国外保护个人信息有哪些主要措施和做法？
问：编辑同志，您好！随着互联网的普及，倒卖个人信息已经形成产业链，个人信息泄露成为普遍问题。请您介绍一下国外保护个人信息有哪些主要措施和做法。 天津读者：刘晓刘晓同志： 您好！世界各国都十分重视个人信息保护，采取了很多措施以避免个人隐私泄露和信息被滥用，主要包括： 1.基础性立法。美国《隐私权法》、加拿大《隐私法》就行政机关，日本《个人信息保护法》、加拿大《个人信息保护与电子文件法》就企事业单位对个人信息的采集、使用、公开和保密问题作出详细规定, 例如：个人有权知道信息使用情况；未经本人许可，不得用于收集信息以外的其他目的。美国《信息自由法》规范了第三方对包含个人信息的 *** 记录的获取。 2.行业性立法。美国《电子通讯隐私法》涵盖了声音、文本、数字化形象传输等所有形式的数字化通讯，该法禁止所有个人、企业和未经授权的 *** 部门对通讯内容的窃听，禁止对存贮于电脑系统中的通讯信息未经授权的访问及对传输中的信息未经授权的拦截。欧盟有《关于在电子通信领域个人数据处理及保护隐私权的指令》，日本通商产业省有《关于保护民间部门电子计算机处理所涉及的个人信息的指南》。 在金融领域，美国《金融服务现代化法案》规定了金融机构处理个人私密信息的方式，《金融隐私权法案》对银行雇员披露金融记录，及联邦立法机构获得个人金融记录的方式做出限制。 在消费领域，美国《公平信用报告法-消费者信用保护法标题VI》规范了调查报告机构对报告的 *** 和传播、对违约记录的处理等事项，明确了消费者信用调查机构的经营方式。 在通讯领域，美国《有线通讯隐私权法案》禁止闭路电视经营者在未获得用户事先同意的情况下利用有线系统收集用户的个人信息，《电讯法》规定电讯经营者有保守客户财产信息秘密的义务。 另外，美国《2009个人隐私与安全法案》建立了风险评估、漏洞检测以及对访问敏感信息的控制和审计标准，《数据泄漏事件通报法案》要求联邦 *** 机构以及业务范围跨州的企业在发生数据泄漏事件时必须通知信息可能或已经被访问、获取的所有当事人。 3.行政措施。欧盟建立有数据保护监督专员制度，严格管理机构和组织搜集、录制和储存、重新提取、发送或使其他人员获得、删除或销毁数据的行为。加拿大设有隐私专员办公室，受理和调查个人信息侵权投诉，向议会提交个人信息保护情况的年度报告和特别报告。 4.行业自律。美国采取行业自律作为立法外保护 *** 隐私权的补充，包括：从事网上业务的行业联盟发布本行业网上隐私保护准则；适用于跨行业联盟的 *** 隐私认证，授权达到其提出的隐私规则的网站张贴其隐私认证标志，以便于用户识别；为鼓励甚至强制推行隐私权保护提供基本的技术支撑。 5.国际协作。经济合作开发组织理事会颁布了《关于保护隐私和个人数据国际流通的指南》，亚太经合组织建立了地区隐私保护标准，欧盟有《关于在个人数据处理过程中保护当事人及此类数据自由流通的指令》。
苏奎：个人数据保护是平台的“阿克琉斯之踵”
【文/观察者网专栏作者 苏奎】
毫无疑问，互联网平台是信息时代的主角。超大规模、垄断、权力巨大是其主要特征，能影响无数人的生活、利益，甚至生计。平台具有多重属性，既是一个传统企业，同时也是一种经济形态。以平台为核心构成的平台经济甚至就是一个虚拟城邦国。正如扎克伯格的名言：“在很多方面，脸书（Facebook）更像是一个 *** ，而不是一个传统的公司。”
平台是平台经济的绝对主宰者，它能够恣意制定规则、解释规则并执行规则，而这些规则可以影响数以亿计的人。它们与国家法律法规在本质上没有区别，却不需要遵循国家立法、司法、执法所要求的正当性程序。自从国家产生以来， *** 没有面对过类似的管治对手，可以说是3000年未有之大变局。
在信息时代，如何治理平台在世界范围内都是一项巨大的挑战。反垄断、消费者保护、公平竞争等传统工具是世界范围内进行平台治理的几条主要路径。然而，反垄断、消费者保护、公平竞争这些治理工具都是传统经济时代发展而来的，面对着信息时代的巨头，它们可以说常常是捉襟见肘、力有不逮，成效多有不彰。
个人数据保护是信息时代发展出的新工具，尽管其初衷是保护个人信息，但无数人的个人信息积水成渊就成了大数据，有了大数据，算法才能从一具奄奄的躯壳化身为一头桀骜的巨兽。也就是说，算法的命门在个人信息保护。
近期欧美正在发生的平台个人信息保护的一些案例发人深思，让人兴奋，个人数据保护赋予个人更大的权力从而平衡平台在平台经济中的权力结构，可能也是平台治理的一条新路径。
