j）对依照第40条批准的行为准则或依照第42条批准的认证机制的遵守情况； （k）适用于案件情况的其他加重或减轻因素，例如因违法行为直接或间接获得的经济利益或避免的损失。
  • 3．如果控制者或处理者在相同或相关的处理操作中故意或因过失违反本条例的若干规定，行政罚款总额不应超过对最重违法行为规定的金额。
  • 4．对违反下列规定的行为，应按照第2款处最高1000万欧元的行政罚款，或者如果违法主体是企业，处最高1000万欧元或者上一财务年度全球年营业总额2%的行政罚款（以较高者为准）： （a）控制者和处理者依照第8条、第11条、第25条至第39条及第42条和第43条承担的义务； （b）认证机构依照第42条和第43条的义务； （c）监督机构依照第41条第4款的义务；
  • 5．对违反下列规定的行为，应按照第2款处最高2000万欧元的行政罚款，或者如果违法主体是企业，处最高2000万欧元或者上一财务年度全球年营业总额4%的行政罚款（以较高者为准）： （a）第5条、第6条、第7条和第9条的基本处理原则，包括同意的条件； （b）数据主体依照第12条至第22条享有的权利； （c）依照第44条至第49条将个人数据传输给第三国接收者或国际组织； （d）依照第九章通过的成员国法律规定的任何义务； （e）未遵守监管机构依照第58条第2款作出的处理、暂停数据流动的命令或临时或最终限制性规定，或者违反第58条第1款没有提供必要的个人数据或信息。
  • 6．未遵守第58条第2款中所述监管机构的命令的，按照本条第2款的规定，应处最高2000万欧元的行政罚款，如果违法主体是企业，处最高2000万欧元或上一财务年度全球年营业总额4%的行政罚款（以较高者为准）。
  • 7．但第58条第2款监管机构纠正权另有规定外，各成员国可以就是否对成员国境内的政府机关或机构实施行政罚款以及罚款的范围制定规则。
  • 8．监管机构根据本条行使权力应遵守欧盟和成员国法律规定的适当程序保障，包括有效的司法救济和正当程序。
  • 9．如果成员国的法律体系没有规定行政罚款，罚款可由主管监管机构提出并由具有管辖权的国家法院实施，并应确保这些法律救济有效并与监管机构实施的行政罚款具有同等的效力。罚款在任何情况下应当有效、与违法行为相称并具有惩戒性。成员国应在2018年5月25日之前将其依照本款通过的法律规定通知欧盟委员会；如果之后有法律修订或影响这些规定的修订，应立即通知欧盟委员会。
• 但是，并非所有 GDPR 侵权行为都会产生数据保护罚款。监管机构还可采取一系列其他措施，包括： 发出警告和申斥 对数据处理执行临时或永久禁令 命令纠正、限制或删除数据 暂停向第三国的数据传输
• 第84条 罚则 Penalties
  • 1．成员国应对违反本条例行为的其他处罚，特别是对不适用第83条规定的行政罚款的违法行为的处罚作出规定；并采取一切必要措施确保落实这些规定。该等处罚应当有效、与违法行为相称并具有惩戒性。
  • 2．各成员国应在2018年5月25日之前将其依照第1款通过的法律规定通知欧盟委员会；如果之后有法律修订或影响这些规定的修订，应立即通知欧盟委员会。
• Chapter 9 (Art. 85 – 91)Provisions relating to specific processing situations
• 第9章（第85-91条）关于具体处理情况的规定
• 第85条 处理与言论和信息自由 Processing and freedom of expression and information
  • 1．成员国应根据法律协调本条例规定的保护个人数据的权利与言论和信息自由权之间的关系，包括为新闻目的及学术、艺术和文学表达目的处理个人数据的情形。
  • 2．对于为新闻或学术、艺术或文学表达目的而处理个人数据的，如有必要对个人数据保护权与言论和信息自由之间进行协调，成员国应对豁免第二章（原则）、第三章（数据主体的权利）、第四章（控制者和处理者）、第五章（向第三国或国际组织传输个人数据）、第六章（独立监管机构）、第七章（合作和一致性）和第九章（关于特定处理情形的规定）的情形作出规定。
  • 3．各成员国应将其依照第2款通过的法律规定通知欧盟委员会，如果之后有法律修订或影响这些规定的修订，应立即通知欧盟委员会。
• 第86条 处理和公众获得官方文件的权利 Processing and public access to official documents
