譯文｜歐盟GDPR《一般數(shù)據(jù)保護法案》（一）
來源：互聯(lián)網(wǎng)金融監(jiān)管 時間：2017-02-09 10:59:55 作者：IFLRI
?編者按：2016年4月14日，歐洲議會投票通過了商討四年的《一般數(shù)據(jù)保護法案》（General Data Protection Regulation，GDPR），該法案將于2018年5月25日正式生效。GDPR的通過意味著歐盟對個人信息保護及其監(jiān)管達到了前所未有的高度，堪稱史上最嚴格的數(shù)據(jù)保護法案。 GDPR對于我國業(yè)務范圍涉及歐盟成員國領土及其公民的企業(yè)進行合規(guī)運營、避免高昂處罰，以及對我國與數(shù)據(jù)相關的法學研究都具重要意義。
?新法案由11章共99條組成，中文譯本由中國政法大學互聯(lián)網(wǎng)金融法律研究院（Internet financial law research institute of CUPL ,IFLRI）組織翻譯。
第一章 一般規(guī)定
第1條 主題與目標
?1. 本法就對與個人數(shù)據(jù)的處理相關的自然人的保護及個人數(shù)據(jù)的自由流動訂立規(guī)則。
?2. 本法保護自然人的基本權利和自由，尤其是自然人的個人數(shù)據(jù)保護權。
?3. 不得以保護與處理的個人數(shù)據(jù)相關的自然人為由，限制或禁止個人數(shù)據(jù)在歐盟內部的自由流動。
?第2條 適用范圍
?1. 本法適用于完全或部分以自動方式對個人數(shù)據(jù)的處理，構成或擬構成整理匯集系統(tǒng)一部分的自動方式除外。
?2. 本法不適用于以下個人數(shù)據(jù)的處理：
?(a) 發(fā)生在聯(lián)盟法律范圍之外的活動過程中;
?(b) 由成員國在歐洲聯(lián)盟條約第五卷第2章范圍內進行活動時;
?(c) 由自然人在純粹的個人或家庭活動的過程中;
?(d) 由主管當局為預防、調查、偵查或起訴的刑事犯罪，執(zhí)行的刑事處罰的目的，包括防范和阻止公共安全受到威脅。
?3. 歐盟機構、委員會、辦事處和專業(yè)行政部門（代理機構）處理個人數(shù)據(jù)，適用第45/2001號條例。
?根據(jù)本法第98條，處理個人數(shù)據(jù)適用第45/2001號條例和其他聯(lián)盟法律法規(guī)的，應當符合本法的原則和規(guī)則。
?4. 本法不影響2000/31 / EC指令的適用，特別是該指令第12條至第15條中的中間服務提供商的責任規(guī)則。
第3條 地域范圍
?1. 本法適用于設立在歐盟內的控制者或處理者對個人數(shù)據(jù)的處理，無論其處理行為是否發(fā)生在歐盟內。
?2. 本法適用于對歐盟內的數(shù)據(jù)主體的個人數(shù)據(jù)處理，即使控制者和處理者沒有設立在歐盟內，其處理行為：
?(a) 發(fā)生在向歐盟內的數(shù)據(jù)主體提供商品或服務的過程中，無論此項商品或服務是否需要數(shù)據(jù)主體支付對價；或
?(b) 是對數(shù)據(jù)主體發(fā)生在歐盟內的行為進行的監(jiān)控的。
?3. 本法適用于設立在歐盟之外，但依據(jù)國際公法歐盟成員國法律可適用地的控制者對個人數(shù)據(jù)的處理。
第4條 定義
?為本法之目的：
?(1) “個人數(shù)據(jù)”是指任何指向一個已識別或可識別的自然人（“數(shù)據(jù)主體”）的信息。該可識別的自然人能夠被直接或間接地識別，尤其是通過參照諸如姓名、身份證號碼、定位數(shù)據(jù)、在線身份識別這類標識，或者是通過參照針對該自然人一個或多個如物理、生理、遺傳、心理、經(jīng)濟、文化或社會身份的要素。
?（2）“處理”是指針對個人數(shù)據(jù)或個人數(shù)據(jù)集合的任何一個或一系列操作，諸如收集、記錄、組織、建構、存儲、自適應或修改、檢索、咨詢、使用、披露、傳播或其他的利用，排列、組合、限制、刪除或銷毀，無論此操作是否采用自動化的手段。
?（3）“處理限制”是指對已存儲的個人數(shù)據(jù)的標識，用于在將來限制他們的處理行為；
?（4）“剖析”是指為評估與自然人相關的某些個人情況，對個人數(shù)據(jù)進行任何自動化處理、利用的方式，特別是針對與自然人的工作表現(xiàn)、經(jīng)濟狀況、健康狀況、個人偏好、興趣、信度、習性、位置或行蹤相關的分析和預測。
?（5）“匿名化”是一種使個人數(shù)據(jù)在不使用額外信息的情況下不指向特定數(shù)據(jù)主體對待個人數(shù)據(jù)處理方式。該處理方式將個人數(shù)據(jù)與其他額外信息分別存儲，并且使個人數(shù)據(jù)因技術和組織手段而無法指向一個可識別和已識別的自然人。
?（6）“整理匯集系統(tǒng)”是一種依照特定標準，如集中、分散或功能分布或地域基準存取個人數(shù)據(jù)的結構化集合。
?（7）“控制者”是能單獨或聯(lián)合決定個人數(shù)據(jù)的處理目的和方式的自然人、法人、公共機構、行政機關或其他非法人組織。其中個人數(shù)據(jù)處理的目的和方式，以及控制者或控制者資格的具體標準由歐盟或其成員國的法律予以規(guī)定。
?（8）“處理者”是指為控制者處理個人數(shù)據(jù)的自然人、法人、公共機構、行政機關或其他非法人組織。
?（9）“接收者”是指接收到被傳遞的個人數(shù)據(jù)的，無論其是否是第三方的自然人、法人、公共機構、行政機關或其他非法人組織。但是，政府因在歐盟或其成員國法律框架內特定調查接收到個人數(shù)據(jù)的，不得被視為“接收者”；政府處理這些數(shù)據(jù)應當根據(jù)數(shù)據(jù)處理的目的，遵循可適用的數(shù)據(jù)保護規(guī)則。
?（10）“第三方”是指數(shù)據(jù)主體、控制者、處理者以及在控制者或處理者直接授權處理個人數(shù)據(jù)者以外的自然人、法人、公共機構、行政機關或其他非法人組織。
?（11）數(shù)據(jù)主體的“同意”是指數(shù)據(jù)主體依照其意愿自愿做出的任何指定的、具體的、知情的及明確的指示。通過聲明或明確肯定的行為作出的這種指示，意味著其同意與他或她有關的個人數(shù)據(jù)被處理。
?（12）“個人數(shù)據(jù)外泄”是指個人數(shù)據(jù)在傳輸、存儲或進行其他處理時的安全問題引發(fā)的個人數(shù)據(jù)被意外或非法破壞、損失、變更、未經(jīng)授權披露或訪問。
?（13）“基因數(shù)據(jù)”是指與自然人先天或后天的遺傳性特征相關的個人數(shù)據(jù)。這類數(shù)據(jù)傳達了與該自然人生理機能或健康狀況相關的獨特信息，并且上述數(shù)據(jù)往往來自于對該自然人生物樣本的分析結果。
