欧盟一般资料保护规范

《一般资料保护规范》（General Data Protection Regulation，缩写作GDPR；欧盟法规编号：(EU) 2016/679），又名《通用资料保护规则》，是在欧盟法律中对所有欧盟个人关于和隐私的规范，涉及了欧洲境外的个人资料出口。GDPR主要目标为取回个人对于个人资料的控制，以及为了国际商务而简化在欧盟内的统一规范。
GDPR取代了欧盟在1995年推出的欧盟个人资料《-{zh:数据保护;zh-hans:数据保护;zh-tw:资料保护}-指令》（Data Protection Directive）95/46/EC，该条例包含有关处理欧盟内部-{zh:数据;zh-hans:数据;zh-tw:资料}-主体的个人可识别资讯的条款和要求，适用于与欧洲做生意的所有企业，不论实体位置何在。处理个人-{zh:数据;zh-hans:数据;zh-tw:资料}-的业务流程必须在设计和-{zh:默认;zh-hans:默认;zh-tw:预设}-情况下构建-{zh:数据;zh-hans:数据;zh-tw:资料}-保护，这意味着个人-{zh:数据;zh-hans:数据;zh-tw:资料}-必须使用假名化或匿名化进行存储，并且-{zh:默认;zh-hans:默认;zh-tw:预设}-使用尽可能最高的隐私设置，以避免公开-{zh:数据;zh-hans:数据;zh-tw:资料}-未经明确同意，并且不能用于识别没有单独存储附加-{zh:信息;zh-hans:信息;zh-tw:资讯}-的主题。任何个人-{zh:数据;zh-hans:数据;zh-tw:资料}-除非在法规规定的合法基础上完成，否则-{zh:数据;zh-hans:数据;zh-tw:资料}-控制者或处理者已经从-{zh:数据;zh-hans:数据;zh-tw:资料}-所有者那里获得明确的选择同意。-{zh:数据;zh-hans:数据;zh-tw:资料}-所有者有权随时撤销此权限。
个人-{zh:数据;zh-hans:数据;zh-tw:资料}-处理者必须清楚地披露任何-{zh:数据;zh-hans:数据;zh-tw:资料}-收集，声明-{zh:数据;zh-hans:数据;zh-tw:资料}-处理的合法基础和目的，保留-{zh:数据;zh-hans:数据;zh-tw:资料}-的时间以及是否与任何第三方或欧盟以外的国家共享-{zh:数据;zh-hans:数据;zh-tw:资料}-。用户有权以通用格式请求处理器收集的-{zh:数据;zh-hans:数据;zh-tw:资料}-的便携式副本，并有权在特定情况下删除其-{zh:数据;zh-hans:数据;zh-tw:资料}-。 公共主管部门和以核心活动为中心定期或系统地处理个人-{zh:数据;zh-hans:数据;zh-tw:资料}-的企业需要雇用-{zh:数据;zh-hans:数据;zh-tw:资料}-保护官员（DPO）负责管理GDPR的合规性。如果Data breach对用户隐私产生不利影响，企业必须在72小时内报告任何Data breach。
本法案在2016年4月27日通过，两年的缓冲期后，在2018年5月25日强制执行。根据欧洲联盟运作条约第288条第2项，因为GDPR属于Verordnung (EU)（regulation；Verorderung），不是指令（directive；Richtlinie），所以不需经过欧盟成员国立法转换成各国法律，而可直接适用。随着英国在2019年脱离欧盟，它于2018年5月23日御准批准了Data Protection Act 2018 。该法案包含了相应的法规和保护措施。

**摘要**
GDPR延伸欧洲资料保护法的领域至所有处理欧盟住民的境外公司。 GDPR使通行欧盟的资料保护规章一致，因此使欧洲以外的公司能够更容易地遵守这些规章；然而代价是严格的资料保护规定，且有着公司全球收益4%或两千万欧元（择高者）的高额罚款。

