《欧洲议会和理事会2016年4月27日关于保护自然人处理个人数据以及此类数据自由流动的第（EU）2016/679号条例》(RGPD)于2016年5月25日生效，并将于2018年5月25日起具有强制执行力。
该法规旨在确保在欧盟范围内统一适用自然人在处理个人数据方面的权利和自由，以便在所有成员国中以一致的方式执行。
Letslaw是一家专注于数据保护和新兴技术的律师事务所。本文旨在向所有处理个人数据的企业解释GDPR引入的主要要点，以便企业在应用时符合这一新法规的要求。
电子商务中新的通用数据保护条例（GDPR）的关键点
以下是GDPR带来的主要关键点，所有电子商务平台都应予以关注：
1. 更广泛的适用范围
GDPR将对欧盟内所有处理欧洲公民数据的所有企业具有强制约束力。此外，它也将适用于那些为向欧洲公民提供产品或服务或分析其在欧盟内的行为而处理欧洲公民数据的、设在欧盟以外的企业。
2. 信息告知义务
企业必须具体告知利益相关者有关国际转移的特征、数据保存期限，提供数据保护官（如果企业已指定）的联系方式，并告知处理的法律依据以及利益相关者在认为其数据被不成比例处理时向数据保护当局提出投诉的权利。
3. 未成年人数据的处理
关于未成年人的同意，当未成年人年满16岁时，无需监护人即可合法给予同意；尽管GDPR允许每个成员国设定其他更低的限制，但不得低于13岁。
4. 数据主体的新权利
GDPR保留了访问、更正、删除和反对权（ARCO权利），此外还规定了新权利：
- 限制处理权：通过这项权利，利益相关者可以要求不对他们的个人数据执行相应的处理操作。
- 被遗忘权：这不是一个独立于ARCO权利之外的权利，而是在线环境中行使删除或反对权的结果，将导致个人数据的删除。
- 数据可携权：这项权利意味着利益相关者可以向数据处理者请求获取其数据，以便后续传输给另一个实体。
5. 关于数据主体对个人信息处理同意的变更
《通用数据保护条例》（GDPR）规定，数据主体对其个人数据处理所作的同意必须是自由的、知情的、具体的且明确的。
当利益相关者采取肯定性行动以同意处理其个人数据时（例如，点击默认未勾选的复选框），即视为同意是明确的。
同意除了必须明确无误外，在处理以下情况时还必须是明确的：
- 敏感数据
- 自动化决策
- 国际数据传输
因此，通过不作为或默示方式给予的任何同意均违反此项新规。
6. 限制数据的国际传输
向欧盟以外国家传输数据仅限于那些提供充分数据保护的国家。
7. 安全漏洞通知义务
企业必须在72小时的最长期限内向西班牙数据保护局报告任何可能对相关人员的权利和自由构成风险的安全违规事件。
8. 数据保护影响评估
在处理可能对相关人员的权利和自由构成高风险之前，数据处理者必须进行数据保护影响评估。
具体而言，在对个人方面进行系统和全面的评估（如制定基于此做出决策的个人资料），以及对特殊类别数据进行大规模处理时，必须进行此类评估。
9. 新设数据保护官（DPO）角色
新设立的数据保护官（DPO）职位对于需要进行大规模常规和系统性监控相关人员数据，或进行大规模敏感数据处理的企业而言是强制性的。
DPO可以是企业内部人员也可以是外部人员，其任命应基于其专业资质以及在数据保护领域的知识和实践经验。
10. 更高的罚款
《通用数据保护条例》（RGPD）实施了更为严格的处罚制度，大幅增加了罚款金额；具体而言，罚款金额最高可达2000万欧元或上一财政年度全球年营业额的4%。
<< 返回电子商务词典