?(14) “生物識別數(shù)據(jù)”是通過對自然人的物理、生物或行為特征進行特定的技術處理的得到的個人數(shù)據(jù)。這類數(shù)據(jù)生成了那個自然人的唯一標識，比如人臉圖像或指紋識別數(shù)據(jù)。
?（15）“有關健康的數(shù)據(jù)”是指與自然人身體或精神健康有關的個人數(shù)據(jù)，包括能揭示關于他或她的健康狀況的健康保健服務所提供的數(shù)據(jù)。
?（16） “主營業(yè)地”意味著：
?(a)對于營業(yè)機構在多個成員國的的控制者，除非控制者在歐盟內的另一個營業(yè)機構能夠決定并有能力貫徹個人數(shù)據(jù)的處理目的和方式，否則其在歐盟內的主要管理者所在地被視為主營業(yè)地。
?(b) 對于營業(yè)機構在多個成員國的處理者，其在歐盟內的主要管理者所在地，在本法下承擔特定義務；如果處理者在歐盟內沒有主要管理者，在處理者的營業(yè)機構的營業(yè)范圍內進行主要處理行為的營業(yè)地，在本法下承擔特定義務。
?(17) “代表”指由控制者和處理者依照第27條書面指定的，代表控制者和處理者分別履行本法規(guī)定的義務的歐盟內的自然人、法人。
?(18) “企業(yè)”是指參與經(jīng)濟活動的自然人或法人，無論其為何種組織形式，可以包括合伙或經(jīng)常性參與經(jīng)濟活動的協(xié)會。
?(19) “企業(yè)團體”是指一個管控性的企業(yè)以及受其管控的企業(yè)群。
?(20) “約束性企業(yè)規(guī)則”是指成員國領土上的控制者和處理者通過事業(yè)集團或企業(yè)集團進行的聯(lián)合經(jīng)濟活動，而致個人數(shù)據(jù)傳輸或系列傳輸?shù)揭粋€或多個第三方國家的控制者或處理者時必須遵循的個人數(shù)據(jù)保護政策。
?(21) “監(jiān)管機構”是指一個獨立的，由成員國依據(jù)第51條設立的公權力機構。
?(22) “有關監(jiān)管機構”是與人數(shù)據(jù)處理有關的監(jiān)管機構，因為:
?(a) 控制者或處理者是建立在監(jiān)管機構所在的成員國領土上的；
?(b) 居住在監(jiān)管機構所在成員國的數(shù)據(jù)主體被或可能被處理行為嚴重影響；或
?(c) 一個由監(jiān)管機構提交的申訴；
?(23)“跨境處理”是指以下情形之一：
?(a) 個人數(shù)據(jù)處理發(fā)生在一個歐盟內的設立在多個成員國的控制者或處理者在多個成員國的營業(yè)機構的活動中。
?(b) 個人數(shù)據(jù)的處理發(fā)生在一個歐盟內的控制者或處理者的唯一營業(yè)機構的活動中，但是這種處理嚴重影響或可能會嚴重影響多個成員國的數(shù)據(jù)主體。
?(24) “相關與合理異議”是指一種關于是否存在違反本法情況，或是控制者或處理者是否存在遵守本法的預設行為的異議。這個異議清晰地表明了有關數(shù)據(jù)主體的基本權利和自由的決議草案所造成的風險的重要影響，以及此種異議也適用于歐盟內的個人數(shù)據(jù)自由流動。
?(25) “信息社會服務”是指歐洲議會和理事會的指令（歐盟）2015/1535 的第一條（1）款的（b）項中定義的服務。
?(26) “國際組織”是指依照國際公法設立的組織及其下屬機構，或依據(jù)或以兩個或更多國家之間達成的協(xié)議為基礎建立的其他機構。
?第二章 原則
第5條 與個人數(shù)據(jù)處理相關的原則
?1. 個人數(shù)據(jù)應：
?(a) 以合法、公正、透明的方式處理與數(shù)據(jù)主體有關的（“合法性、公平性和透明性”）;
?(b) 為特定的、明確的、合法的目的收集，并且不符合以上目的不得以一定的方式進行進一步的處理；為公共利益、科學，或歷史研究目的，或統(tǒng)計目的而進一步處理，按照第89條第（1）款，不應被視為不符合初始目的（“目的限制”）；
?(c) 充分、相關以及以該個人數(shù)據(jù)處理目的之必要為限度進行處理（“數(shù)據(jù)最小化”）；
?(d) 準確，必要，及時；為了個人數(shù)據(jù)被毫不延遲地處理、刪除或修正的目的，必須采取一切合理的步驟確保個人數(shù)據(jù)是不精確的（“精度”）；
?(e) 在不超過個人數(shù)據(jù)處理目的之必要的情形下，允許以數(shù)據(jù)主體以可識別的形式保存；為了保護數(shù)據(jù)主體的權利和自由，依據(jù)第89條（1）予以實施本法所要求的適度的技術和組織措施，只要個人數(shù)據(jù)將僅僅以為達到公共利益、科學或歷史研究或統(tǒng)計的目的而處理，個人數(shù)據(jù)能被長時間存儲（“存儲限制”）。
?(f) 以確保個人數(shù)據(jù)適度安全的方式處理，包括使用適當?shù)募夹g或組織措施來對抗未經(jīng)授權、非法的處理、意外遺失、滅失或損毀的保護措施（“完整性和機密性”）。
?2. 控制者應該負責，并能夠證明符合第一項(“問責制”)。
?第6條 處理的合法性
?1. 只有在適用以下至少一條的情況下，處理視為合法：
?（a）數(shù)據(jù)主體同意他或她的個人數(shù)據(jù)為一個或多個特定目而處理;
?（b）處理是為履行數(shù)據(jù)主體參與的合同之必要，亦或處理是因數(shù)據(jù)主體在簽訂合同前的請求而采取的措施；
?（c）處理是為履行控制者所服從的法律義務之必要；
?（d）處理是為了保護數(shù)據(jù)主體或另一個自然人的切身利益之必要；
?（e）處理是為了執(zhí)行公共利益領域的任務或行使控制者既定的公務職權之必要；
?（f）處理是控制者或者第三方為了追求合法利益的之必要，但此利益被要求保護個人數(shù)據(jù)的數(shù)據(jù)主體的利益或基本權利以及自由覆蓋的除外，尤其是數(shù)據(jù)主體為兒童的情形下。
?前第一款（f）項不適用于政府當局在履行其職責時進行的處理。
?2.成員國可以維持或引入更具體的規(guī)定來適應本法關于處理的條款應用，通過設定包括在第九部分中規(guī)定的其他具體處理情形，設定更準確具體的處理要求和其他措施來確保合法和公平的處理，以遵守第一款的(c)項和(e)項，
?3.第一款的(c)項和(e)項所指的處理的依據(jù)如下：
?（a）歐盟法律；或
?（b）控制者所屬的成員國法律。
?處理的目的應當依據(jù)法律確定，或者根據(jù)第一款（e）項中所指之處理，即應當為了執(zhí)行公共利益領域的任務或行使控制者既定的公務職權之必要。法律依據(jù)可以包括具體條款以此來適應本法條款的應用，特別是：調整控制者處理合法性的一般條件；被處理的數(shù)據(jù)類型；與數(shù)據(jù)主體相關的；個人數(shù)據(jù)可能被披露的實體和目的；目的限制；存儲期限；以及處理操作和處理程序，包括確保合法和公平處理的措施，諸如那些在第九部分提及的其他具體處理情況。歐盟或成員國法律應當符合公共利益的目標以及與追求的正當目標相稱。