劳务平台
互联网平台并不具有广泛的同一性，不同类型之间差异巨大，既有以信息服务为核心的社交平台、搜索平台，也有生产海量信息的电商平台。以网约车、外卖等为代表的劳务平台可算是后者。平台是虚拟的市场，通过平台出售劳务。但更重要的是，这些劳务平台上聚集了数百万，甚至上千万分布在全球城市的劳动人民。相比其他平台，它们不只是在为人服务，还掌握着无数人的信息。因此，这些平台与人的关系更为密切，对 社会 治理带来的挑战更大，影响也更为深远。
这些平台上的人依靠平台提供的信息而生存，为平台生成海量的信息资源，又被这些信息所管理控制。相比其他电商平台，这类平台上的人（劳动力）的几乎没有自 *** ，传统的劳动保护也与其无缘，因为他们被平台认为是 微型企业家 。平台依靠信息对如此庞大的劳动力队伍进行精准管理，这超过了人类 历史 上任何组织的极限，可以说是人类 历史 的奇迹，而创造这样的奇迹的核心则是隐藏在平台背后的算法。
网约车平台几乎是迄今为止对 社会 治理带来最多问题、争议更大的互联网平台。创建于2008年的优步开创了网约车行业，其月度活跃的消费者数量约1亿人，全球日均订单数近2000万（包括外卖），平台上的驾驶员人数超过400万，平均每月有5万名新驾驶员加入平台。其强硬对抗全球监管机构的做派曾经为其带来无数的麻烦，蔑视规则和法律的企业文化也使得企业本身遭遇了内伤。2017年，创始人卡拉尼克甚至被赶出了公司。除了广为人知的与各地监管机构的斗法外，优步与平台内驾驶员之间的矛盾可以说是日益尖锐，与消费者之间的龃龉也不时传出。
泄露个人信息后果很严重
1月20日，特朗普在离开白宫前公布了多达73人的赦免长名单，前军师史蒂夫·班农毫无悬念出现在名单上，但也有一些名字是出人意料的。前优步负责自动驾驶业务的高管——安东尼·莱万多斯基（Anthony Levandowski）相当幸运地逃脱了原本在2月7日就要开始的牢狱之灾，据传特朗普在硅谷中为数不多的支持者——大佬彼得·蒂尔（Peter Thiel）是其幕后的操盘手。
相比之下，优步的另一位前高管——首席安全官乔·沙利文（Joe Sullivan）恐怕只能哀叹命运之不公了。不过这确实是咎由自取，简直就是“不作不死”。2020年8月21日，沙利文遭联邦司法部以阻碍司法和作伪证两项罪名起诉，刑期可能高达8年。而这一切均始于2016年那次对约5700万驾驶员和乘客个人信息泄露后的掩盖。
沙利文并非新手，他曾是互联网巨头脸书的首席安全官，对信息安全和个人信息保护有丰富的经验。然而，在获悉优步发生黑客入侵导致平台个人信息泄露后，他并没有依法立即向 *** 有关部门报告，而是在与时任CEO卡拉尼克（Travis Kalanick）商议后通过向黑客支付10万美元的封口费，买通黑客将其定性为平台主动邀请黑客发现安全漏洞。而封口费也就变成了安全奖励。
发生如此大规模的个人（包括平台的驾驶员和乘客）信息泄露，自然不会被欧美的相关监管机构放过。按照欧盟的规定，数据泄露后应在72小时内向监管机构报告。据此，其欧洲总部所在的荷兰数据保护局2018年对其处以60万欧元的罚款。宣布脱欧的英国（ICO）也对其施以38.5万英镑的罚款。
相比欧洲同行，美国本土的监管机构对其下手更重，加州检察总长与旧金山检察长联合了美国50个州和首都华盛顿特区的相关部门对其发起诉讼。2018年9月，优步主动以高达1.48亿美元的巨额赔偿金和解。看来，在个人信息保护方面，国内一直以来有关美国立法和监管更为宽松的观点恐怕并非事实。
监管深入企业的黑箱
FTC是在公平竞争和消费者保护方面的执法机构，在知悉此事后，迅速宣布2017年8月已经达成的和解协议无效，需要重新商定有关和解条款。
2018年10月 ，FTC再次宣布达成新的和解协议。作为信奉自由市场的特朗普 *** ，治下的FTC确实对优步手下留情，并没有如州 *** 予以重罚，甚至根本就没有罚款，但对优步的内部信息安全管理提出了事无巨细的要求。相比以企业外在结果为主要对象的结果保护策略，FTC的协议则是以企业内部管理为主要对象的过程保护策略。也就是说，它更多地是以事前预防的思路对企业内部可能存在的个人信息保护漏洞进行全方位的监管， 将企业内部的信息安全管理纳入公共管理。这可以说是一种新的个人信息保护模式。
事实上，我国正在开展的个人信息保护立法（包括已经完成的 *** 安全法，以及2020年征求意见的数据安全法、个人信息保护法）同样也采用了这种思路。不过，相比FTC的和解协议，中国的平台企业享有更多的自由。FTC的和解协议建立了相对较为完备的企业信息安全制度，主要内容包括：