**原则**
OECD 发表“个人-{zh:数据;zh-hans:数据;zh-tw:资料}-隐私和跨境流动保护指南”，这是欧盟和美国批准的一系列建议，旨在保护个人-{zh:数据;zh-hans:数据;zh-tw:资料}-和隐私的基本人权。最初于1980年9月23日通过法律，并且基于以下八大原则产生出后来的 GDPR 、95/46/EC。
 取得限制 (Collection Limitation Principle)
 个人资料的收集应存在适当的限制，进而以合法且公平的方式取得，并且透过适当的方法知会资料来源或者主体，再进一步取得同意。
 资料品质 (Data Quality Principle)
 个人资料应与其使用目的相关，并且在必要的范围内，确保资料的准确性以及完整性，并随时更新。
 目的明确 (Purpose Specification Principle)
 资料取得的目的应于收集资料时就清楚说明，并且在使用资料时，如果没有通知来源主体，不得应用在和当初目的不相关的用途上
 使用限制 (Use Limitation Principle)
 除非经资料主体或法律授权，否则不得将个人资料用于原始或者特定目的以外之目的
 安全防护 (Security Safeguards Principle)
 个人资料应受到合理的安全保护措施之保障，以防止丢失或未经授权的访问，破坏，使用，修改或披露-{zh:数据;zh-hans:数据;zh-tw:资料}-等风险。
 开放原则 (Openness Principle)
 关于个人资料开发、应用方法，应有一个通用的开放政策去规范。并且资料主体可以轻松得取得关于其本身资料的细节，例如资料使用者的身份以及目的等等。
 个体参与 (Individual Participation Principle)
 资料主体拥有资料的取用权，也有资料的拒绝被使用权。此外也能够质疑资料的正确性，并作出合理的处置(删除、修改等)。
 责任原则 (Accountability Principle)
 资料持有者应对上述原则负责。

**主要变动**
尽管欧盟在1995年制定了个人资料保护指令（Data Protection Directive），但当时网路并不普及，为了因应当前资料导向的潮流以符合现代时空环境，2016年通过 GDPR 取代了先前的法规，而主要变动如下:

**增加管辖范围、加强罚则**
正因为网路无远弗届的特性，在以往指令的区域适用性含糊不清的情况下，常常在相关案件的审理上窒碍难行。因此 GDPR 扩展了其管辖范围，不管公司所在位置为何，现在只要有使用到欧盟人民所拥有的资料，或者向欧盟公民提供商品或服务的公司皆适用于 GDPR。
除此之外也加强了罚则力道，例如没有足够的客户同意来处理-{zh:数据;zh-hans:数据;zh-tw:资料}-或违反隐私设计概念的企业组织，将会被欧盟处以高达年度全球营业额的4％或2000万欧元（以较高者为准）。值得注意的是这些规定同时适用于决策者以及「机器」，这代表的相关的云端服务也在管辖范围内。
更规定在向使用者请求资料使用权时，须以提供于理解且明确的说明，并且也要让使用者易于要撤回同意。

**适用对象**
下列适用对象握有其客户或成员相关资料，皆受 GDPR 管辖。

**保护范围**
只要是一个人所能产生出的任何资料，几乎都被重新定义为个人资料并受到保护。
# 个人身份 - 电话号码、地址、车牌等
# 生物特征 - 历资料、指纹、脸部辨识、视网膜扫描、相片等
# 电子纪录 - Cookie、IP 位置、行动装置 ID、社群网站活动纪录

