欧洲隐私与数据保护(EU privacy and data protection)

欧盟隐私与数据保护
Privacy and Data Protection, Cyber Security and
Regulations
Aron R. Shannon
Sep 2015
V2.1

内容
1、欧盟数据保护相关机构和立法流程
2、隐私和数据保护主要法规和框架
3、隐私和数据保护法案主要内容
4、案例

EU主要机构和立法流程
European Parliament
EC Proposal
EP Position
采纳、否决
或修改
Council Position
采纳、否决或
修改
EC/Stakeholders
Amendments修
正案
Conciliation
agrees joint text
调解
Adopted
采纳
① ③ ⑤④
European Council
④② ⑤①
European
Commission
• EC 补充意见
• EC 补充意见
如EC对EP通过修
正案无异议，正
式编入法律条例，
EC监督执行。
形成*
• Regulations
• Directives
• Decisions
• 如和EP意见一致，直接采纳提案，立法执行
• 如和Council意见一致，直接采纳提案，立法执行
• 代表欧盟成员国
• 正式接受（或否决）法律
• 保障成员遵循和执行
• 代表欧洲公民
• 拥有立法权
• 负责贯彻执行欧盟理事
会和欧洲议会决策
• 行使其主动权，就法律
规定、政策措施和项目
提出提案
• 联合成员国执法机构执
法和监督
BEREC ERAC
NRA**
ECB ……
提案给欧盟议
会审议议案，
正式初读。
Co-decision
procedure

欧洲央行，央行系统和欧元系统ECB, ESCB,Eurosystem
European
Commission
European
Parliament and
Council
ESCB
欧洲中央银行系统
Banks
Baking Union
ECB
欧洲央行
EBA(European
banking Authority)
No.1093/2010
NCB(欧元与非欧
元区)欧洲成员国
央行
Report
Monetary
Policy
• Governing Council
• Executive Board
• General council
欧盟成员国+Norway，Liechtenstein， Iceland
欧洲经济区（EEA), 不包括瑞士
财长和各
国财长
Economic Policy

欧洲数据保护监督管理机构——EDPS
数据保护指令第29条规定（Article 29 Data
Protection Working Party）:建立一个 “在个人
数据处理中保护个人的工作组”，一般称之为
“第29条工作组(A29WP)”或者“数据保护工
作组”。
① 监督欧盟行政机构对个人数据资料的处理；
② 对涉及隐私权的政策和立法提出意见建议；
③ 通过与职能相似机构的合作来保证数据保护
的持续性。
执法案例：’right to be forgotten’——欧盟数据保护工
作组2009/2014年分别致信约谈谷歌、微软和雅虎三
大搜索巨头，认为搜索引擎服务商保存用户搜索记
录时间超过6个月的理由并不成立，因此要求这三大
搜索引擎商必须缩短用户搜索信息的保留时间。
主要成员国数据保护执法机构European DPAs

世界各地的隐私与数据保护主要法规和框架
Canada
• PIPEDA 1983
• Senate Bill S-4 2015;
• Provincial Privacy Laws
• Digital Privacy Act
• Office of the Privacy
Commissioner
USA
• FCRA, ECPA, HIPPA, GLB, CAN-
SPAM, S.1490, S.139, DO-NOT-
Call and Safe Harbor Principles
USA Califonia
• Privacy Protection Act 2003
Notice (Civil Code 1798 Form)
United Arab Emirates
• Data Protection Law No. 1 of
2007 based largely 95/48/EC
• DIFC LAW NO.1 of 2007
Chile
• Data Protection Law No. 1
9628(1999)/ 19812 (2002) Argentina
• Personal Data Protection
Law No. 25.326
South Africa
• Electronic
Communications and
Transactions Act
India
• 2011 (“Privacy Rules”) new
Privacy (Protection) Bill, 2013
Russia
• Federal Law of July 27 2008 on
Personal Data
South Korea
• Protection of Personal Data
Act(‘PIPA’) 2011/2014
Japan
• PIPA: Personal Information
Protection Act
Taiwan
• Computer-processed personal
data Protection Law
Hong Kong
• Protection of Personal Data
Act(‘PIPA’) 2011/2014
Singapore
• Personal Data Protection Act
2012 (“PDPA”)
Australia
• Amended privacy Act
• Spam Act 2012
EU, EEA
• GDPR替换Directive 95/46/EC;
• Directive 2009/126/EC替换Directive
2002/58/EC on Privacy and
Electronic Communications Data
Protection Laws Switzerland
Swiss Federal Data Protection
Act (SDPA)和Data Protection
Ordinance (DPO)
Germany
“Bundesdatenschut
zgesetz” or “BDSG”
France
• Data Process Act
(”DPA”) 2004
UK
• 2011 UK amended the
Privacy and Electronic
Communications
Regulations (EC Directive)