优步需要立即建立综合性的个人信息（隐私）保护计划，所有计划、方案、培训均需要有书面记录。设置专门的人员负责个人信息（隐私）保护计划。
开展个人信息（隐私）风险排查、评估，确定风险点，制定整改计划。制定个人信息（隐私）风险动态监控和评估方案。
建立第三方信息（隐私）审计、评估制度，第三方审计人员需有执业资质并具有3年以上的从业经历，相关审计人员还需经过FTC消费者保护部门批准。完成评估后10天内，需将评估报告送FTC备查。在协议执行开始后半年内应完成之一次第三方审计，以后每两年应至少开展一次。
建立信息安全事故统计与报告制度。
建立文件签收与学习制度。公司所有相关人员必须学习FTC的和解协议文件，并要签名确认，有关学习记录需要书面记载。
文件签发一年后，优步需向FTC递交合规报告，报告应该宣誓内容真实可靠，否则将承担伪证罪。企业任何组织机构和实体发生变化需在14天内通知FTC，以便于监管部门检查、监督。
及时响应监管部门，收到FTC有关信息（隐私）安全的问询后，优步需在10天内回复或响应，有关合规报告或材料需要宣誓非伪证，并准备好详细记录备查。
建立信息安全档案记录，包括相关员工的档案记录（包括离职原因）、平台用户投诉记录、所有可证明公司落实文件的材料、公司对外宣传及承诺有关个人信息（隐私）保护措施、信息安全评估、审计与整改报告、安全漏洞奖发放记录、执法部门传票、调查与说明材料等。
福布斯网上关于该案件的报道截图
加州检察总长联合各州与优步达成的和解协议在巨额赔偿之外其实也提出了类似的一系列企业信息安全合规要求，包括企业需要设置首席安全官，以及云存储密码、认证强化制度、建立信息安全员工培训与违规处罚制度、第三方信息审计人员资格制度（需要5年以上的从业经历）、个人信息安全情况作为董事会的固定议题制度、事故确认与报告中的律师参与制度、公司内部违规举报制度等。
孔子曰：“不教而杀谓之虐，不戒视成谓之暴。”美国联邦和州相关监管机构利用优步违法的契机，构建了一套非常严格的企业内部个人信息保护机制，特别强调内部部门监督、外部审计、员工培训等，将此前以负面清单方式的事后监管模式推进到以作为的义务为主的事前事中监管模式，也就是从惩戒为主模式转换到以预防为主的模式。
平台企业不再是一个黑箱。通过一个设计精密的内部监督机制，平台的保护更为透明，个人信息保护的目标有更加可靠的保障。其意义在于，只有在个人信息保护有了更为可靠的保障，个人信息保护以外的平台经济治理功能才有了其他可能。
算法统治平台
4名驾驶员做出这样的动作也是事出有因。按照优步的说法，4名驾驶员均是因为欺骗性行为或者违规操纵（不当使用）驾驶员手机应用程序。直白地说，就是驾驶员或因为挑单以等价格上涨后的好单（game the surge），或是因为私自安装其他应用程序改变手机状态欺骗优步的驾驶员应用程序（如改变位置），被平台算法判定为严重违规而被除名（在优步平台上没有开除的概念，永久冻结账号则是一个等同的说法），而做出这些决策的都是平台的算法。换句话说，4名驾驶员都是被算法监控到有违规行为并被算法除名（开除）的。
不过，驾驶员并不这样认为，他们认为是自己只是行使了自由选择工作时间的权利，而这也是优步平台一向对外宣称驾驶员所具有的权利，并且也正是具有这样的自由，驾驶员才不被平台认为是平台的雇员，而是自由职业者，甚至是所谓的“微型企业家”。平台与驾驶是合作伙伴。4名驾驶员否认存在欺诈或不当行为，且优步没有提供申述机会，使得他们的命运被算法所掌控。因此，他们向优步欧洲总部所在的荷兰阿姆斯特丹地 *** 院提起了诉讼。
驾驶员起诉优步最主要的法律依据就是2018年5月开始施行的欧盟通用数据保护法。按照欧盟通用数据保护法第15条，数据主体有权访问个人数据并获知数据处理的目的、数据类型以及有权要求纠正不准确的数据。第22条则涉及自动化决策和用户画像，“数据主体有权反对此类决策：完全依靠自动化处理——包括用户画像——对数据主体做出具有法律影响或类似严重影响的决策”。
按照欧盟通用数据保护法的定义，“用户画像”指的是为了评估自然人的某些条件而对个人数据进行的任何自动化处理，特别是为了评估自然人的工作表现、经济状况、 健康 、个人偏好、兴趣、可靠性、行为方式、位置或行踪而进行的处理。显然，所谓的自动化决策（用户画像）就是平台算法。这本质上是一条算法监管条款。不过22条也特意列出了例外情形，包括 (a)当决策对于数据主体与数据控制者的合同签订或合同履行是必要的；……(c)当决策建立在数据主体的明确同意基础之上。