  • 对于政府机关、公共机构或私人机构为实现公共利益履行职责而在官方文件中掌握的个人信息，为了协调公众获得官方文件的权利与本条例规定的个人信息保护权之间的关系，可按照该政府机关或机构应遵守的欧盟或成员国法律披露。
• 第87条 身份证号码的处理 Processing of the national identification number
  • 成员国可对处理身份证号码或通常应用的其他识别信息规定更具体的条件。在该情况下，只有依照本条例对数据主体享有的权利和自由采取适当保障措施后，方可使用身份证号码或通常应用的其他识别信息。
• 第88条 雇佣情境下的处理 Processing in the context of employment
  • 1．为确保雇用情况下处理员工个人信息时员工的权利和自由得到保护，特别是为招聘、履行劳动合同（包括履行法律或集体劳动合同规定的义务、工作的管理、规划和组织、工作场所中的平等和多样性，工作健康和安全、保护用人单位或客户的财产，为了个人或集体行使和享有劳动相关权利和利益）以及终止劳动关系之目的而处理员工个人数据时，成员国可以根据法律或集体劳动协议作出更为具体的规定。
  • 2．这些规定包括为保障数据主体的人格尊严、合法利益和基本权利而采取的恰当和具体措施，特别是关于处理行为透明度、在企业集团或从事联合经济活动的企业团体内部传输个人数据以及工作场所的监控系统方面的措施。
  • 3．各成员国应将其依照第1款通过的法律规定在2018年5月25日之前通知欧盟委员会，如果之后有法律修订或影响这些规定的修订，应立即通知欧盟委员会。
• 第89条 与为公共利益进行档案管理、为科学、历史研究或统计目的而处理个人信息相关的保障和豁免 Safeguards and derogations relating to processing for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes
  • 1．根据本条例，为保护数据主体之权利和自由，应对为公共利益建档、为科学、历史研究或统计目的进行的处理采取适当保障措施。特别是为遵守数据最小化原则，应确保这些保障措施具备所必要的技术和组织措施。这些措施可包括假名化，前提是能以该方式实现这些目的。如果通过再处理能够实现这些目的，而再处理不允许或不再允许识别数据主体的，这些目的就应以该方式实现。
  • 2．为科学、历史研究或统计之目的而进行个人数据处理的，如果第15条、第16条、第18条和第21条所述权利可能导致特定目的无法实现或严重影响特定目的的实现，欧盟或成员国法律可依照本条第1款中规定的条件和保障措施规定对上述的权利的豁免，且此等豁免是实现这些目的所必要的。
  • 3．为实现公众利益的目的进行个人数据处理的，如果第15条、第16条、第18条、第19条、第20条和第21条中所述的权利可能导致特定目的无法实现或严重损害特定目的的实现，欧盟或成员国法律可以依照可根据本条第1款中规定的条件和保障措施规定对上述权利的豁免，且此等的豁免是为实现这些目的所必要的。
  • 4．第2款和第3款中所述的处理同时用于其他目的的，豁免仅适用于这几款所述的目的。
• 第90条 保密义务 Obligations of secrecy
  • 1．根据欧盟或成员国法律或者国家主管机关规定负有专业保密或其他同等保密义务的控制者或处理者，成员国可对第58条第1款（e）项和（f）项中规定的监管机构对有关控制者或处理者的权力作出具体的规定，但是所作的规定应当是对于协调个人数据保护权与保密义务所必要并且相称的。这些规定仅适用于控制者或处理者因该保密义务范围内的活动而获得的个人数据，或者在该保密义务范围内的活动中获得的个人数据。
  • 2．各成员国应将其依照第1款通过的规定在2018年5月25日之前通知欧盟委员会，如果之后有影响这些规定的修订，应立即通知欧盟委员会。
• 第91条 现有教会和宗教协会的数据保护规定 Existing data protection rules of churches and religious associations
  • 1．如果成员国教会及宗教协会或团体在本条例生效之时适用与处理有关个人数据保护相关的综合性规定的，这些规定在与本条例一致的前提下可继续适用。
  • 2．按照本条第1款适用综合性规定的教会和宗教协会应受到独立监管机构（可以是特定的机构）的监督，条件是其满足本条例第六章规定的条件。