还需尊重并重视国际组织的主要原则和框架
Privacy Framwork（2004/ Updated 2016）
APEC成员经济体制定的跨境隐私规则体系：Preventing Harm, Notice, Collection
Limitation, uses of Personal Information, Choice, Integrity of Personal, information, Security
Safeguards, Access and Correction, Accountability
Guidelines for the regulation of
computerized personal data files
(E/CN.4/1990/72. )
Universal Declaration of Human Rights
经济合作开发组织OECD: (1980)《关于保护隐私和个人数据国际流通的指南》
(Guidelines on the Protection of Privacy and Transporter Flows of Personal Data)
The Madrid Privacy Declaration
（3 November 2009）
马德里国际隐私权标准协议
《非政府组织关于建立全球隐
私权标准的宣言》
欧盟-美国 EU/Swiss-U.S. Privacy Shield框架协定
international association of
privacy professionals

欧洲隐私和数据保护发展里程
 1948,UN人权
宣言
 1953,欧洲人权
宣言
1950/60s 1970s 1980s 1990s 2000s 2010s
 1970,德国隐私保护法
 1973,瑞典数据保护法
 1974,美国隐私保护法
 1978,法国数据处理，
数据文件和个人自由
法
 1980,OECD公平
资讯实施原则
 1981,欧盟108隐
私协定
 1990,德联邦数据保
护条令
 1995,EU DPD数据保
护指令Directive
95/46/EC
 2002,EU’ePrivacy
Directive’2002/58
 2003,Califonia S.B. 1366
保护信息产业健康发展
 Directive 2009/136/EC
 2010,Lisbon条约
 2010,U.S.-EU Safe Harbor
Framework
20160524 GDPR
 2012,GDPR 5853/12提案
 2014,GDPR 9565/15提案
 2016年2月欧美达成新的”U.S.-EU Privacy Shield”
 GDPR在20160524成为Regulation，正式实施。
Dirv部分是国家安全与反恐要求，成员国在2018
年5月前完成本国法的修订实施
 Network and information Security(NIS) Directive
(Cyber Security Directive)2016Aug生效执行
注：Regulations可即生成成员国国内法之一部分。在成员国直接适用，并优于成员国国内法执行，具备直接约束力。
DPD：12~15成员国
GDPR：27~28成员国
• EC提案
• 17/7/1990
• EP初读和意见
• 17/7/1990
1990 1991 1992 1993 1994 1995 1996
• EC修订案
• 15/10/1992
• 理事会态度
和修订意见
• 20/2/1995
• EP二读和修
订意见
• 15/6/1995
• DPD采纳立
法
• 25/10/1995
2012 2013 2014 2015 2016 …2018
• EC提案
• 25/1/2012
• EP初读和意
见
• 12/3/2014
• 理事会态度
和修订意见
• 12/2014
• EP通过二读
• 9565/2015
• Regulation
and Directive
• 2016 May
• 全面执行
• 2018 May

Personal data 与可定义自然人相关的任何信息，如ID；数据当事人构成特定风险(如生物特征数据、基因数据、司
法数据、财务资料、未成年人资料以及个人档案)
Pseudonymised Data 假名数据，可辨认为自然人的假名下的隐私数据（Article 4,3b）
Anonymous Data 匿名数据，无所有人的数据
Data subject 自然人拥有的个人隐私数据。
Data Controller 数据控制者是指自然人或者法人、公共机构、代理机构或者其他主体单独或者联合处理个人数据的
人；Controller有义务保障数据处理的合法性和保密性。
Data Processor 数据处理者，代表Controller处理使用数据。
主场所
Main establishment
数据处理应当在“场所的活动脉络下”进行，并考虑处理数据实体可能在不同成员国设有场所，法
律适用的主要标准并不以负责处理实体的场所而定，改以设有场所的地点作为标准。
Context 脉络 ‘活动脉络’(Context of Activities)。关系方的实际角色、实际行为及互动作为决定因素。
Regulations,
Directives,
Decisions
 规章可即生成国内法之一部分。在成员国直接适用，并优于成员国国内法执行，具备直接约束力。
 指令具有合法约束力，但需各成员国制定国内法来执行指令规定目标，成员国可选择具体的形式
和程序。规章和指令无需成员国批准，直接生效。
 决定由Council和EC公布，决定内所指的对象，受其全文约束。（转基因、食品、移民决定）
定义

