歐盟《一般數(shù)據(jù)保護條例》的出臺背景及影響

1、歐盟《一般數(shù)據(jù)保護條例》的出臺背景及影響歐盟《一般數(shù)據(jù)保護條例》的出臺背景及影響作者：何治樂，黃道麗來源：《信息安全與通信保密》2014年第10期發(fā)布時間：20141218摘要：隨著全球化和新技術(shù)的發(fā)展，歐盟現(xiàn)有的數(shù)據(jù)保護框架難以適應(yīng)大數(shù)據(jù)帶來的新挑戰(zhàn)。歐盟委員會謀求建立新的法律框架以積極應(yīng)對，2012年11月通過《一般數(shù)據(jù)保護條例》。分析歐盟《條例》的制定原因，綜述其給世界范圍及中國帶來的影響，對透析當代數(shù)據(jù)保護的發(fā)展趨勢，為個人數(shù)據(jù)

2、營造安全可信的在線環(huán)境具有重大意義。0引言大數(shù)據(jù)、云計算、移動互聯(lián)網(wǎng)、社交網(wǎng)絡(luò)以及各種智能終端的普及使得個人數(shù)據(jù)無處遁形，而自然人的天然弱勢地位導致其難以掌控自身數(shù)據(jù)。為了應(yīng)對數(shù)字時代個人數(shù)據(jù)的新挑戰(zhàn)，并且確保歐盟規(guī)則的前瞻性，歐盟委員會重新審視現(xiàn)有的個人數(shù)據(jù)保護法律框架，于2012年11月制定了具有更強包容性和合作性的《一般數(shù)據(jù)保護條例》(簡稱GDPＲ)。1GDPＲ出臺的原因分析歐盟擁有較為完善的數(shù)據(jù)保護框架，包括一系列的指令、協(xié)議、

3、條例等，其中最重要的是1995年通過的數(shù)據(jù)保護指令(以下簡稱“95指令”)，為歐盟成員國立法保護個人數(shù)據(jù)設(shè)立了最低標準。但是新技術(shù)的沖擊，95指令在各成員國內(nèi)的不協(xié)調(diào)性及程序的復雜化，都使得歐盟現(xiàn)存的法律難以應(yīng)對不斷出現(xiàn)的安全風險。11法律規(guī)則統(tǒng)一的必要性95指令設(shè)定了立法所追求的最低標準和目標，構(gòu)成了歐盟數(shù)據(jù)保護法的基礎(chǔ)。然而，由于成員國實施的具體方式和執(zhí)法過程不同，加上各國獨特的法律制度和文化傳統(tǒng)，使得個人數(shù)據(jù)在不同的成員國享有不同

4、的保護水平。不協(xié)調(diào)和失衡的法律適用嚴重影響數(shù)據(jù)保護的實際效果和歐盟內(nèi)的數(shù)據(jù)自由流動。同時，分割方式的法律實施強化了法律的不確定性，公眾開始普遍懷疑在線活動的安全性，數(shù)據(jù)保護法已經(jīng)開始阻礙產(chǎn)業(yè)的成長。歐盟需要一個更強大和一致的數(shù)據(jù)保護框架弱化法律的分散性，提升個人的數(shù)據(jù)控制能力及市場的內(nèi)部運作。12減輕執(zhí)法負擔的必要性有效的執(zhí)行性和可操作性是每部法律追求的最終目標，過于嚴厲或者僵化的條款都會直接影響法律的操作性，而程序太過繁瑣則會增加執(zhí)行

5、的費用和成本?，F(xiàn)有的歐盟數(shù)據(jù)保護法的執(zhí)行即存在這樣的問題，例如限制數(shù)據(jù)國際流動的規(guī)定過于剛性，使得企業(yè)特別是跨國性的企業(yè)存在巨大的經(jīng)營障礙。成員國將歐盟指令轉(zhuǎn)化為內(nèi)容不完全一致的數(shù)據(jù)保護法，企業(yè)必須與多國的數(shù)據(jù)主管機構(gòu)進行交涉溝通才能滿足合規(guī)性遵從，必然導致不必要的資源浪費。根據(jù)歐盟委員會司法專員維維安雷丁(VivianeＲeding)的報告，每年歐盟因為數(shù)據(jù)保護執(zhí)法上的無序和混亂導致的成本就高達23億歐元［1］。因此，消除現(xiàn)存框架中