• Chapter 10 (Art. 92 – 93)Delegated acts and implementing acts
• 第10章（第92-93条）授权行为和实施行为
• 第92条 授权的行使 Exercise of the delegation
  • 1．根据本条中规定的条件，授予欧盟委员会通过授权法案的权力。
  • 2．第12条第8款和第43条第8款中所述的授权自2016年5月24日起授予欧盟委员会，具体授权期间不确定，欧洲议会或欧洲理事可随时撤销第12条第8款和第43条第8款中所述的授权。撤销决议应终止该决议中规定的授权，自其公布于《欧盟公报》之日的下一日或者公报中明确的日期生效。撤销决议不影响已生效的任何授权法案的有效性。
  • 3．授权法案一经通过，欧盟委员会应同时告知欧洲议会和欧盟理事会。
  • 4．依照第12条第8款和第43条第8款采取的授权法案只有满足下列条件方才有效，即在该行为通知欧洲议会和欧盟理事会后的3个月内，欧洲议会和欧盟理事会没有表示反对，或者该期间届满之前欧洲议会和欧盟理事会均告知欧盟委员会不反对。该期间应根据欧洲议会或欧盟理事会的倡议延长3个月。
• 第93条 欧盟委员会程序 Committee procedure
  • 1．欧盟委员会应由一个委员会辅助。该委员会应为（EU）182/2011号条例所指的委员会。
  • 2．凡提及本款，则适用（EU）182/2011号条例第5条。
  • 3．凡提及本款，则连同（EU）182/2011号条例第5条与第8条一并适用。
• Chapter 11 (Art. 94 – 99)Final provisions
• 第11章（第94-99条）最后条款
• 第94条 废除95/46/EC指令 Repeal of Directive 95/46/EC
  • 1.95/46/EC号指令自2018年5月25日起废止。
  • 2．凡提及被废止的指令视同提及本条例。凡提及95/46/EC号指令第29条中确定的“保护个人数据处理工作组”视同提及依本条例设立的欧洲数据保护委员会。
• 第95条 与指令2002/58/EC的关系 Relationship with Directive 2002/58/EC
  • 对于在欧盟境内公共通信网络中，就自然人或法人负有的与2002/58/EC号指令中规定的相同目的的特定义务的事项提供相关的可公开获得的电子通信服务的，本条例没有为自然人或法人与此相关的处理行为规定额外的义务。
• 第96条 与先前订立协议的关系 Relationship with previously concluded Agreements
  • 成员国在2016年5月24日之前订立的涉及将个人数据传输给第三国或国际组织的国际协议，并且该协议符合订立日前的欧盟相关法律的，在修订、替换或撤销之前继续有效。
• 第97条 欧盟委员会的报告 Commission reports
  • 1．欧盟委员会应在2020年5月25日之前以及此后每4年，向欧洲议会和欧盟理事会提交一份对本条例的评估和审查报告。报告应向公众公开。
  • 2．在第1款所述的评估和审查中，欧盟委员会应特别审查下列章节的应用和运行情况： （a）第五章“向第三国或国际组织传输个人数据”，特别是关于依照本条例第45条第3款通过的决议以及根据95/46/EC号指令第25条第6款通过的决议； （b）第七章“合作和一致性”。
  • 3．第1款中，欧盟委员会可要求成员国和监管机构提供信息。
  • 4．在进行第1款和第2款中的评估和审查过程中，欧盟委员会应考虑到欧洲议会、欧盟理事会和其他相关机构或来源的立场和调查结果。
  • 5．欧盟委员会在必要时，尤其是考虑到信息技术的发展以及信息社会的进展情况，对修订本条例提出适当的建议。
• 第98条 审阅欧盟其他关于数据保护的法律行为 Review of other Union legal acts on data protection
  • 欧盟委员会在适当情况下应提出立法建议，修改欧盟其他关于保护个人数据的法律行为，以确保在处理上对自然人采取统一和一致的保护，且应当特别关注欧盟机构、机关和办事机构在数据处理上对自然人保护的规则以及该等数据自由流动的规则。
• 第99条 生效和适用 Entry into force and application
  • 1．本条例自其公布于《欧盟公报》之日后的第20日生效。
  • 2．自2018年5月25日起实施。 本条例全文对全体成员国具有约束力，并直接适用于全体成员国。