宗旨：成员国应根据指令保护自然人的基本权利和自由，特别是个人数据处理中的隐私权。
成员国不得以保护隐私为理由，限制或者禁止个人信息在成员国之间的自由流动。
公平合法地收集和处理个人数据
目的性：个人数据收集和处理需预先设定特定、清晰和合法目的，且限于此目的进行。
适当性：按照数据收集或者深入处理的目标进行适当、相关而不得过度；
准确，尽可能及时更新：对收集、处理处理目标而言不准确、不完整的数据，应采取措施确保
其被消除或者纠正；
限期使用原则：个人数据不应长期保留使用
安全保密原则：采取措施保证个人数据的保密性和安全性
数据转移：禁止向EEA区域以外的第三国转移数据，如转移需第三国对个人数据提供充分保护
(adequate protection) 为前提或其它法律规定目的；
监督管理：各国数据保护监督机构应该监控数据的合法处理，数据控制和处理者有通知监管部
门的义务。
DPD(Data Protection Directive 95/46/EC)主要原则

数据保护指令DPD局限性
 信息技术发展：互联网、社交网络、物联网、大数据、云技术等。
 成员国实施过程中产生分歧和不确定性：部分条款采用开放式条文，使得
成员国在实施过程中有较大各自解释空间；实际上未成功建立确保统一解
释的执行机制。最终EEA区域的数据保护法律制度在某些方面上还是分裂的。
 商业组织需要同时遵循不同成员国的数据保护义务，还要履行数据处理的
通报义务，增加时间和法律成本，增加跨国经营和服务成本。
 存在无法调和成员国间的解释分歧：在医疗数据手机上，丹麦将其严格限
定于医疗专业人士的使用，而捷克还可以扩展至医疗保险领域。
 消费者权益因某些司法分歧借口而无法保障。
 国际数据流通受阻。

根据《Directive 95/46/EC》Article 26，该法国银行之意大利分行的性质属于场所(establishment)，
且其活动包含了数据处理。虽然意大利分行通知了客户该处理程序，却必须同时遵守意大利的
资料保护法，而分行所采取的安全措施亦然。另外，案例中的法国处理数据实体在法国场所处
理数据时亦需要同时遵守法国的数据安全法。包括债务人在内的数据归属当事人依据意大利法
律行使其查阅权、更改权和删除权时，可向意大利分行提出。
根据《GDPR》Article 70……
案例：因保理合同转移个人数据
 某意大利公用事业公司移交其债务人数据予一所法国银行，债务产生自用户过期未缴付的
电费。移交此债务人数据将意味移转客户个人数据和隐私给法国银行。具体而言数据将被
移转到法国银行之意大利分行。（即法国银行设于意大利之场所）。
 案例中该法国银行因处理资料程序而转交资料，意大利分行也为此而进行管理活动，并以
法国总行的名义收取债款。此外，位于法国的资料处理实体和意大利分行都处理了资料，
而法国处理实体也透过意大利分行通知了所有意大利客户此处理程序。

欧盟隐私和数据保护改革方向
 数据保护法立法形式从Directive上升到Regulation
 加强个人数据权利保护：完善个人数据的保护范围界定；完善数据主体的知
情权；增强数据主体对其个人数据的控制；明确数据主体同意”consent”程序；
扩大敏感数据保护范围和优化处理程序；建立更有效的纠正、惩罚机制。
 建立一体化的数字市场：提高EEA内数据保护法的确定性和统一性；降低个
人数据保护成本；明确DPAs管辖权及据法使用规则；扩大Controller的数据保
护义务和责任。
 强化EDPS、DPAs等数据保护机构的职能、促进合作与协调机制，增加EDPB
 明晰、简化跨境数据流通的规则：第三国提供充分保护原则不变，但要明确
该原则的具体操作规则，并扩大数据流通规则的适用范围。
 取消数据处理的通报义务，代之以档案保存义务。