?4. 當處理不是為了個人數(shù)據(jù)被收集時的那個目的，并且這個目的不是基于數(shù)據(jù)主體的同意，亦非基于在民主社會構成一個必要且適當措施來保障第23條（1）款所指之目標的歐盟或成員國法律，控制者應當為了查明為其他目的進行的處理是否與個人數(shù)據(jù)最初被收集時的目的相一致而考慮，特別是：
?（a）任何在個人數(shù)據(jù)被收集時的目的和預期進一步處理的目的之間的聯(lián)系；
?（b）個人數(shù)據(jù)被收集時的情形，尤其是關于數(shù)據(jù)主體和控制者的關系的；
?（c）個人數(shù)據(jù)的性質，尤其不管是依據(jù)第9條被處理的特殊類別的個人數(shù)據(jù)，還是依據(jù)第10條與刑事定罪和罪行有關的個人數(shù)據(jù)；
?（d）預期進一步處理給數(shù)據(jù)主體可能造成的后果；
?（e）適當?shù)目赡馨用芑蚰涿谋Ｕ洗胧┑拇嬖凇?/p>
?第7條 同意的要件
?1. 如處理是基于同意，則控制者應能證明數(shù)據(jù)主體已經(jīng)同意處理他或她的個人數(shù)據(jù)。
?2. 如數(shù)據(jù)主體通過書面聲明的方式作出同意，且書面聲明涉及其他事項，那么同意應以易于理解且與其他事項顯著區(qū)別的形式呈現(xiàn)。構成違反本法的聲明的任何部分，均不具約束力。
?3. 數(shù)據(jù)主體有權隨時撤回他或她的同意。同意的撤回不應影響在撤回前基于同意作出的合法的數(shù)據(jù)處理。在作出同意前，數(shù)據(jù)主體應被告知上述權利。撤回同意應與作出同意同樣容易。
?4. 當評估同意是否是自由作出時，應盡最大可能考慮，還應考慮合同的履行，包括服務的提供是否是基于對履行合同不必要的個人數(shù)據(jù)的同意。
?第8條 關于信息社會服務適用于兒童同意的條件
?1. 如適用第6條第1款（a）項，關于直接向兒童提供信息社會服務的，對16周歲以上兒童的個人數(shù)據(jù)的處理為合法。兒童未滿16周歲時，處理只有在征得父母責任的主體同意情形下，或授權兒童同意的范圍內合法。
?如低齡不低于13周歲，則成員國可以通過法律為那些目的向低齡提供。
?2. 考慮到現(xiàn)有技術，控制者應當作出合理的努力，去核實在此種情況下，父母責任的主體同意或授權。
?3. 第1款不應影響成員國的一般合同法律，諸如與兒童有關的合同效力、構成或實行。
?第9條 特殊種類的個人數(shù)據(jù)處理
?1.對揭示種族或民族出身，政治觀點、宗教或哲學信仰，工會成員的個人數(shù)據(jù)，以及以唯一識別自然人為目的的基因數(shù)據(jù)、生物特征數(shù)據(jù)，健康、自然人的性生活或性取向的數(shù)據(jù)的處理應當被禁止。
?2.如果符合以下情形，則第1款不適用：
?(a) 數(shù)據(jù)主體對以一個或數(shù)個特定目的對上述個人數(shù)據(jù)的處理給予了明確同意，但依照歐盟或者成員國的法律規(guī)定，第1款規(guī)定的禁止情形不能被數(shù)據(jù)主體援引的除外。
?(b)數(shù)據(jù)處理為實現(xiàn)控制者或數(shù)據(jù)主體在工作、社會保障以及社會保障法的范疇內履行義務、行使權利之目的，則是必要。應當在歐盟或成員國的法律認可下，或者依據(jù)成員國對數(shù)據(jù)主體的基本權利和利益提供適當?shù)谋Ｕ系姆梢?guī)定訂立的集體協(xié)議的范圍內實施。
?(c) 數(shù)據(jù)處理是對于保護數(shù)據(jù)主體或另一個自然人的切身利益之必要，但數(shù)據(jù)主體物理上或法律上無法給予同意時；
?(d) 數(shù)據(jù)處理是由政治、哲學、宗教、工會性質的協(xié)會、組織或其他非營利組織在有適當安全保障的合法活動中實施的，處理應當僅僅與該組織的成員或前成員或與該組織依組織宗旨為聯(lián)系的定期聯(lián)系人相關，并且相關個人數(shù)據(jù)未經(jīng)數(shù)據(jù)主體同意不得向組織外的人披露。
?(e) 處理被數(shù)據(jù)主體明顯地公開的個人數(shù)據(jù)；
?(f) 數(shù)據(jù)處理為合法訴求的成立、行使或辯護或者法庭司法權的行使之必要；
?(g) 為了實質的公共利益，數(shù)據(jù)處理是必要的。依據(jù)歐盟或者成員國的法律，追求該目的是適當?shù)?，應當尊重?shù)據(jù)保護的基本權利，應當提供適當、特定的措施來保障數(shù)據(jù)主體的基本權利和利益；
?(h) 為實現(xiàn)以下目的，數(shù)據(jù)處理是必要的。為了預防醫(yī)學和職業(yè)醫(yī)學，為了雇員的工作能力評估，醫(yī)療診斷，提供衛(wèi)生社會保健或治療或衛(wèi)生社會保健體系以及服務的構建，應當依據(jù)歐盟或成員國的法律或者依據(jù)與保健專業(yè)人士的合同，并且遵守第3款要求的條件和保障。
?(i) 在公共健康的領域為了公共利益的考量，對于特定專業(yè)秘密的數(shù)據(jù)處理是必要的。譬如，抵御嚴重的跨境衛(wèi)生威脅，確保衛(wèi)生保健、藥品或醫(yī)療器械高標準的質量和安全，依據(jù)聯(lián)盟或成員國的法律規(guī)定以適當?shù)摹⑻囟ǖ拇胧﹣肀Ｕ蠑?shù)據(jù)主體的權利與自由；
?(j) 為了公共利益、科學或歷史研究的目的，或者統(tǒng)計的目的，依照第89條第（1）款基于聯(lián)盟或者成員國的法律，追求該目的是適當?shù)?，應當尊重?shù)據(jù)保護的基本權利，應當提供適當、特定的措施來保障數(shù)據(jù)主體的基本權利和利益。
?3.為實現(xiàn)第2款（h）項中的目的，第1款中的個人數(shù)據(jù)可能被處理，那些數(shù)據(jù)應當被一個依據(jù)歐盟或者成員國的法律或國家法定機構制定的規(guī)則負有保守專業(yè)秘密的義務的專業(yè)人士處理，或者說這是他的責任；或者由另一個同樣依據(jù)歐盟或者成員國的法律或國家法定機構制定的規(guī)則遵守保密義務的人處理。
?4. 成員國可以保持或者引進進一步的條件，包括指向基因數(shù)據(jù)、生物特征數(shù)據(jù)或者健康數(shù)據(jù)的個人數(shù)據(jù)處理的限制。
?第10條 有關刑事定罪和罪行的個人數(shù)據(jù)的處理
?有關刑事定罪和罪行的，或有關基于第6條第1款的安全措施的個人數(shù)據(jù)的處理應當在公務職權的控制下開展，或者被歐盟或成員國法律授權為保護數(shù)據(jù)主體的自由和權利而提供保護措施的處理。任何刑事定罪的綜合登記應當只能在公務職權的控制下保存。
?第11條 無需認證的處理
?1.如果控制者不需要或者不再需要認證其所掌控的個人數(shù)據(jù)的數(shù)據(jù)主體，那么若僅僅根據(jù)本章程的要求和規(guī)定，控制者就沒有義務保存、獲取或者處理額外的信息來認證數(shù)據(jù)主體。