显然，这次诉讼的争议聚焦在对22条的理解，如完全自动化决策的认定标准是什么？何种人为的干预程度可以达到排除完全自动化决策的标准？考虑到平台每天数千万甚至上亿的有关驾驶员的决策需求规模（包括派单、定价、评价等环节），自动化决策是否可以被看作平台履行与驾驶员合同的必要措施？
平台权力结构平衡
驾驶员们希望通过一个第三方非盈利机构（工人信息交换中心WIE Ltd.）实现个人数据携带，也就是优步将驾驶员在工作中产生的个人数据直接转移给WIE这家第三方数据交换中介，第三方数据机构成为个人的数据信托（data trust）机构，可以帮助驾驶员分析其个人行为以及监督平台的算法逻辑是否与其对外宣称的处理逻辑一致且公平合理、评估平台对服务价格是否正确计算、驾驶员真实的劳动数量和质量、以及分析不同驾驶员评分差异的原因。
通过掌握并有能力处理这些关键数据，驾驶员可以减少或者消除平台的信息优势，驾驶员就有可能与平台进行更平等的集体谈判，成为更为平等的对手。
根据法律规定，优步有责任在30天内向数据主体（驾驶员）提供相关数据，但优步并没有提供驾驶员所要求的全部数据，或者说驾驶员要求的关键内容都遭到了事实上的拒绝。尽管订单数据（如上下车时间、乘客支付费用）包括在提供的数据清单内，但驾驶员上线、下线时间、完整的GPS位置信息记录都没有提供。这些内容事关驾驶员工作时间的确定（英国上诉法院已经判决驾驶员的工作时间是从上线开始计算，而不是从接单开始计算），而平台却不希望驾驶员掌握这些可能对自己不利的数据。
但优步也有自己的解释：没提供的数据或是因为没有，或是因为如果向驾驶员提供将损害其他人的隐私权。
如果说上面这些数据驾驶员可以自己记录，管理驾驶员的算法是如何运行的则只有平台才有可能知道。驾驶员最希望知道的其实是平台算法的秘密：它究竟是如何通过驾驶员的行为和乘客评价数据对驾驶员进行画像，以及驾驶员画像是如何影响驾驶员的利益的？比如，驾驶员的评分与派单机制的关系是怎样的？驾驶员的评分如何触发平台除名机制（驾驶员认为是解雇）？
驾驶员在诉状中特别提出优步没有回应他们所要求的驾驶员标签数据。这确实是整个争执的核心。优步不会认为这些是驾驶员需要知道的个人数据信息，甚至是不是个人信息都有巨大的分歧。而且，这些内容几乎可以肯定将被用于英国更高法院正在审理的驾驶员与平台的劳动关系案件，因此也是优步不能输的案子。
而原告驾驶员法勒（Farrar）也暗示了这些内容的用途：“我们要看一眼这个奥威尔式（意指严格统治而失去人性的 社会 ）的工作世界。在这里工人们被机器所统治，没有任何权力。”
事实上，驾驶员有关了解算法秘密的诉求也是有法律依据的。根据欧盟通用个人数据保护法第15条，数据主体应当有权从控制者那里得到有效信息。比如存在自动化决策的就包括数据分析，对于相关逻辑就包括此类处理对于数据主体的预期后果。
尽管优步否认对驾驶员的除名处理是由算法完成的（优步发言人声称在算法检测到驾驶员存在违规行为后，是由管理人员做出除名决定），但难以解释的是，公司网站上有介绍算法MasterMind的材料，其中明确写道：MasterMind负责监督管理驾驶员的欺骗行为。在驾驶员应用程序的隐私政策更是白纸黑字写道，优步会使用自动化决策对于涉嫌违规行为的驾驶员予以除名。
平台算法决定了驾驶员的工作机会、工作量和收入，甚至永远失去平台工作机会。它对于驾驶员的重要性恐怕没有多少分歧。数据自动化处理的逻辑，也就是算法的秘密，是平台的商业机密。究竟要提供到何种程度才算达到15条要求的数据访问权标准，在保护个人数据与企业的知识产权（商业秘密）上如何达成平衡，非常考验法官的智慧。
可以说，这是欧盟通用个人数据保护法实施以来最为重要的案件，其意义远远超过了这个案子涉及的4名驾驶员本身（事实上，这些驾驶员正在组织更多的网约车驾驶员和外卖骑手加入），其裁判标准可以说相当于是又一次欧盟个人信息保护立法。几乎可以肯定，这个案子最终会提交到欧盟更高法院审判。
平台经济的金丝雀
“对于每一个人来说，这是一场事关未来的战场”，驾驶员法勒说道。优步平台上的零工就是 历史 上地下矿山里的金丝雀，这是一场不能输的战斗。
数据就是权力，平台经济进一步放大了企业作为雇主所拥有的传统信息优势。通过第三方数据信托实现数据携带权，通过数据对驾驶员赋权赋能，还有谁能比网约车驾驶员、外卖骑手更有动力监督平台呢？可以说，这就是一种全新的平台监管思路，以信息权对治大数据。
