歐盟一般資料保護規範

title: 摘要.
content: GDPR延伸欧洲资料保护法的领域至所有处理欧盟住民的境外公司。 GDPR使通行欧盟的资料保护规章一致,因此使欧洲以外的公司能够更容易地遵守这些规章;然而,其代价是严格的资料保护规定,且有着公司全球收益4%或两千万欧元(择高者)的高额罚款。
title: 原则.
content: OECD 发表“个人数据隐私和跨境流动保护指南”,这是欧盟和美国批准的一系列建议,旨在保护个人数据和隐私的基本人权。最初于1980年9月23日通过法律,并且基于以下八大原则产生出后来的 GDPR 、95/46/EC。  个人资料的收集应存在适当的限制,进而以合法且公平的方式取得,并且透过适当的方法知会资料来源或者主体,再进一步取得同意。  个人资料应与其使用目的相关,并且在必要的范围内,确保资料的准确性以及完整性,并随时更新。  资料取得的目的应于收集资料时就清楚说明,并且在使用资料时,如果没有通知来源主体,不得应用在和当初目的不相关的用途上  除非经资料主体或法律授权,否则不得将个人资料用于原始或者特定目的以外之目的  个人资料应受到合理的安全保护措施之保障,以防止丢失或未经授权的访问,破坏,使用,修改或披露数据等风险。  关于个人资料开发、应用方法,应有一个通用的开放政策去规范。并且资料主体可以轻松得取得关于其本身资料的细节,例如资料使用者的身份以及目的等等。  资料主体拥有资料的取用权,也有资料的拒绝被使用权。此外也能够质疑资料的正确性,并作出合理的处置(删除、修改等)。  资料持有者应对上述原则负责。
title: 主要变动.
content: 尽管欧盟在1995年制定了个人资料保护指令(Data Protection Directive),但当时网络并不普及,为了因应当前资料导向的潮流以符合现代时空环境,2016年通过 GDPR 取代了先前的法规,而主要变动如下:
title: 增加管辖范围、加强罚则.
content: 正因为网络无远弗届的特性,在以往指令的区域适用性含糊不清的情况下,常常在相关案件的审理上窒碍难行。因此 GDPR 扩展了其管辖范围,不管公司所在位置为何,现在只要有使用到欧盟人民所拥有的资料,或者向欧盟公民提供商品或服务的公司皆适用于 GDPR。<br> 除此之外也加强了罚则力道,例如没有足够的客户同意来处理数据或违反隐私设计概念的企业组织,将会被欧盟处以高达年度全球营业额的4%或2000万欧元(以较高者为准)。值得注意的是这些规定同时适用于决策者以及「机器」,这代表的相关的云端服务也在管辖范围内。<br> 更规定在向使用者请求资料使用权时,须以提供于理解且明确的说明,并且也要让使用者易于要撤回同意。
title: 适用对象.
content: 下列适用对象握有其客户或成员相关资料,皆受 GDPR 管辖。
title: 保护范围.
content: 只要是一个人所能产生出的任何资料,几乎都被重新定义为个人资料并受到保护。
title: 企业责任.
content: 知悉个资遭侵害,需 72 小时内通报与通知、个资保护影响评估、个资保护设计及默认。
title: 影响产业.
content: 由于 GDPR 大大扩展了其涵盖范围,因此受到了全球的广泛关注,因为从以往地域上的限制,转变成为凡是向欧盟人民提供产品、服务或监测欧盟境内公民网络行为的境外企业都算。<br> 受到影响的产业非常广泛,影响甚大的产业有几项:
title: 医疗资讯.
content: 为了有效推动智慧医疗(i.e. Artificial intelligence in healthcare),许多病患的医疗资讯必须电子化,透过各种深度学习算法去训练模型,进而达成各种需求。而电子病历所衍生的隐私问题,在高度安全的区块链技术尚未普及的情况下,虽然可以透过去识别化(Data re-identification)初步的过滤掉个人资讯,然而在以往尚无法律强制性的时期,却也无从确实地在使用医疗资料上保障个人隐私。现在,基于 GDPR 的规定,取得医疗资料的前提是有取得病患的同意,虽然增加了一些程序,但资料安全与隐私的保障所带来的益处,不仅能够保障病患的基本权利,也能提升资料使用上的正当性。
title: 网络零售.
content: 这是一个会处理大量个人识别资讯之产业,包括跨境电商、连锁商店、旅游服务、餐饮,只要是替欧盟顾客服务,掌握信用卡资料、地址、基本个资,都属于 GDPR 规范中。再加上网络服务随之产生的资料之大,使其更首当其冲,这也正是为何苹果等网络服务公司 也推出了个资管理系统,以因应 GDPR 修订。
title: 金融.
content: 金融机构持有大量个人识别资讯,每当涉及个资需要传输到境外、处理或利用到欧盟民众个资、海外设有分行、委外业务,都可能受到影响。再加上欧盟是世界第一大经济体,金流来往频繁,更不用说近年区块链技术的兴起,资料隐私安全议题更是影响甚大。
title: 航空运输.
content: 航空运输主宰当今人口移动的方式,旅客往返的机票、出入境资料也都涉及个人隐私。以台湾为例,华航、长荣两家国营航空业者来说,目前在欧洲都有航点,不仅在海外设有办公室,也需要频繁处理大量旅客资料。

Summary: 《一般资料保护规范》(英语:General Data Protection Regulation,缩写作 英语:GDPR;欧盟法规编号:(EU) 2016/679),是在欧盟法律中对所有欧盟个人关于数据保护和隐私的规范,涉及了欧洲境外的个人资料出口。GDPR 主要目标为取回个人对于个人资料的控制,以及为了国际商务而简化在欧盟内的统一规范。

General Data Protection Regulation: The General Data Protection Regulation (EU) 2016/679 (GDPR) is a regulation in EU law on data protection and privacy in the European Union (EU) and the European Economic Area (EEA). It also addresses the transfer of personal data outside the EU and EEA areas. The GDPR aims primarily to give control to individuals over their personal data and to simplify the regulatory environment for international business by unifying the regulation within the EU. Superseding the Data Protection Directive 95/46/EC, the regulation contains provisions and requirements related to the processing of personal data of individuals (formally called "data subjects" in the GDPR) who are located in the EEA, and applies to any enterprise—regardless of its location and the data subjects' citizenship or residence—that is processing the personal information of data subjects inside the EEA.