?2.如果有本條第一款所提到的情況，那么在可能的情況下，控制者應當告知數(shù)據(jù)主體，說明自己并無對數(shù)據(jù)主體進行認證的職責。只有在數(shù)據(jù)主體出于行使自身權利需要，而且提供額外的身份證明信息的情況下，第15條至第20條才能得以適用。
?第三章 數(shù)據(jù)主體權利
第一節(jié) 信息透明度和信息機制
第12條 數(shù)據(jù)主體行使權利的透明度、交流和模式
?1.控制者應當以一種簡單透明、明晰且容易獲取的方式，通過清楚明確的語言，采取合適措施提供第13條和第14條所提到的任何信息，以及根據(jù)第15條到第22條和第34條所提及的關于數(shù)據(jù)主體處理過程的溝通信息（尤其是關于兒童的任何信息）?？刂普邞斕峁娌牧?，在其他情況下，若有必要，可以采用電子方式。如果數(shù)據(jù)主體能夠通過其他方式得到認證，那么在數(shù)據(jù)主體的要求下，能夠以口頭方式提供信息。
?2.控制者應當根據(jù)第15條到第22條的規(guī)定幫助數(shù)據(jù)主體行使權利。在第11條第2款的情形下，除非控制者說明自己不具有數(shù)據(jù)主體的認證職責，否則，對于數(shù)據(jù)主體根據(jù)第15條至第22條行使自身權利的要求，控制者不能拒絕。
?3.控制者應當及時（在任何情況下不得超過一個月）提供根據(jù)第15條至第22條采取的行動信息?？紤]到要求的復雜性和數(shù)量，在必要的時候，這一期限可以再延長兩個月。對于延期提供信息的任何情況，控制者都應當通知數(shù)據(jù)主體相關情形和延遲原因。在可能的情況下，這些信息能夠以電子方式提供，除非數(shù)據(jù)主體對提供方式有特殊要求。
?4.如果控制者沒有根據(jù)數(shù)據(jù)主體的要求采取行動，控制者應當及時通知（至遲不超過一個月）數(shù)據(jù)主體未采取行動的原因、向監(jiān)督機構提起申訴以求尋求司法救濟的可能性。
?5.根據(jù)第13條和第14條所提供的信息以及根據(jù)第15條至第22條和第34條提供的任何溝通行動都應當免費提供。在數(shù)據(jù)主體提出的要求無法查明、超出提供范圍，尤其是重復提起要求的情形下，控制者也可以：
?（a）考慮到提供信息、交流或者采取行動的行政成本，行政部門可以收取合理的費用；
?（b）拒絕受理數(shù)據(jù)主體的請求。
?控制者應當承擔說明那些無法查明或者居于其提供范圍之外的數(shù)據(jù)的責任。
?6.在不違背第11條的前提下，控制者在對自然人依據(jù)第15條到第22條所提出的要求持有合理懷疑時，可以要求數(shù)據(jù)主體提供額外的必要的信息來證明身份。
?7.根據(jù)第13條和第14條的要求，控制者應當采用標準化的圖標，以簡潔明了、清晰可視、曉暢易讀的方式向數(shù)據(jù)主體提供信息。這些圖標以電子方式呈現(xiàn)，這樣就可以以機讀的方式進行信息的讀取工作。
?8.歐盟委員會應當被授予根據(jù)第92條的規(guī)定采取措施來制定標準化圖標的信息和程序的權利。
?第2節(jié) 個人數(shù)據(jù)信息和獲取
第13條 數(shù)據(jù)主體收集的個人數(shù)據(jù)的提供
?1.鑒于數(shù)據(jù)主體能夠獲取與自身有關的個人數(shù)據(jù)，控制者應當在獲取個人信息時，向數(shù)據(jù)主體提供以下信息：
?（a）控制者的身份和詳細聯(lián)系方式，適當時還要提供代表人的身份和詳細聯(lián)系方式；
?（b）適當時提供數(shù)據(jù)保護局的詳細聯(lián)系方式；
?（c）個人信息處理的目的以及處理的法律基礎；
?（d）當處理過程是依據(jù)（f）項和第6條第一款的規(guī)定進行的，應當說明控制者或者第三方追求的立法利益；
?（e）如果可以，應當提供個人數(shù)據(jù)接收方或者接受方的種類；
?（f）在適當?shù)那闆r下，應當提供控制者意圖將個人數(shù)據(jù)向第三國或者國家組織進行傳輸?shù)氖聦?、委員會是否就此問題做出過充分決議、第46、47條或者第49條第1款第二小段提及情形的相關信息。此外，還包括所采取的保護個人信息的合理安全措施以及獲取復印件的方式。
?2.除了第一款提到的信息，控制者在獲取個人數(shù)據(jù)時，出于證實處理過程的公正和透明的需要，在必要的情況下，應當向數(shù)據(jù)主體提供如下信息：
?（a）個人數(shù)據(jù)的儲存階段，在無法提供的情形下，應當提供階段劃分的決定標準；
?（b）有資格處理數(shù)據(jù)主體權利要求的，能夠獲取、修正、刪除個人信息或者管制數(shù)據(jù)權利的控制者的信息；
?（c）根據(jù)第6條（a）項或者第9條第2款（a）項所進行的在不觸犯法律的前提下，處理過程信息、任意取消滿意度的相關信息；
?（d）向監(jiān)督機構提起申訴的權利；
?（e）個人數(shù)據(jù)條款是否應當在法律條文中、在合同契約中規(guī)定。還是應當作為締結合同的必要條件進行規(guī)定。此外，還應當包括數(shù)據(jù)主體是否有義務提供個人數(shù)據(jù)以及無法提供數(shù)據(jù)情形下的可能的后果的信息；
?（f）自動的決策機制，包括第22條第1款以及第4款提到的分析過程所涉及的邏輯程序以及對數(shù)據(jù)主體的處理過程的重要意義和設想結果。
?3.鑒于控制者進一步處理個人信息的意圖，控制者應當在此之前向數(shù)據(jù)主體提供與第2款有關的信息。
?4.當數(shù)據(jù)主體已經(jīng)獲得這些信息時，第1款、第2款、第3款不能得以適用。
?第14條 并非從數(shù)據(jù)主體處獲取的個人數(shù)據(jù)的提供
?1.當個人信息并非從數(shù)據(jù)主體處獲得時，控制者應當向數(shù)據(jù)主體提供如下信息；
?（a）控制者的身份和詳細聯(lián)系方式，適當時還要提供代表人；
?（b）適當時提供數(shù)據(jù)保護局的詳細聯(lián)系方式；
?（c）個人信息處理的目的以及處理的法律基礎；
?（d）相關個人數(shù)據(jù)的種類；
?（e）個人數(shù)據(jù)接收方或者接受方的種類；
?（f）在適當?shù)那闆r下，應當提供控制者意圖將個人數(shù)據(jù)向第三國或者國家組織進行傳輸?shù)氖聦崱⑽瘑T會是否就此問題做出過充分決議、第46、47條或者第49條第1款第二項提及情形的相關信息。此外，還包括所采取的保護個人信息的合理安全措施以及獲取復印件的方式。
?2.除了第一款提到的信息，控制者在獲取個人數(shù)據(jù)時，出于證實處理過程的公正和透明的需要，在必要的情況下，應當向數(shù)據(jù)主體提供如下信息：