个人信息泄露普遍， APP成重灾区！
近段时间我也被诈骗 *** 骚扰过。
随着互联网的发展，近几年利用 *** 过度或非法获取、滥用个人信息的问题愈发严重。
个人信息泄露普遍，APP成重灾区
在中消协和人民网舆情数据中心联合发布的“2018年十大消费 *** 舆情热点”榜单中，“个人信息保护缺失”高居第二位，可见公众对于个人信息泄露之的重视和厌恶。
而目前个人信息泄露主要分以下3种情况：个人信息过度收集、个人信息擅自披露或向第三方共享、个人信息非法买卖，三种情况情节严重性依次加深。
而近些年APP大行其道下，手机APP已成个人信息泄露重灾区，通过APP过度收集个人信息的然后贩卖的情况十分严重。
据国家互联网应急中心发布的《2019年上半年我国互联网 *** 安全态势》指出，500万APP平均每款收集20项个人信息和设备信息，前一千款APP平均申请25项权限，其中申请了与业务无关的拨打 *** 权限的APP数量占比超过30%，且大量APP存在探测其他APP或读写用户设备文件等异常行为。
中消协去年8月发布的《APP个人信息泄露情况调查报告》显示，85.2%的受访者遇到过个人信息泄露情况，而个人信息泄露的主要途径中，62.2%是未经本人同意收集，61%是故意泄露和出售，57.4%为系统漏洞。
而这些人信息泄露后，接收到推销 *** 或短信骚扰、诈骗 *** 、垃圾邮件的比例分别为86.5%、75.0%、63.4%。笔者也是深受其害，近期几乎平均每天都有一个推销骚扰 *** ，让人烦不胜烦！
可以说手机App过度采集个人信息呈现普遍趋势，特别是手机通讯通和位置信息。而很多APP你还必须得让他获取这些信息，要不然你就没法安装。这就造成了很多人在安装APP是从来不看或偶尔看看应用权限和用户协议或隐私政策，而即使看协议的，多数也只是大概看一看。
可以说手机App出现个人信息严重泄露，即与人们安全意识淡薄有关，但更重要的是法律不完善、监管不到位，惩罚不严甚至根本没有惩罚措施下，企业根本就不重视用户个人数据安全问题。
泄露事件频发，企业忽视数据安全
因此很多掌握着海量公民个人信息的公众企业、特别是大型互联网公司已成为公民个人信息泄露的重灾区。
在企业，信息安全部门因为只有投入没有产出，老板不愿意加大投入往往成为边缘部门，想着只要不出事就行，但现实往往却事与愿违。
近年来越来越多的企业出现个人信息泄露，根据Risk Based Security公布的数据，2019年已经发现超过3800多起数据泄露事件，与去年同期相比增加了54%。
而除了数据泄露事件越来越多，被泄露的数据量也越来越大，涉及的犯罪金额越来越大。
2014年12月一份当年130万条包含考研学生姓名、性别、手机号、座机号码、身份证号、家庭住址、邮编、学校、报考专业等等个人信息的文件上被卖了1.5万元。
而在2018年国内的重大数据泄露案件中，圆通2014年的10亿条用户个人信息数据被出售，售价1比特币；顺丰3亿条用户个人信息数据被出售，售价2个比特币；华住旗下多个连锁酒店2.4亿条、涉及1.3 亿人的客户开房数据被出售，数据标价8个比特币，约合人民币 35 万人民币。
可见，社交、快递、酒店等手握大量个人隐私数据公司，在数据安全方面投入有限，岗位薪资偏低的情况下根本招不到高水准的程序员，边缘化信息安全部门做一天和尚撞一天钟，数据库的防护也就成纸糊的，彻底成为犯罪分子随意进出的场所。因此出现了只需花几百块就能买上万条“最近三天”外卖用户的姓名、 *** 、地址、订餐次数等隐私信息。
而企业一旦发生数据泄露事件，带来的损失也是巨大的。据IBM Security和Ponemon Institute发布的最新调查报告显示：2018年每次数据泄露的平均成本为386万美元，而大规模的数据泄露带来巨额损失，泄露的数据超过100万条预计会造成 4200 万美元的损失，超过 5000 万条会带来 3.88 亿美元的损失。
而2018年Facebook就因为8700万用户数据遭泄露及不当使用被美国罚了50亿美元，成为美国 *** 对科技公司开出的更大罚单。
而在各国陆续制定个人信息保护的相关法律下，未来那些不重视个人数据保护而造成重大数据泄露的公司，将面临如脸书一般的巨额罚单。而对于像圆通、顺丰这样的国内企业来说，这样头悬“达摩克利斯之剑”的日子即将到来。
《个人信息保护法》列入立法规划