General Data Protection Regulation (9398/15)提案
 2012年提出用于替换Directive 95，是欧洲数字一体化改革的一部分
 ‘One single law, directly applicable’指的是在欧盟范围内建立统一的数据保护法规
 司法管辖范围：只要在欧盟发生的，隐私数据即使在欧盟地域外获取、管理存储，也要遵从
欧盟的GDPR法律。
凡是在EU设立数据Controller和Processor的
凡是向EU用户提供涉及隐私数据服务的，或存在监控欧盟用户行为的，不论是否有场所
从遵照各个成员国国内法，变化为只遵从GDPR
在欧盟内任何一个成员国设立一个法律代理人即可
 ‘强化数据保护机构权力’欧盟成员国数据保护机构将有权对违背欧盟数据保护法律的企业做
出惩罚，企业罚金可取全球年收入的0.2%~5%；自然人罚金最高可到€ 100m；非商业利益个
人和非数据处理经营企业(规模低于250)可免于处罚。
 ‘One-stop shop’一站服务原则，企业只需与主要业务所在国的监管部门打交道，而不是欧盟29
个成员国的监管部门，而欧盟民众只需与其所属国家的数据保护机构打交道、使用本国语言
来解决个人数据方面出现的问题并保护个人权益。
 承认并鼓励’EuroPrise’等隐私担保认证服务

……GDPR提案 (二)
 强化数据主体权利：
‘Right to access/ object/ Rectification/ erasure/ Right to data portability’ 数据清除等和可携权
强化‘被遗忘权’Right to be forgotten，即如果欧盟民众希望不再让个人信息出现在网上搜索
结果中且无法律依据必须保留这些信息，服务商就必须删除数据。
明确数据主体‘同意’的条件和程序：变化主要在于要求同意必需明确，不能是推断的同意
追踪(tracking)与特征分析(profiling):保障数据主体有不被采取特征分析措施(如个人倾向、工
作表现、财务状况、位址、健康、个人喜好、可信度)而至产生法律效果或显著影响该个人
的权利
 强化数据Controller和Processor权利：
‘Privacy by design and privacy by default/DPIAs’ 系统需默认隐私保护，并在系统设计时考虑隐
私安全一揽子措施，识别并评估潜在风险，实现预防性保护。
‘Data breach notification’，数据侵权发生24小时内，数据C&Ps需通知侵权情况给数据保护机
构；并对产生的不利影响通知数据主体。
问责Accountability，数据C&Ps有责任为数据保护设定DPO（规模>250人或数据主体超过5000
个时强制），维护相关记录，执行一揽子安全措施

国际范围数据转移
 欧盟数据保护指令规定，个人数据不得流通至欧盟外国家，但该国“数据保护完备”或具备
其他条件的除外。
 ‘Adequacy Level of [Privacy] Protection’认定：主要依据第三国国内法和相关国际组织缔结协议。
‘white list’ countries安全认证白名单国家(依据GDPR Article 41): 到2014年7月底，白名单国家有安道尔共和
国、阿根廷、澳大利亚(航空范围)、加拿大、Faroe Islands、Guernsey、Jersey、the Isle of Man, the Fareo
Islands de Faeröereilanden, 以色列、新西兰、瑞士和乌拉圭。
 Model Contracts是欧盟确保企业隐私政策符合欧盟标准，而采用的共同约束规则：即跨国公司采用BCRs，
禁止向不具备适当个人数据保护水平的国家传输数据。(BCR原则原只被17国承认，GDPR普遍实施)
案例：HP已经建立一套有约束力的企业规则，这些规则已被EEA和瑞士大部分数据保护监管机构认可，并于2011年6月
生效。 BCR可确保HP在全球范围内的任何一家实体在处理数据时对欧洲经济区内每一位公民的个人信息给予充分保护。
充分保护的例外情况：数据主体明确同意数据转移；该项数据转移是为履行数据主体与数据控制者之间
合同所必需；为保护重要公共利益所需，或为支持、行使、抗辩某法律要求所需；为保护数据主体的重
要利益所需……但上述转移不可成为日常转移。
 GDPR将第三国提供充分保护与数据controller采取适当保护措施并列为国际范围数据流通条件