?（a）個人數(shù)據(jù)的儲存階段，在無法提供的情形下，應當提供階段劃分的決定標準；
?（b）鑒于第6條第1款（f）項的處理過程，控制者或者第三方追求的立法利益；
?（c）有資格處理數(shù)據(jù)主體權利要求的，能夠獲取、修正、刪除個人信息或者管制數(shù)據(jù)權利的控制者的信息；
?（d）根據(jù)第6條第1款（a）項或者第9條第2款（a）項所進行的在不觸犯法律的前提下，處理過程信息、任意取消滿意度的相關信息；
?（e）向監(jiān)督機構提起申訴的權利；
?（f）個人數(shù)據(jù)獲取的來源，在合適的情況下，提供是否是通過公共方式獲取的信息；
?（g）自動的決策機制，包括第22條第1款以及第4款提到的分析過程所涉及的邏輯程序以及對數(shù)據(jù)主體的處理過程的重要意義和設想結果。
?3.控制者應當根據(jù)第1款和第2款的規(guī)定提供信息：
?（a）在獲取個人數(shù)據(jù)之后的合理期限內（至遲不超過一個月），提供與個人數(shù)據(jù)獲取具體情形有關的信息；
?（b）如果個人數(shù)據(jù)將要用于數(shù)據(jù)主體間的交流，那么信息提供時間最遲不超過第一次交流活動；
?（c）如果可以披露接收方，那么信息提供時間最遲不晚于個人數(shù)據(jù)的首次披露時間。
?4.鑒于控制者進一步處理個人信息的意圖，控制者應當在此之前向數(shù)據(jù)主體提供與第2款有關的信息。
?5.第1款至第4款在以下情形不得適用：
?（a）數(shù)據(jù)主體已經(jīng)獲得這些信息；
?（b）這些信息的提供是不可能的，尤其是根據(jù)第89條第1款規(guī)定或者本條第1 款提及的義務規(guī)定，出于公共利益、科學或者歷史調查和統(tǒng)計調查的目的所進行的不均衡的努力。在這些情況下，控制者應當采取合適的措施去保護數(shù)據(jù)主體的權利和自由以及法律利益（包括公開信息的措施）；
?（c）控制者應當根據(jù)聯(lián)盟或者成員國法律所規(guī)定的獲取或者披露個人信息的規(guī)定，采取合適的措施來保護數(shù)據(jù)主體的法律利益；
?（d）根據(jù)聯(lián)盟或者成員國法律以及保密法規(guī)定的職業(yè)保密制度，個人數(shù)據(jù)必須保密。
?第15條 數(shù)據(jù)訪問權
?數(shù)據(jù)主體應當有權從管理者處確認關于該主體的個人數(shù)據(jù)是否正在被處理，以及有權在該種情況下訪問個人數(shù)據(jù)和以下信息：
?（a）處理的目的；
?（b）有關個人數(shù)據(jù)的類別；
?（c）個人數(shù)據(jù)已經(jīng)被泄露或者將會被泄露給的接受者或接受者類別，特別是第三國或國際組織的接受者；
?（d）在可能的情況下，預想的個人數(shù)據(jù)存儲期間；或者不可能時，用于確定該期間的標準；
?（e）有權要求管理者糾正或刪除該個人數(shù)據(jù)或者限制或拒絕處理關于該數(shù)據(jù)主體的個人數(shù)據(jù)；
?（f）向監(jiān)管機構提出投訴的權利；
?（g）在個人數(shù)據(jù)并非由數(shù)據(jù)主體收集的情況下，關于其來源的任何可用信息。
?（h）自動化決策，包括第22條第1款和第4款提到的概要，以及涉及到的至少在前述情況下有意義的邏輯方面的信息，和這種處理行為對數(shù)據(jù)主體而言的意義和預想的后果。
?如果將個人數(shù)據(jù)轉移到第三國或國際組織，數(shù)據(jù)主體應當有權根據(jù)第46條獲得有關轉讓的適當保障的通知。
?控制者應提供正在處理的個人數(shù)據(jù)的副本。對于數(shù)據(jù)主體要求的任何進一步的文本，控制者可以根據(jù)管理成本收取合理的費用。如果數(shù)據(jù)主體通過電子方式提出請求，除非數(shù)據(jù)主體另有要求，信息應當以常用的電子形式提供。
?獲得第3款所指副本的權利不得對他人的權利和自由產(chǎn)生不利影響。
第16條 糾正權
?數(shù)據(jù)主體應當有權要求控制者無不當延誤地糾正有關其的不準確個人數(shù)據(jù)。考慮到處理的目的，數(shù)據(jù)主體應當有權使不完整的個人數(shù)據(jù)完整，包括通過提供補充聲明的方式。
第17條 擦除權（被遺忘權）
?數(shù)據(jù)主體有權要求控制者無不當延誤地刪除有關其的個人數(shù)據(jù)，并且在下列理由之一的情況下，控制者有義務無不當延誤地刪除個人數(shù)據(jù)：
?（a）就收集或以其他方式處理個人數(shù)據(jù)的目的而言，該個人數(shù)據(jù)已經(jīng)是不必要的；
?（b）數(shù)據(jù)主體根據(jù)第6條第1款（a）項或第9條第2款（a）項撤回同意，并且在沒有其他有關（數(shù)據(jù)）處理的法律依據(jù)的情況下；
?（c）數(shù)據(jù)主體根據(jù)第21條第1款反對處理，并且沒有有關（數(shù)據(jù)）處理的首要合法依據(jù)，或者數(shù)據(jù)主體根據(jù)第21條第2款反對處理；
?（d）個人數(shù)據(jù)被非法處理；
?（e）為遵守控制者所受制的聯(lián)盟或成員國法律規(guī)定的法定義務，個人數(shù)據(jù)必須被刪除；
?（f）個人數(shù)據(jù)是根據(jù)第8條第1款所提及的信息社會服務的提供而收集的。
?如果控制者已將個人數(shù)據(jù)公開，并且根據(jù)第1款有義務刪除這些個人數(shù)據(jù)，控制者在考慮現(xiàn)有技術及實施成本后，應當采取合理步驟，包括技術措施，通知正在處理個人數(shù)據(jù)的控制者，數(shù)據(jù)主體已經(jīng)要求這些控制者刪除該個人數(shù)據(jù)的任何鏈接、副本或復制件。
?當處理（數(shù)據(jù)）對于以下情形而言是必要的時，第1款和第2款不應當被適用：
?（a）為了行使言論和信息自由的權利；
?（b）為了遵守需要由控制者所受制的聯(lián)盟或成員國法律處理的法定義務，或為了公共利益或在行使被授予控制者的官方權限時執(zhí)行任務；
?（c）根據(jù)第9條第2款（h）、（i）項以及第9條第3款，為了公共衛(wèi)生領域的公共利益的原因；
?（d）根據(jù)第89條第1款，為了公共利益的存檔目的、科學或歷史研究目的或統(tǒng)計目的，只要第1款所述的權利很可能表現(xiàn)為不可能的或者很可能嚴重損害該處理目標的實現(xiàn)；
?（e）為了設立、行使或捍衛(wèi)合法權利。
?第18條 限制處理權
?在下列情況之一，數(shù)據(jù)主體應當有權限制控制者處理（數(shù)據(jù)）：
?（a）數(shù)據(jù)主體對個人數(shù)據(jù)的準確性提出爭議，且允許控制者在一定期間內核實個人數(shù)據(jù)的準確性；
?（b）該處理是非法的，并且數(shù)據(jù)主體反對刪除該個人數(shù)據(jù)，而是要求限制使用該個人數(shù)據(jù)；