个人信息数据泄露问题这几年来一直是国内法律界、商界、甚至是普通民众关注的重点，因此个人信息保护法的制定也一直都牵动各方神经。
而自从三年前欧盟推出《一般数据保护条例》，国内对于个人信息保护立法的呼声一直不断，而中国版的《一般数据保护条例》出台已经可期了！
21日法工委发言人臧铁伟在之一次记者会表示：个人信息保护法已经列入了本届全国人大常委会的立法规划，将按照立法工作计划，适时提请常委会审议。
22日，民法典人格权编草案提请全国人大常委会三审，三审的草案稿将具有识别特定自然人的功能的个人电子邮箱地址、行踪信息纳入个人信息范围，受个人信息受法律保护。
可以说自从三年前欧盟《一般数据保护条例》的出台并实施，全球各国纷纷加快了相关法律的制定，目前为止包括日本、巴西等国，全球有超过50个国家或地区已经制定了个人信息保护法律。
世界头号经济体美国也是动作迅速，被称为《云法案》的《澄清境外数据的合法使用法案》在2018年3月出台，号称美国有史以来最严格的隐私保护法案《加州消费者隐私法案》在《云法案》3个月之后通过，并将于2020年正式生效。
而中国《个人信息保护法》的制定能让我国法律和国际迅速接轨，不仅利于国内外企业的业务开展与合作，也有利于保护我国公民的隐私。
谁有深度整理的欧盟《一般数据保护法案》（GDPR）核心要点中文内容
前言：
整理本文的原因有三：
1、 网上很多关于GDPR的文章并不全面，甚至有误
2、 以此机会在公司内部开展关于GDPR的专项培训
3、 青莲云的部分客户业务在未来会受到GDPR的影响
之后，我们计划编写一系列相关文章，更多的是站在企业角度来思考法案对物联网行业的影响以及应对措施，一来希望与同行企业可以就GDPR进行更多的互动讨论；二来也是希望传播国际法案对于安全和隐私的态度，共同提高物联网安全意识。
以下您将了解到：
1、 什么是GDPR（重要）
2、 GDPR的发展历程
3、 GDPR的关键术语定义（重要）
4、 GDPR会影响哪些企业（重要）
5、 GDPR不适用于哪些情况
6、 GDPR约束了哪些数据（重要）
7、 GDPR中数据主体的权利（重要）
8、 GDPR中处理个人数据的基本原则（重要）
9、 GDPR中对合法处理数据的定义
10、 GDPR中针对儿童数据的处理规定
11、 GDPR中数据控制者与数据处理者的义务（重要）
12、 GDPR中针对特别类型个人数据的处理规定
13、 GDPR中关于数据主体被遗忘权的规定（重要）
14、 GDPR中关于数据主体可携带权的规定（重要）
15、 GDPR中关于个人数据泄露通知的规定（重要）
16、 GDPR中关于设立数据保护官的规定
17、 GDPR关于执法和处罚的规定（非常重要）
18、 总结
什么是GDPR
2016年4月14日，欧洲议会投票通过了商讨四年的《一般数据保护法案》（General Data Protection Regulation (GDPR)），新法案由11章共99条组成，该法案将于2018年5月25日正式生效，将取代现有的《数据保护指示》（Data Protection Directive 95/46/EC），统一欧盟成员国关于数据保护的法律法规。
此外，GDPR新规是在28个欧盟成员国统一实施生效的，这将使28个欧盟及欧洲经济共同体成员国的隐私保护法更具有一致性和现代性。
GDPR作为一套用来保护欧盟公民个人隐私和数据的新法规，其颁布意味着欧盟对个人信息的保护及监管达到了前所未有的高度，堪称史上最严格的数据保护法案
GDPR的发展历程
（图片来自 *** ）
GDPR的关键术语定义
个人数据：是指任何指向一个已识别或可识别的自然人（数据主体）的信息。该可识别的自然人能够被直接或间接地识别，尤其是通过参照诸如姓名、身份证号、定位数据、在线身份识别这列标识，或者是通过参照针对该自然人一个或多个如物理、生理、遗传、心理、经济、文化或社会身份的要素。
处理：是指针对个人数据或个人数据 *** 的任何一个或一系列操作，诸如收集、记录、组织、建构、存储、自适应或修改、检索、咨询、使用、披露、传播或其他利用、排列、组合、限制、删除或销毁，无论此操作是否采用自动化手段。
匿名化：是一种使个人数据在不使用额外信息的情况下不指向特定数据主体对待个人数据的处理方式。该处理方式将个人数据与其他额外信息分别存储，并且使个人数据因技术和组织手段而无法指向一个可识别和已识别的自然人。
数据控制者：能单独或联合决定个人数据的处理目的和方式的自然人、法人、公共机构、行政机关或其他非法人组织。