Directive 95/46/EC GDPR
European范围全球范围，凡是拥有或处理EU citizens隐私数据的
成员国基于EC法案各自修订 EEA内统一，由EDPS和各国数据保护机构总长组成European Data
Protection Board
DPAs各自管辖机构执法一致性，欧盟内一站式处理
Controller的责任明确Controller和Processors的责任和义务
罚金低，各国惩罚不一致企业罚金可取全球年收入的0.2%～5%；自然人罚金最高可到€100m；
非商业利益个人和数据处理和经营企业(规模低于250)可免于处罚
有通报数据处理通知要求，无数据
受侵权情况通报要求
需及时通报发生的数据侵权情况；
取消数据处理的通报义务，代之以档案保存义务
有限问责，无DPO设置问责程序得到加强，对企业DPO有明确要求
充分考虑时代变化背景，加强新技术下隐私保护问题，安全技术、
生理和基因隐私、未成年人保护等。
EU data protection laws变化总结

欧盟监督金融业之数据保护指导准则
关于在欧盟监督金融业之数据保护准则(Guidelines on Data Protection for Financial
Services Regulation)，该准则为金融市场监督机制的一部分，在金融业对个人数
据的处理上，特别是通过监控、记录保留、汇报、以及资讯交换存有侵犯个人
数据和隐私权风险的措施予以规范。
该准则包含10项步骤与建议，旨在协助欧盟后续金融监督政策的制定，其
中一些重要的建议如下:
① 应评估资讯之处理是否可能妨碍隐私权。
② 应为数据处理建立法律基础
③ 评估适当的数据保留期限，并给予正当依据。
④ 建立个人数据传送至欧盟外的正当法律依据。
⑤ 提供个人数据保护权利的适当保障。
⑥ 衡量适当的数据安全保护措施
⑦ 应为数据处理的监督提供特定程序。

U.S.-EU和U.S.-Swiss Safe Harbor框架协议
•告知义务（Notice）
•选择权（Choice）
•限定移转Onward Transfer (Transfers
to Third Parties)转出(转让给第三方)
必须符合告知和选择原则
•存取（Access）
•安全（Security）
•资料完整性（Data Integrity）
•执法（Enforcement）
•2000年12月美国商业部跟欧盟建立“安全港”协议，用于调整美国企业出口以及处理欧洲公
民的个人隐私数据。U.S.-EU和U.S.-Swiss都建立了“安全港”框架协议，该协议不同于美国跟
欧洲之间的传统商业过程，是响应欧洲的意图而建立的折衷政策。
•安全港协议是一项法律规定，主要成因是各国对个人资讯保护的措施不同，例如欧盟禁止个
人资讯传输至非欧盟国家。若通过安全港框架协议，欧盟可允许美国传达、存储或使用欧盟
成员国国民的个人资讯，可减少或消除当事人在法律上的隐私获取责任。如果美国企业符合
安全港原则，也视为符合’The European Commission’s Directive on Data Protection’
•安全港协议要求：收集个人数据的企业必须通知个人其数据被收集，并告知他们将对数据所
进行的处理，企业必须得到允许才能把信息传递给第三方，必须允许个人访问被收集的数据，
并保证数据的真实性和安全性以及采取措施保证这些条款得到遵从。
•Snowden事件后，新的”SafeHarbor”协议正在协商更新，将采取更严格的许可策略，并授权双
方的执行合规度。并限制美国执法机构对隐私数据的获取。
安全港的隐私
原则的主要要
求
安全港架构
Safe Harbor
Framework

安全港的隐私原则的主要要求
 告知义务(Notice)：当组织(数据控制者或者处理者)从欧盟及/或其他适用国家/地区中的个人取得隐私数据
时，组织必须告知个人关于其个人资讯的收集和使用目的，组织也必须提供个人在有任何疑问时，如何与该
组织联系或投诉、向第三方披露资讯的方式，以及组织所提供可用来限制使用和披露的选择。
 选择权(Choice)：组织必须给予个人选择权(如退出、拒绝)，是否可将他们的个人资讯透露给第三方或用于
不符合当初收集目的或之后的授权。对于敏感资讯，也必须提供明确的选择权(如加入)，是否将资讯透露给
第三方，或使用在不符合当初的收集目的，或是个人随后授权的目的之上。
 Onward Transfer(Transfers to Third Parties)限定移转(转移给第三方)：要将资讯转移给第三方，必须符
合告知和选择原则。同时组织若作为转让的代理人，必须确保第三方同样遵守安全港隐私保护原则，例如订
立书面协议，要求第三方至少也要提供相同水准的隐私保护。
 存取(Access)：个人拥有存取在组织中所持有个人资讯的权利，而且能夠要求更正、修改或刪除不正确的个
人资讯，除非其将产生和个人隐私不相称的风险或侵犯到其他人的权利。
 安全(Security)：组织必须采取合理的预防措施，保护个人资讯不会遗失、滥用，和受到未经授权的存取、
洩露、窜改和破坏。
 资料完整性(Data integrity)个人资讯必须使用于和收集相关的目的上，组织必须财取合理的步骤来确保资
料的可靠性，以达成预期的使用、正确、完整及现行趋势。
 执法(Enforcement)为了确保符合安全港原则，必须是(a)易于获得的独立申诉机制，使每个人的投诉和纠纷
可进行调查和解決，提供适用于法律或隐私部门的损失赔偿；(b)确认公司承诺遵守安全港原则的程序已被实
施；(c)未遵守原则时，矫正所产生问题的义务，处罚措施必须购严格，以确保组织遵守法規，组织若未能提
出年度的自我核证，将会被从参与者名单除名，组织遵守安全港的利益也无法被保证。