?（c）控制者基于該處理目的不再需要該個人數(shù)據(jù)，但數(shù)據(jù)主體為設立、行使或捍衛(wèi)合法權利而需要該個人數(shù)據(jù)；
?（d）數(shù)據(jù)主體在核實控制者的法律依據(jù)是否優(yōu)先于數(shù)據(jù)主體的法律依據(jù)之前已根據(jù)第21條第1款反對處理。
?如果處理（行為）根據(jù)第1款受到限制，除儲存之外，這些個人數(shù)據(jù)只應在數(shù)據(jù)主體同意的情況下，或為設立、行使或捍衛(wèi)合法權利，或為保護其他自然人或法人的權利，或為了聯(lián)盟或成員國的重要公共利益的原因被處理。
?根據(jù)第1款有權限制處理（數(shù)據(jù)）的數(shù)據(jù)主體應當在處理限制解除之前收到控制者的通知。
第19條 關于糾正或刪除個人數(shù)據(jù)或限制處理的通知義務
?除非被證明不可能完成或者包含不成比例的工作量，控制者應當將根據(jù)第16條、第17條第1款以及第18條對個人數(shù)據(jù)進行的任何糾正、刪除或者處理限制，傳達給已向其披露個人數(shù)據(jù)的接收者。
?如果數(shù)據(jù)主體請求，控制者應當通知數(shù)據(jù)主體這些接收者。
?第20條 反對權
?數(shù)據(jù)主體有權基于與其特定情況有關的理由，在任何時候依據(jù)第6條第1款（e）項或（f）項拒絕有關其的個人數(shù)據(jù)被處理，包括根據(jù)這些規(guī)定進行概況分析?？刂普卟坏迷偬幚碓搨€人數(shù)據(jù)，除非控制者證明其有關（數(shù)據(jù)）處理的強制性法律依據(jù)優(yōu)先于數(shù)據(jù)主體的利益、權利和自由，或者為了設立、行使或捍衛(wèi)其合法權利。
?如果為了直接營銷的目的而處理個人數(shù)據(jù)，數(shù)據(jù)主體有權在任何時候反對有關其的個人數(shù)據(jù)為進行此類營銷而被處理，其中包括與此類直接營銷相關的概況分析。
?如果數(shù)據(jù)主體反對以直接營銷為目的的處理，則個人數(shù)據(jù)不得再為此目的而被處理。
?最遲在與數(shù)據(jù)主體第一次通信時，第1款和第2款中提到的權利應當明確提請數(shù)據(jù)主體注意，并應清楚地、與任何其他信息分開提交。
?第四節(jié) 拒絕權和自主決定權
?第21條 拒絕權
?1. 數(shù)據(jù)主體擁有拒絕權，在關于他/她的特定情形下，在任何時間處理關系到他/她第6條第1款第（e）或第（f）項規(guī)定的個人數(shù)據(jù)，包括基于這些條款的分析。控制者不能處理個人數(shù)據(jù)，除非控制者能夠證明不顧數(shù)據(jù)主體的利益、權利和自由處理數(shù)據(jù)或者建立、行使或維護這種法律權利具有令人信服的正當化理由。
?2. 個人數(shù)據(jù)因為直接營銷的目的被處理的，數(shù)據(jù)主體應當有權利拒絕在任何時間因為這種商業(yè)目處理關系到他/她的個人數(shù)據(jù)，這種商業(yè)目的包括分析達到有關這種直接營銷的程度。
?3. 數(shù)據(jù)主體拒絕因直接的商業(yè)目的處理數(shù)據(jù)的，個人數(shù)據(jù)不應該因任何這種目的被處理。
?4. 至少在與數(shù)據(jù)主體第一次溝通時，在第一款和第二款指代的權利應該明確地提起數(shù)據(jù)主體的注意，應該被清晰地呈現(xiàn)且與任何其他的信息相區(qū)分。
?5. 在信息社會服務使用的背景下，即使有歐共體2002年的指令，數(shù)據(jù)主體可以通過使用技術規(guī)范的自動化方式行使他/她的拒絕權。
?6. 根據(jù)第89條第1款個人數(shù)據(jù)因科學或歷史研究或統(tǒng)計的目的被處理的，數(shù)據(jù)主體在關于他/她的特定情形下，有權利拒絕對他/她的個人數(shù)據(jù)進行處理，除非這種處理對于一個因為公共利益的任務的履行是必要的。
?第22條 自主化的個人決策，包括分析
?1. 數(shù)據(jù)主體有權利不受一個僅僅依靠包括分析的自動化處理的決定的限制，這會產(chǎn)生關于他/她或僅僅影響他/她的法律后果。
?2. 第一款不適用，如果這個決定：
?（a）對于數(shù)據(jù)主體和一個數(shù)據(jù)控制者之間的一個合同的建立和履行是必要的。
?（b）這個控制者是數(shù)據(jù)主體，以及確立保護數(shù)據(jù)主體權利、自由和正當化利益的適當措施是聯(lián)盟或成員國的法律所規(guī)定的；或
?（c）基于數(shù)據(jù)主體的明確同意。
?3. 在涉及到第2款第（a）和（c）項的情況下，數(shù)據(jù)控制者應當實施適當?shù)拇胧┍Ｗo數(shù)據(jù)主體的權利、自由和正當化利益，至少獲得對控制者部分的人為干預權，表達他/她的觀點和爭奪決定權。
?4. 在第二款涉及的決定不應當基于第9條第1款提及的個人數(shù)據(jù)的特殊分類，除非適用第9條第2款的第（a）或（g）項和確立適當?shù)拇胧┚S護數(shù)據(jù)主體的權利、自由和正當化利益。
?第五節(jié) 限制
?第23條 限制
?1. 聯(lián)盟或成員國的法律規(guī)定數(shù)據(jù)控制者或處理者是主體，可以通過立法措施限制第12條至22條和第34條的權利與義務的范圍，以及第5條中與在第12條至22條的權利義務相對應的條款。這樣一種限制尊重了基本權利和自由的本質，是一種在民主社會必要的、相符合的措施，以此維護：
?（a）國家安全；
?（b）防衛(wèi)；
?（c）公共安全；
?（d）刑事犯罪的預防、調查、偵查、起訴或者刑事處罰的執(zhí)行，包括對公共安全威脅的防范和預防；
?（e）聯(lián)盟或一個成員國一般公共利益的其他重要目標，特別是聯(lián)盟或成員國的重要經(jīng)濟或財政利益，包括貨幣、預算和稅收等事項、公共衛(wèi)生和社會保障；
?（f）司法獨立與司法程序的保護；
?（g）違反職業(yè)道德規(guī)范的預防、調查、偵查和起訴；
?（h）監(jiān)督、檢查或相關的監(jiān)管職能，甚至偶爾行使官方權力在涉及到第（a）（b）（c）（d）（e）（f）和（g）項的情形下。
?（i）對數(shù)據(jù)主體或其他人的權利與自由的保護。
?（j）民事訴訟賠償?shù)膱?zhí)行。
?2. 特別是，在第1款所指的任何立法措施，應至少包含具體的規(guī)定，有關的，如：
?（a）處理的目的或處理的分類；
?（b）個人數(shù)據(jù)的分類；
?（c）引入的限制范圍；
?（d）防止濫用或非法使用或轉讓的保障措施；
?（e）控制者的具體說明或控制者分類；
?（f）存儲期限和適用的保障措施，考慮到性質、范圍和處理的用途或處理的分類；