数据处理者：是指为数据控制者处理个人数据的自然人、法人、公共机构、行政机关或其他非法人组织。
数据接受者：只是接收到被传递的个人数据的主体，无论其是否是第三方的自然人、法人、公共机构、行政机关或其他非法人组织。 *** 因在欧盟或其成员国法律框架内特定调查接收到的个人数据，不得视为“数据接受者”。
个人数据外泄：是指个人数据在传输、存储或进行其他处理时的由安全问题引发的个人数据被意外或非法破坏、损失、变更、未经授权披露或访问。
GDPR会影响哪些企业
欧盟GDPR法案具有域外效应。也就是说，GDPR赋予了欧盟在个人信息安全方面的域外管辖权。
主要受影响的企业为以下四类：
l 设立在欧盟境内的企业（控制者、处理者）
l 未在欧盟境内设立，但向欧盟境内的数据主体（自然人）提 *** 品和服务的企业（控制者、处理者）
l 未在欧盟境内设立，但涉及监控欧盟境内数据主体（自然人）行为的企业（控制者、处理者）
l 未在欧盟境内设立，但在欧洲成员国法律适用的地方设立的企业（控制者、处理者）
总结来说，GDPR不仅适用于位于欧盟境内的企业组织机构，也适用于位于欧盟以外的企业组织机构，无论机构所在地位于哪里，只要其向欧盟数据主体提 *** 品、服务或者监控相关行为，或处理和持有居住在欧盟境内的数据主体的个人数据，都将受到GDPR法案的监管。
GDPR法案同样适用于“数据控制者”和“数据处理者”。如果是数据处理者涉案，数据控制者也无法免除责任，GDPR规定控制者需要承担更多的责任，以确保和数据处理者之间的合同能够严格遵守GDPR的规定。
GDPR不适用于哪些情况
GDPR更多的是监管企业对数据的使用行为。以下4个方面的数据使用情况不适用于GDPR：
l 为了预防、调查、侦查或起诉刑事犯罪，主管当局为执行刑事处罚目的而产生的数据处理行为
l 基于国家安全目的而产生的数据处理行为
l 自然人在纯粹的个人或家庭活动中产生的数据处理行为
l 欧盟法律规定范围之外的活动过程中产生的数据处理行为
GDPR约束了哪些数据
个人数据：
可以通过某个标识直接或间接识别某一自然人的信息。
不管是采用自动化手段还是人工进行归类的数据，包括按时间顺序排列的包含个人数据的记录 *** 。
已经被匿名化的个人数据，取决于用已有标识来识别特定个体的困难程度。
敏感个人数据：
也被称为“特殊种类的个人数据”。
包括揭示种族或民族出身、政治观点、宗教或哲学信仰、工会成员的个人数据。
包括遗传数据和经过处理可以唯一识别个体的生物特征数据。
不包括涉及刑事定罪和罪行的个人数据，但该类数据的处理和保存有特殊要求。
GDPR中数据主体的权利（第三章）
l 知情权
l 访问权
l 反对权
l 可携带权
l 纠正权
l 删除权/被遗忘权
l 限制处理权
l 免受数据画像影响
GDPR中处理个人数据的基本原则
l 合法、正当、透明
l 处理数据的目的是有限的
l 仅处理为达到目的的最少数据
l 确保数据准确、及时更新
l 存储数据的期限不得长于为达到目的所需要的时间
l 采取技术和管理措施以保护数据的安全
l 数据控制者有责任并应能够证明做到了以上几点
GDPR中对合法处理数据的定义
至少满足一下中的某一项，处理数据才是合法的
l 数据主体同意为了特定目的处理其数据
l 处理数据是为了签订或履行合同的需要
l 处理数据是为了遵守法定义务的需要
l 处理数据是为了保护数据主体或其他自然人的至关重要的利益
l 处理数据是为了公共利益或形式 *** 授受的权力
l 处理数据是为了追求数据控制者的合理利益，但不得损害数据主体的利益
GDPR中针对儿童数据的处理规定
处理16岁以下儿童的个人数据，必须获得该儿童父母或监护人的同意或授权。各成员国可以对上述年龄进行调整，但是不得低于13岁
GDPR中数据控制者与数据处理者的义务
设置DPO（数据保护官）
文档化管理
数据保护影响评估
事先咨询机制
数据泄露报告机制
安全保障措施
遵守数据跨境转移规则
GDPR中针对特别类型个人数据的处理规定
禁止收集处理反映个人种族或民族起源、政治观点、宗教和哲学信仰、是否是工会组织成员的数据、个人基因识别数据、生物数据、或涉及健康、性生活或性取向的数据。但在例外的情况下也可以收集加工以上数据，如已获得个人的明示同意，或数据控制者因处理劳动关系、社会保险之需要并在法律允许的范围内且已采取了适当的保护手段等。
GDPR中关于数据主体被遗忘权的规定（重要）