欧美隐私盾EU/Swiss-U.S. Privacy Shield框架协定
https://www.privacyshield.gov/EU-US-Framework
•告知义务（Notice）
•选择权（Choice）
•限定移转Onward Transfer
(Transfers to Third Parties)转出(转
让给第三方)必须符合告知和选
择原则
• 2015年10月6日欧盟最高司法机构’欧洲法院’作出判决，以美国未能达到为欧盟隐私数据提供有效保护的理由，认定欧美2000年签署
的关于自动交换数据的’ International Safe Harbor Privacy Principles’《安全港协议》无效。没有了“安全港”机制，美国在欧盟将不再
拥有“对个人数据提供充分保护国家”的地位。欧盟通过作废原框架协定来推动欧盟与美国制订新的数据传输协议。
• 2016年2月欧美达成新的”U.S.-EU Privacy Shield”取代安全港协议。协议主要包括三个部分：”隐私盾”原则；有关美国商务部具体举措
和仲裁事项的两个附件；以及来自联邦贸易委员会、运输部、国家情报总监办公室、国务院、司法部就有关欧盟个人数据在包括执
行和监控方面提供充分保护的承诺的五封信（针对美国当局“广泛的”且“任意的”监控行为缺乏安全保障和管理机制的情形）。
• 相比于安全港协议，隐私盾协定更体现了GDPR关于数据处理者和控制者的义务履行以及履行以及数据主体权利的规定，并特别强调
了监管措施的执行。
• 通过隐私盾协议，欧洲公民可以有途径按照GDPR法律对美国代理商访问其根据该协定传输的数据提出投诉。首先，欧盟公民可以直
接向美国企业提出请求和投诉，后者必须于45日内作出回应；其次，参加隐私盾的美国企业必须提供免费的替代性纠纷解决机制
(ADR)并告知用户以便其进行投诉；再次，可以直接向其本国数据保护机构进行投诉，后者负责将投诉转交美国商务部，美国商务部
必须于90日内作出回应，或者将投诉转交FTC处理；最后，如果穷尽前述方式未能解决争议，最后可以诉诸一个名为Privacy Shield
Panel的仲裁程序。
•存取（Access）
•安全（Security）
•资料完整性和目的限用（Data
Integrity and purpose limitation）
•资源协助、执法与责任（Recourse,
enforcement and liability）