?（g）對數(shù)據(jù)主體權利和自由的威脅；和
?（h）數(shù)據(jù)主體被告知限制的權利，否則將不利于限制的目的。
?第四章 控制者和處理者
第一節(jié) 基本義務
第24條 控制者的義務
?1. 考慮到性質、范圍、內容和處理的用途以及處理給自然人的權利和自由帶來的不同可能性和嚴重程度的風險，控制者應當實施適當?shù)募夹g和組織措施，以確保并能夠證明，根據(jù)本條例進行處理。這些措施應在必要時進行審查和更新。
?2. 有關處理活動相稱的，第1款所指的措施應包括由控制者實施適當?shù)臄?shù)據(jù)保護政策。
?3. 遵守第40條提及的行為準則或第42條提及的經(jīng)批準的認證機制，可以作為一個元素，以證明符合控制者的義務。
?第25條 通過設計和默認的數(shù)據(jù)保護
?1. 考慮到現(xiàn)狀，執(zhí)行的成本和性質，范圍，內容和處理的用途以及處理給自然人的權利和自由帶來的不同可能性和嚴重程度的風險，控制者應該在確定處理手段和在處理的同時，實施適當?shù)募夹g和組織措施，如匿名化，即目的是實施數(shù)據(jù)保護原則，如數(shù)據(jù)最小化，以有效的方式，在處理時實施必要的保障措施，以符合法律要求，保護數(shù)據(jù)主體的權利。
?2. 控制者應該實施適當?shù)募夹g和組織措施以確保，在默認情況下只有對每個特定處理目的有必要的個人數(shù)據(jù)才能被處理。該義務適用于收集的個人數(shù)據(jù)的數(shù)量，數(shù)據(jù)處理的程度，數(shù)據(jù)的存儲期限和數(shù)據(jù)的可及性。特別是，這些措施應確保在沒有個人對無限數(shù)量自然人的干預下，個人數(shù)據(jù)在默認情況是不可訪問的。
?3. 根據(jù)第42條的經(jīng)批準的認證機制可以作為一個元素，以證明符合本條第1款和第2款的要求。
第26條 聯(lián)合控制者
?1. 當由兩個或兩個以上的控制者共同決定處理的目的和手段時，他們就是聯(lián)合控制者。他們應以明確的方式確定在監(jiān)管規(guī)定下各自的責任與義務，尤其是通過他們之間的安排，確定關于行使數(shù)據(jù)主體的權利和第13條和14條提及的他們各自的提供信息的職責，除非到目前為止，控制者各自的責任由聯(lián)盟或成員國法律確定哪些控制者是主體。這種安排可以指定數(shù)據(jù)主體的聯(lián)系點。
?2. 第一款提到的安排應當及時反映各自的角色和聯(lián)合控制者相對數(shù)據(jù)主體的關系。該安排的實質，應使數(shù)據(jù)主體得知。
?3. 不論在第1款所指的安排條款，數(shù)據(jù)主體可以根據(jù)本規(guī)定行使他或她的權利，不論是否與控制者一致。
第27條 未在聯(lián)盟中設立的控制者或處理者的代理人
?1. 如果適用第3條第2款的，控制者或處理者應當以書面形式指定聯(lián)盟中的代理人。
?2. 該義務不適用于：
?（a）偶然的處理，在一個大的范圍里，不包括對第9條第1款提及的數(shù)據(jù)的特殊類別的處理，或者第10條提及的有關刑事定罪和處罰的個人數(shù)據(jù)的處理，而且考慮到處理的性質、內容、范圍和目的，這種處理不太可能導致自然人的權利和自由的風險；或者
?（b）一個公共權力機關或機構。
?3. 代理人應當被建立在一個成員國中，這些成員國的數(shù)據(jù)主體及其個人數(shù)據(jù)根據(jù)提供給它們的貨物或服務被處理，或者它們的行為被監(jiān)控。
?4. 為確保遵守本條例的目的，代理人應被控制者或處理者授權，以及特別是監(jiān)管機構和數(shù)據(jù)主體的授權來處理所有的相關問題。
?5. 控制者或處理者對代理人的指定，應對于代理人可能做出的不利于控制者或處理者自身的法律行為無損權益。
?第28條 處理者
?1. 當處理是以控制者的名義進行的，控制者只使用處理者實施的適當?shù)募夹g和組織措施提供充分保證，以這種方式使處理滿足法規(guī)的要求，確保對數(shù)據(jù)主體權利的保護。
?2．如果未經(jīng)控制者特別的或一般的的事先書面授權，該控制者不能引入另一個控制者參與。在一般的書面授權的情況下，處理者應該通知控制者任何有關增加或替換其他控制者的變化，以使控制者有機會應對這樣的變化。
?3. 一個處理者的處理應遵守聯(lián)盟或成員國法律下的在合同或其他法律行為，即控制者與處理者相結合，提出處理的主題和處理的期限，性質和處理目的，個人數(shù)據(jù)的類別、數(shù)據(jù)主體的分類和控制者的權利義務。該合同或其他法律行為應規(guī)定，特別是處理者：
?（a）處理個人數(shù)據(jù)只能基于控制者的書面指示，包括有關個人數(shù)據(jù)向一個第三世界國家或一個國際組織的轉移，除非聯(lián)盟或成員國法律所允許這樣做的，該處理者是主體；在這種情況下，處理者在處理之前，應通知控制者有關法律的要求，除非法律由于重大公共利益的原因禁止提供這樣的信息；
?（b） 確保個人被授權處理個人數(shù)據(jù)，且已承諾保密或在適當?shù)姆ǘūＣ芰x務下；
?（c）根據(jù)第32條要求的采取所有措施；
?（d）遵守第2款和第4款提到的引入其他處理者的條件；
?（e）考慮到處理的性質，運用適當?shù)募夹g和組織措施協(xié)助控制者，因為到目前為止這是可能的，為履行控制者的義務，以適應第三章規(guī)定的行使數(shù)據(jù)主體權利的要求；
?（f）考慮到處理的性質和處理者可得到的信息，協(xié)助控制者以確保其遵守第32條至36條規(guī)定的義務；
?（g）一旦選擇了控制者，就需要刪除或向該控制者返還所有的個人數(shù)據(jù)，在提供有關處理服務的最后，刪除現(xiàn)有的版本，聯(lián)盟或成員國法律允許存儲的個人數(shù)據(jù)除外；
?（h）提供給控制者所有必要的信息，以證明符合在本條中規(guī)定的義務，并允許和促進審計，包括檢查，由控制者或由控制者授權的另一核數(shù)師進行。
?關于第一項的第h項，處理者應當立即通知控制者，如果在其看來，一個指令違反了本條例或其他聯(lián)盟或成員國的數(shù)據(jù)保護規(guī)定。
?4. 在處理者引入其他處理者執(zhí)行代表控制者的特定處理活動，第3款提及的控制者和處理者之間的合同或其他法律行為中的相同的數(shù)據(jù)保護的要求，應通過聯(lián)盟或成員國法律在合同或其他法律行為施加給其他處理者，特別是實施適當?shù)募夹g和組織措施提供充分保證，以這樣的方式，確保處理能滿足本規(guī)范要求。其他處理者未能履行其數(shù)據(jù)保護義務的，最初處理者應保持就其他處理者義務的履行對控制者承擔責任。
?5. 第40條所提及的一個處理者遵守的一個被認可的行為準則，或在第42條提及的一個經(jīng)批準的認證機制，可以作為一個元素用來證明本條的第1款和第4款中提到的充分保證。
