一文读懂欧盟新数据隐私保护条例GDPR

欧盟的新数据隐私保护条例GDPR已经于上周五（5月25日）正式在欧盟的28个成员国生效。

这项法律针对的是那些收集、存储或处理大量关于欧盟居民信息的公司，要求这些企业在他们所拥有的数据以及与谁分享数据这些方面更加透明。 这也意味着，任何在欧盟拥有数字业务的公司（目前仍包括英国）将不得不遵守该法律，否则将面临严重的处罚，比如Facebook等跨国大公司。

自欧洲议会于2016年4月通过该法案以来，其将在2年内生效的最后期限已经到期。今年3月，当Facebook 的“剑桥分析公司”丑闻曝光时，隐私维权人士也将其作为一个最引人瞩目的例子，来说明为什么互联网用户可能希望对谁能访问他们的数据进行更多的控制。 4月份，扎克伯格在美国国会发表的证词中，他对美国国会议员们说：“我认为，总的来说，GDPR对互联网来说将是非常积极的一步。”接着他继续讨论了Facebook将收紧数据政策的计划，保护用户免受进一步泄密的影响，并对在网站打广告变得更加透明。

不仅仅是像Facebook这样的家喻户晓的公司将不得不遵守GDPR。医疗保健提供商、保险公司、银行和任何其他处理敏感个人数据的公司都将面临困境。GDPR将对人们的网络足迹、使用的APP和服务如何保护或利用这些数据产生重大影响。

1

GDPR是什么？

一般数据保护条例（General Data Protection Regulation）是一项全面的法律，赋予了欧盟居民对个人数据的更多控制权，并试图澄清在线服务商在收集、利用欧洲用户个人数据的规则和责任。它取代了1995年通过的欧盟关于数据保护的法律，并对现有的公约做出了一些重大改变。

该规定扩大了公司必须考虑到的个人数据范围，并要求他们密切跟踪他们存储的欧盟居民的数据。如果欧盟的某个人想要一个公司删除他或她的数据，发送数据副本，或者更正数据中的错误，该公司必须遵守。

GDPR甚至比这还要更进一步。欧盟居民现在可以反对公司使用他们数据的具体方式。但只要公司停止将这些信息用于特定目的，他们就不介意这家公司保留这些数据。更重要的是，GDPR要求公司需要在数据泄露的72小时内通知用户——目前还很少有公司做到这点。

例如，在美国个人信用评估机构Equifax的泄露事件中，美国和其他地区的数百万人的个人信息暴露无遗，该公司花了数周时间来阻止攻击，然后在通知公众之前制定好如何处理损失的计划。

2

欧盟将如何执行GDPR？

欧盟的每个成员国都将有自己的执行机制，每个国家都将有一个GDPR主管。居民可以向各自国家的管理机构投诉。违反该法律的公司将面临可能非常严重的罚款。对GDPR违规的最大罚款是2000万欧元，或者一家公司年度全球收入的4%，将取两者中的较高者。

3

GDPR何时生效？

2018年5月25日。该条例于2016年获得批准，并设置了为期两年的“实施期”，好让所有企业和组织做准备。这一宽限期将于2018年5月25日结束，这意味着执法将正式开始。

4

GDPR能保护什么数据？

该规定适用于广泛的个人数据，包括一个人的姓名和身份证号码。它还能保护一个人在网上和现实世界中所做活动的信息数据。这包括位置信息，以及IP地址、cookies和其他数据，这些数据可以让公司在用户浏览互联网时追踪他们。

5

GDPR只适用于欧盟的公司吗？

不——这就是为什么它是个重大国际新闻的原因。GDPR适用于任何收集、处理、管理或存储欧洲公民数据的组织，包括大多数主要的在线服务和收集、处理、管理或存储数据的企业。正因为如此，GDPR本质上是为数据保护设置了一个新的全球标准。

6

GDPR将如何影响黑客攻击和入侵？

GDPR要求那些对客户数据失去控制的公司，或者已经被黑客入侵的公司，在72小时内通知用户。这是最高刑罚的规则之一。例如，如果Facebook被发现未能遵守这个规则，它将承担高达16亿美元的罚款（基于其2016年的年营收400亿美元）。

7

GDPR对未成年人是否有特殊保护？

GDPR要求企业和组织获得父母的同意，才能处理16岁以下儿童的个人数据。

来源：雨果网

清华大学五道口金融学院互联网实验室成立于2012年4月，是中国第一家专注于互联网金融领域研究的科研机构。

专业研究 |商业模式 • 政策研究 • 行业分析

内容平台 |未央网•"互联网金融"微信公众号iefinance