**法规基础**
GDPR的法规基础有：
# 被遗忘权 (Right to be forgotten)：可以要求控制资料的一方，删除所有个人资料的任何连结、副本或复制品。
# 取用权 (Right to Access)：可向资料控制方，寻求关于使用者本身的资料之使用方法、地点及目的等等。此外控制方也应以电子形式提供资料的副本供拥有者参考。
# 资料可携权 (Right to data portability)：意思是用户可以以通用、机器可读的形式取得某一服务的资料，进而转移到另外一个服务上
# Privacy by design (Privacy by design)：组织需要采纳隐私设计的架构，在最初阶段就对隐私及资料保护问题进行预测及因应，并且应对装置及应用程式实施严格的身分验证及授权机制。

**企业责任**
知悉个资遭侵害，需 72 小时内通报与通知、个资保护影响评估、个资保护设计及预设。

**影响产业**
由于 GDPR 大大扩展了其涵盖范围，因此受到了全球的广泛关注，因为从以往地域上的限制，转变成为凡是向欧盟人民提供产品、服务或监测欧盟境内公民网路行为的境外企业都算。
受到影响的产业非常广泛，影响甚大的产业有几项:

**= 医疗资讯 =**
为了有效推动智慧医疗，许多病患的医疗资讯必须电子化，透过各种深度学习演算法去训练模型，进而达成各种需求。而电子病历所衍生的隐私问题，在高度安全的区块链技术尚未普及的情况下，虽然可以透过Data de-identification初步的过滤掉个人资讯，然而在以往尚无法律强制性的时期，却也无从确实地在使用医疗资料上保障个人隐私。现在，基于 GDPR 的规定，取得医疗资料的前提是有取得病患的同意，虽然增加了一些程序，但资料安全与隐私的保障所带来的益处，不仅能够保障病患的基本权利，也能提升资料使用上的正当性。

**= 网路零售 =**
这是一个会处理大量个人可识别资讯之产业，包括跨境电商、连锁商店、旅游服务、餐饮，只要是替欧盟顾客服务，掌握信用卡资料、地址、基本个资，都属于 GDPR 规范中。再加上网路服务随之产生的资料之大，使其更首当其冲，这也正是为何苹果等网路服务公司 也推出了个资管理系统，以因应 GDPR 修订。

**= 金融 =**
金融机构持有大量个人可识别资讯，每当涉及个资需要传输到境外、处理或利用到欧盟民众个资、海外设有分行、委外业务，都可能受到影响。再加上欧盟在世界经济中占有第二大位，金流来往频繁，更不用说近年区块链技术的兴起，资料隐私安全议题更是影响甚大。

**= 航空运输 =**
航空运输主宰当今人口移动的方式，旅客往返的机票、出入境资料也都涉及个人隐私。以台湾为例，华航、长荣两家民营航空业者来说，目前在欧洲都有航点，不仅在海外设有办公室，也需要频繁处理大量旅客资料。

**时间线**
 2012年1月25日: GDPR的提案发布。- 2013年10月21日: 4=欧洲议会公民自由委员会 (LIBE)进行了意向投票。- 2015年12月15日: 欧洲议会、理事会和委员会之间的谈判(4=三部曲会议)产生了一项联合提案。- 2015年12月17日: 欧洲议会的LIBE委员会投票支持三部曲会议的谈判结果。- 2016年4月8日: 欧洲联盟理事会通过。唯一投反对票的成员国是奥地利，该国辩称，与1995年的指令相比，数据保护水平在某些方面有所下降。- 2016年4月14日: 欧洲议会通过。- 2016年5月24日: 该条例在《欧盟官方公报》发布政府公报20天后生效。- 2018年5月25日: 条例生效两年后，其规定直接适用于所有会员国。- 2018年7月20日: 在4=欧洲经济区联合委员会和三个国家同意遵循该条例后，GDPR在欧洲经济区国家(冰岛、列支敦士登和挪威)生效。

**参考文献**
 引用

**外部连结**
  Regulation (EU) 2016/679 of the European Parliament and of the Council date=20170122015414  27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation)-  GDPR简介 date=20200813131528 -  带你搞懂GDPR date=20210309092009  -  国家发展委员会欧盟GDPR法规 date=20200813133916