隐私盾隐私原则的主要要求
 告知义务(Notice)：当创建、维持、使用或传播隐私数据的组织(数据控制者或处理者)从欧盟及/或其他适用国家/
地区中的个人取得隐私数据时，组织必须告知个人关于其个人资讯的收集和使用目的，组织也必须提供个人在有任
何疑问时，如何与该组织联系或投诉、向第三方披露资讯的方式，以及组织所提供可用来限制使用和披露的选择。
 选择权(Choice)：组织必须给予个人选择权(如退出、拒绝)，是否可将他们的个人资讯透露给第三方或用于不符合
当初收集目的或之后的授权。对于敏感资讯，也必须提供明确的选择权(如加入)，是否将资讯透露给第三方，或使
用在不符合当初的收集目的，或是个人随后授权的目的之上。
 限定移转责任(转移给第三方)Accountability for Onward Transfer(Transfers to Third Parties)：要将资讯转
移给第三方，必须符合告知和选择原则。同时组织若作为转让的代理人，必须确保第三方同样遵守该隐私保护原则，
例如订立书面协议，规定该数据只能用于限定的处理目的，并于与个人同意的内容相一致，要求第三方至少也要提
供相同水准的隐私保护。(亦须向美国商务部提供一份该企业同机构合同中相关隐私条款的概要或者代表副本)
 存取(Access)：个人拥有存取在组织中所持有个人资讯的权利，而且能夠要求更正、修改或刪除不正确的个人资讯，
除非其将产生和个人隐私不相称的风险或侵犯到其他人的权利。
 安全(Security)：组织必须采取合理的预防措施，保护个人资讯不会遗失、滥用，和受到未经授权的存取、洩露、
窜改和破坏。
 资料完整性和目的限用(Data Integrity and purpose limitation)：收集、处理个人资讯必须使用于和其相关的目
的上以及该目的的必要范围内，组织必须采取合理的步骤来确保资料的可靠性，以达成预期的使用可信、准确、完
整及现行趋势。
 资源协助、执法与责任(Recourse, enforcement and liability):认定有效的隐私保护必须包含确保隐私原则得到
遵守的健全机制、受到违反隐私原则影响的个人的救济协助机制以及组织不遵守原则的后果。
 其它补充原则：a.敏感数据原则；b.新闻例外原则；c.次级责任原则；d.从事尽职调查和审计例外原则；e.数据保
护机构的角色；f.自我认证程序；g.自我核证；等

 通过企业网站向欧盟个人提供有关数据处理和企业在《隐私盾》项下义务的明确说明，该声明应
包含美国商务部《隐私盾》网站的链接；
 提供有关个人访问其数据的权利、按照政府部门的需要依法披露数据的要求，以及如果发生数据
向第三方转移时本企业责任的明确说明；
 明确说明本企业进行数据采集和处理的目的；
 建立一个迅速的响应机制，在45天内回应针对本企业服务可能收到的投诉或咨询；
 免费向个人提供独立的救助机制以便调查和解决投诉和纠纷；
 承诺如请求，将就任何未决投诉或纠纷通过仲裁解决；
 针对负责《隐私盾》监督的美国商务部及做出禁止或罚款决定的其它部门所提出的询问立即给予
回应；
 确保企业在持有数据时始终遵守其承诺；
 公开FTC(联邦贸易委员会)和法院针对公司违规行为所采取的强制措施情况，使其透明；
美国在欧盟企业所履行的隐私盾基本义务

第三方隐私保护认证和担保服务
 网络隐私认证适用于跨行业的联盟，能够对被认证方承诺和实际隐私保护
的实践进行监督
 被认证方要在现行法律法规框架下制定相应的在线隐私保护政策，接收该
隐私保护认证服务的监督。

德国和欧盟用户数据本地存储
用户可以将自己数据在非本地区备份，但是
AWS不会将用户数据进行非德国或非欧盟区
的异地备份。
德国和欧盟用户可以决定个人信息和数据的
存储位置
用户可以自己设定数据加密或选择第三方加
密机制
用户可以使用安全传送技术，管理自己数据，
而AWS不探视用户数据内容，因客户服务而
必须使用用户数据时，需要用户授权。
政府要求的数据使用，AWS亦为客户保持警
惕
AWS认为政府应该首先向数据主体申请数据
使用权
AWS认为即使政府根据当地条约合法索取，
政府机构亦必须满足充分理由，拿出Court
order or warrant
在向政府公开数据前，会先通知数据所有主
体
政府无权索取非司法管辖区用户数据
案例：AWS在欧洲的隐私保护
• EU-WEST(Ireland)
• EU-Central(Frankfurt)
• London and Paris
Asia PAC
• Singapore (2), Sydney
(3), Tokyo (3), Seoul (2),
Mumbai (2)
US West
• Oregon (3), Northern
California (3)
US East
• Northern Virginia (5),
Ohio (3)
South America
• São Paulo (3)
AWS数据安全策略是以用户优先，即使政府条令要合法获取数据内容，也需要走大量的法律程序。
美国有个U.S. Patriot Act以国家安全为借口，要求云服务、网络服务商提供全球恐怖主义数据和情
报。但是数据分域，意味着美国司法部门无法通过Patriot Act来探取美国之外的数据。

欧洲隐私与数据保护(EU privacy and data protection)

Recommended

Recommended

More Related Content

Viewers also liked

Viewers also liked (14)

欧洲隐私与数据保护(EU privacy and data protection)

Editor's Notes