当个人数据已和收集处理的目的无关、数据主体不希望其数据被处理或数据控制者已没有正当理由保存该数据时，数据主体可以随时要求收集其数据的企业或个人删除其个人数据。
如果该数据被传递给了任何第三方（或第三方网站），数据控制者应通知该第三方删除该数据。
GDPR中关于数据主体可携带权的规定（重要）
数据主体可向数据控制者索要其数据，也可将其个人数据转移至另一个数据控制者。
GDPR中关于个人数据泄露通知的规定（重要）
数据控制者应在72小时之内向监管机构报告个人数据的泄露情况。当数据泄露可能会给数据主体的权利或自由带来巨大风险时，数据控制者必须毫不延误的通知数据主体，以便数据主体及时采取措施。
GDPR中关于设立数据保护官的规定
为确保数据保护合规并处理数据保护相关事务，数据控制者和数据处理者需设置数据保护官（DPO）。
控制者和处理者应当对数据保护官不下达任何指令，DPO不能因为执行任务的原因被解雇或者受到刑事处罚。
数据保护官直接向更高管理者报告工作。
根据联盟法律或者成员国法律规定，数据保护官应当对其执行任务的内容进行保密。
数据保护官也可以执行其他任务，履行其他职责。
GDPR关于执法和处罚的规定（非常重要）
不遵守信的数据隐私法规的后果就是会受到严厉的制裁和巨额的罚款。
GDPR的处罚并不是像网上传的那样直接就罚全球营收的4%。而是有两个等级的征收行政性罚款的规定：
对于一般性的违法，罚款上限是1000万欧元，或者在承诺的情况下，更高为上一个财政年度全球全年营业收入的2%（两者中取数额大者）；
对于严重的违法，罚款上限是2000万欧元，或者在承诺的情况下，更高为上一个财政年度全球全年营业收入的4%（两者中取数额大者）；
判罚的严重程度是基于以下因素：
l 违规的性质、严重程度和违规的持续时间
l 违规是故意的还是因疏忽造成的
l 对个人身份信息的责任心和控制程度
l 违规是单个事件还是重复事件
l 受到影响的个人资料的种类范围
l 数据主体遭遇的损害程度
l 为了减轻损害而采取的行动
l 由违规产生的财务预期或收益
GDPR核心旨在保护隐私数据，并通过法案约束来建立企业和公民之间的信任关系，违反GDPR的代价远不止财务层面，还将给企业声誉造成极大破坏，并且导致企业和消费者之间产生信任危机
总结
由于青莲云所在的物联网行业也处于GDPR法案的约束之中，故此整理出法案中的重点思想与业界分享。GDPR此次改革以保护公民的基本权利为理念，在提高个人数据保护标准的同时，也会增加企业的合规成本。法案的背后是对隐私和安全的需求，法案生效后会成为国际数据隐私保护标准。
对于物联网行业的相关企业（硬件、软件、制造、数据分析等）来说，从此刻开始提升物联网安全意识，关注数据安全和用户隐私安全，积极的采取相应的整改或强化措施刻不容缓。青莲云安全团队也将在不断提升自身安全攻防能力和安全合规意识的同时，与客户企业建立长期持续的安全咨询合作关系，共同建设安全、自主、可信的物联网安全新业态。
即将生效的欧盟隐私法规（GDPR）对消费者有哪些意义？
据国外媒体报道，欧盟《通用数据保护条例》（GDPR）于2018年5月25日正式生效。GDPR被视为历史上 "最严格 "的数据保护立法，一旦发生数据泄露，企业可能面临高达4%的年收入的罚款。
GDPR于2012年首次提出，并于2015年12月得到欧洲理事会的批准。GDPR作为统一数据保护法的前身是1995年的数据保护指令95/46/EC。实施后，GDPR将覆盖所有28个欧盟成员国，取代每个国家自己的法律。但GDPR的影响范围可能不止于此。原则上，所有在欧洲大陆开展业务或处理欧盟公民数据的组织，无论它们在哪里，都可能受到GDPR的影响。互联网和法律界的一个重大事件--欧盟《通用数据保护条例》（GDPR）于5月25日正式实施。
你可能会说，作为一个吃瓜群众，我为什么要关心遥远的NAGada？为了解释你的困惑，参与GDPR立法的布塔雷利说。"GDPR标志着数据保护文化的改变。里斯本条约》中体现的许多基本规则与宪法一样有价值"。到目前为止，GDPR是全世界现有的数据隐私法规中最广泛和最严格的。这一规则不仅规定了公司如何通过合法的技术和商业创新来获取基于个人数据的巨大价值，而且由于其严格的惩罚措施，它还为许多公司创造了生死攸关的 "零风险"。
小编针对问题做得详细解读，希望对大家有所帮助，如果还有什么问题可以在评论区给我留言，大家可以多多和我评论，如果哪里有不对的地方，大家可以多多和我互动交流，如果大家喜欢作者，大家也可以关注我哦，您的点赞是对我更大的帮助，谢谢大家了。
0条大神的评论