6、的繁雜條款，提高法律的針對性和效率以減少行政負擔成為GDPＲ的重要目標之一。13技術(shù)和貿(mào)易的全球化發(fā)展需要隱私數(shù)據(jù)或者稱為特殊類別的個人數(shù)據(jù)，密切關(guān)系著個人的身體健康，生命及財產(chǎn)安全，對其處理存在特定的風險。GDPＲ專門規(guī)定了“特殊類別的個人數(shù)據(jù)”的處理條件：揭示種族或民族起源，政治意見，宗教信仰的個人數(shù)據(jù)處理，和與基因數(shù)據(jù)或健康，性生活，犯罪，安全措施相關(guān)的數(shù)據(jù)處理應(yīng)當由數(shù)據(jù)控制者或者其代理人負責實施數(shù)據(jù)保護影響評估(DPIA)，評估

7、結(jié)果會直接影響處理數(shù)據(jù)的條件。此外，與醫(yī)療相關(guān)的個人數(shù)據(jù)，雇傭關(guān)系中的個人數(shù)據(jù)以及為歷史、統(tǒng)計和科學研究目的的數(shù)據(jù)處理都有其自身特定的條件，不能被隨意處理。GDPＲ的規(guī)定揭示了特殊數(shù)據(jù)的特定風險，在兼顧社會利益的基礎(chǔ)上盡可能的關(guān)注個人數(shù)據(jù)的安全，表現(xiàn)出對基本人權(quán)的尊重和維護。22義務(wù)主體的義務(wù)增加221DPO和更多的當責性及透明度如果出現(xiàn)以下三種情況：數(shù)據(jù)被公共機構(gòu)或團體處理，被超過250名雇員的企業(yè)處理，處理者或控制者的核心活動包括處

8、理行動且基于處理性質(zhì)、范圍、目的，要求對數(shù)據(jù)主體進行持續(xù)性和系統(tǒng)性監(jiān)控。數(shù)據(jù)處理者或者控制者應(yīng)該任命有專門數(shù)據(jù)保護知識的數(shù)據(jù)保護專員(DPO)。DPO的任職期限至少為兩年，可獲得連任。在第一種情形下，可指定多名DPO，要防止因為履行了GDPＲ的職責而遭到解雇；第二種情況下，企業(yè)應(yīng)當指定獨立的DPO。DPO的指定應(yīng)該是透明的，向公眾及監(jiān)管機構(gòu)通告其姓名及詳細的聯(lián)系方式。事實上，DPO會確?？刂普吆吞幚碚咦駨腉DPＲ，主要通過監(jiān)測企業(yè)的活動

9、，這會允許數(shù)據(jù)主體通過聯(lián)系DPO來行使他們的權(quán)利，同時他也扮演者與監(jiān)管機構(gòu)之間的聯(lián)系人和合作者的角色［4］。222個人數(shù)據(jù)泄露通知95指令沒有包括數(shù)據(jù)泄露通知的要求，但是GDPＲ要求控制者應(yīng)當在24小時內(nèi)向監(jiān)管機構(gòu)報告?zhèn)€人數(shù)據(jù)的泄露情況。如果通知沒有在24小時內(nèi)完成，則應(yīng)該解釋延誤原因。如果數(shù)據(jù)泄露可能會給數(shù)據(jù)主體的隱私帶來消極的影響，例如身體傷害等，相關(guān)的控制者必須毫不延誤的通知數(shù)據(jù)主體，以便個人及時采取措施。通知應(yīng)說明個人數(shù)據(jù)違反的

10、性質(zhì)，并且提供降低風險的建議。在數(shù)據(jù)分析與數(shù)據(jù)挖掘技術(shù)日趨成熟的大數(shù)據(jù)時代，黑客和恐怖分子竊取數(shù)據(jù)的機會增加，手段更加高明和不易察覺，數(shù)據(jù)泄露產(chǎn)生的諸如身份盜竊、欺詐行為、數(shù)據(jù)濫用或者聲譽受損的不利影響會擴大化，規(guī)定數(shù)據(jù)泄露的通知義務(wù)，可以提醒數(shù)據(jù)被泄露的個人采取防范措施，盡可能的降低風險和傷害。23個人數(shù)據(jù)的傳輸規(guī)則隨著全球政治、經(jīng)濟、文化聯(lián)系的迅速增加，個人信息在跨境數(shù)據(jù)流中的比重越來越大，這樣作為人權(quán)重要組成部分的個人信息權(quán)就極易