?6. 在不損害控制者和處理者之間的單個合同情況下，在本條第3款和第4款提及的合同或其他法律行為，可能基于，本條第7款和第8款提及的標準化的合同條款的全部或部分，包括當它們成為依據(jù)第42條和第43條授權給控制者和處理者的認證的一部分。
?7. 歐盟委員會可就本條第3款和第4款所指的事項制定標準化的合同條款，并按照第93條第2款所指的審查程序。
?8. 監(jiān)督機關可以采用根據(jù)本條第3款和第4款所指事項的標準化的合同條款，并按照第63條所指的一致性機制。
?9. 第3款和第4款所指的合同或其他法律行為，應當以書面形式，包括電子形式；
?10. 在不損害第82條、83條和84條的情況下，如果一個處理者違反本條例的規(guī)定決定處理的目的和手段，該處理者可以在處理方面被認為是控制者。
第29條 在控制者或處理者的權限下處理
?有權訪問個人數(shù)據(jù)的處理者以及在控制者或處理者的權限下作為的任何人，除控制者指令外不得處理那些數(shù)據(jù)，除非聯(lián)盟或成員國法律允許這么做。
?第30條 處理活動的記錄
?1. 每一位控制者，以及如適用控制者的代理人，應當依其職責保持處理活動的記錄。那個記錄應當包括以下所有信息：
?（a）控制者以及如適用的聯(lián)合控制者、控制者代理人和數(shù)據(jù)保護員的姓名和聯(lián)系信息；
?（b）處理的目的；
?（c）數(shù)據(jù)主體的類別和個人數(shù)據(jù)的分類的描述；
?（d）個人數(shù)據(jù)已經(jīng)或將要被公開的收件人的類別，包括在第三世界國家或國際組織的收件人；
?（e）如適用，將個人數(shù)據(jù)向第三世界國家或國際組織的傳輸，包括該第三國或國際組織的鑒定，以及在第49條第1款第二款提及的傳輸?shù)那闆r下，對文檔采取適當?shù)陌踩胧?/p>
?（f）如可能，則對擦除不同類別的數(shù)據(jù)設定時間限制；
?（g）如可能，對第32條第1項提及的技術和組織安全措施進行一般性描述。
?第31條 和監(jiān)督機構的合作
?在事務執(zhí)行的過程之中，應用控制者、應用處理者以及它們的代表，應當根據(jù)要求與監(jiān)管機構進行合作。
第32條 處理過程的安全性
?1.統(tǒng)籌考慮最先進的技術、實施成本、處理過程（包括其性質、范圍、目的）以及自然人自由權利變化可能性和嚴重性的風險?？刂普?、處理者應當執(zhí)行合適的技術措施和有組織性的措施來保證合理應對風險的安全水平，尤其要酌定考慮以下因素：
?（a）個人數(shù)據(jù)的匿名化和加密；
?（b）數(shù)據(jù)系統(tǒng)保持持續(xù)的保密性、完整性、可用性以及彈性的能力；
?（c）在發(fā)生自然事故或者技術事故發(fā)的情況下，存儲有用信息以及及時獲取個人信息的能力；
?（d）定期對測試、訪問、評估技術性措施以及組織性措施的有效性進行處理，力求確保處理過程的安全性。
?2.安全賬戶的等級評估應當尤其重視處理過程中的風險問題，特別是抵御意外和非法銷毀、損失、變更、未經(jīng)授權披露或者是個人數(shù)據(jù)的傳送、存儲和處理過程中的風險。
?3.參考第40條采取一種合法行為或者參考42條采取一種認證機制，這可以用來說明本條第一款要求的合規(guī)性。
?4.控制者以及處理者應當逐步采取措施，以求確保在部門規(guī)制之下操作個人數(shù)據(jù)的自然人不能對數(shù)據(jù)進行處理，除非獲得控制者的指示，或者其根據(jù)聯(lián)邦或州憲法確有必要。
第33條 監(jiān)管機構對個人數(shù)據(jù)泄露的通知
?1.在個人數(shù)據(jù)泄露的情況下，控制者不能不當延誤，而且至少應當在知道之時起72小時以內，根據(jù)第55條向監(jiān)管機構進行通知，除非個人數(shù)據(jù)的泄露不會導致自然人權利和自由的風險。如果通知遲于72小時，需要對遲延原因進行解釋。
?2.在控制者知道發(fā)生信息泄露而不當延誤時，處理者應當通知控制者。
?3.第一款所說的通知，至少應當包括：
?（a）對于所泄露的個人數(shù)據(jù)的性質進行描述，包括相關數(shù)據(jù)主體以及數(shù)據(jù)記錄的種類和大致數(shù)量；
?（b）和數(shù)據(jù)保護局或者是其他獲取更多信息的聯(lián)系點交流名稱和聯(lián)系方式；
?（c）描述個人信息泄露的可能情況；
?（d）重視個人數(shù)據(jù)泄露問題，描述控制者采取的或者計劃采取的措施，包括在適當情況下能夠減輕可能的負面影響的措施。
?4.只要沒有造成不適當?shù)倪M一步延誤，在信息不可能同時提供的情況下可以分階段進行。
?5.控制者應當記錄任何個人數(shù)據(jù)泄露情況，包括和個人數(shù)據(jù)泄露有關的事實、影響和采取的補救性措施，這些可以使得監(jiān)管機構驗證行為的合規(guī)性。
第34條 關于數(shù)據(jù)主體的個人數(shù)據(jù)交流
?當個人數(shù)據(jù)泄露可能對自然人權利和自由形成很高的風險時，控制者應當毫不延誤地就個人數(shù)據(jù)泄露的主體進行交流。
?本條第一款提到的數(shù)據(jù)主體交流，應當至少應當包括第33條第三款的（b）（c）（d）三項所涉及的信息和建議，并且用清晰平實的語言描述個人數(shù)據(jù)泄露的性質以及內容。
?在一下這些情況下，不能適用第一款所提到的數(shù)據(jù)主體交流：
?（a）控制者已經(jīng)采取合適的技術性、組織性保護措施，而且此類措施已經(jīng)被應用于受到信息泄露影響的個人信息之中，尤其是那些未經(jīng)授權任何人都無法得知的技術，比如，數(shù)據(jù)加密技術；
?（b）控制者已經(jīng)采取能夠確保第一款所提到的（自然人）權利和自由不受侵犯的高風險不再可能實現(xiàn)的措施。
?（c）這會涉及到不相稱的努力。在這樣的情況下，就應當有一個能夠使得數(shù)據(jù)主體獲得平等有效通知的公共交流機制或者相類似的舉措。
?如果控制者并未就數(shù)據(jù)主體進行個人數(shù)據(jù)交流，考慮到個人數(shù)據(jù)信息泄露的高度風險，監(jiān)管機構可以要求其這樣做或者可以決定其符合第三款列出的任何條件。
?【指導老師】
?李愛君
?【翻譯成員】
?方穎、方宇菲、任依依、李廷達、王璇、姚嵐
敬請期待《一般數(shù)據(jù)保護法案》全文翻譯（二）
?注：本文來源于微信公眾號-互聯(lián)網(wǎng)金融監(jiān)管，轉載請注明出處！數(shù)據(jù)觀微信公眾號（ID:cbdioreview），欲了解更多大數(shù)據(jù)行業(yè)相關資訊，可搜索數(shù)據(jù)觀（中國大數(shù)據(jù)產(chǎn)業(yè)觀察網(wǎng)www.21jieyan.cn）進入查看。
?
責任編輯：陳近梅