通用数据保护条例

《通用数据保护条例》（GDPR），正式名称为《欧盟第2016/679号条例》，是欧洲联盟规范个人数据处理及此类数据自由流动的法律。该条例于2016年4月27日通过，自2018年5月25日起适用，取代了1995年的《数据保护指令》。它保护自然人的基本权利与自由，尤其是个人数据保护权，同时在整个欧盟建立统一的监管框架。(eur-lex.europa.eu)

GDPR将合法处理数据的原则、可依法主张的个人权利、组织的问责义务以及独立公共机关的监督结合起来。根据其地域适用规则，欧盟以外的组织若向欧盟境内的人提供商品或服务，或监测他们在欧盟境内的行为，也可能受该条例约束；其保护范围并不限于欧盟公民。因此，该条例的影响超越了欧洲边界，延伸至国际商业和数字服务领域。(commission.europa.eu)

该条例规定了个人数据的收集、使用、安全保护、保存及跨境传输方式。其实施将数据隐私与数据治理、网络安全及个人权利保护联系起来。要理解该条例，既需要关注其实体规则，也需要关注落实这些规则的机构、救济机制及相关法律。(commission.europa.eu)

法律基础与立法发展

欧洲数据保护法的发展依托于彼此不同的国际法律框架和欧盟法律框架。欧洲委员会于1981年1月28日开放第108号公约——《个人数据自动化处理中的个人保护公约》供签署。这是首份专门针对数据保护、具有法律约束力的国际文书，要求缔约方通过国内立法落实其原则。它是欧洲委员会的条约，而非欧盟立法。在欧盟框架内，欧洲议会和欧盟理事会于1995年10月24日通过了第95/46/EC号指令。该指令兼顾个人基本权利的保护与个人数据的自由流动，并就数据质量、合法处理、个人权利及独立监督确立了要求。作为一项指令，它需要各国制定实施法律，而非直接提供一套可适用的监管规则。(coe.int)

《通用数据保护条例》的条约依据是《欧洲联盟运行条约》第16条。第16条第1款承认每个人都有权获得个人数据保护；第16条第2款授权欧洲议会和欧盟理事会依照普通立法程序，就数据保护及此类数据的自由流动制定法律，并由独立机构监督法律的遵守情况。《欧盟基本权利宪章》区分了两项相互关联的保障：第7条保护私人和家庭生活、住所及通信，第8条则明确保护个人数据。第8条还要求为特定目的公平处理数据，以当事人同意或其他正当法律依据为基础，保障查阅和更正数据的权利，并由独立机构实施监督。这些规定将数据保护确立为一项基本权利，而不仅仅是规范商业信息流动的规则。(eur-lex.europa.eu)

欧盟委员会于2012年1月25日提出了条例草案。草案的说明备忘录指出，1995年指令在各国的实施存在碎片化现象、保护水平不一致以及法律不确定性，这些都是改革的原因。委员会选择采用条例这一法律形式，以便依据《欧洲联盟运行条约》第288条，通过直接适用确立协调一致的核心规则。欧洲议会、欧盟理事会和欧盟委员会的谈判代表于2015年12月15日达成协议，欧盟理事会常驻代表委员会于12月18日认可了这一折中方案。扬·菲利普·阿尔布雷希特担任欧洲议会的报告员，推动草案在议会内部的审议进程；欧洲议会于2016年4月14日最终批准了该草案。(eur-lex.europa.eu)

最终形成的第2016/679号欧盟条例于2016年4月27日通过，并于2016年5月4日刊登在《欧盟官方公报》上。这里需要区分三个法律上的关键节点：通过标志着该立法文件的正式确立；2016年5月24日，即公布后的第20天生效，使其成为欧盟法律体系的一部分；而自2018年5月25日起适用，则意味着过渡期结束后，其实质性要求开始适用。第95/46/EC号指令也自同一适用日期起废止。第1条规定了该条例相互配合的两项目标：保护自然人的基本权利和自由，尤其是个人数据保护权，以及保障个人数据在欧盟内部自由流动。不得以与个人数据保护有关的理由限制或禁止此类流动。(eur-lex.europa.eu)

直接适用意味着《通用数据保护条例》无须转化为国内法。不过，该条例仍将某些特定责任和选择权留给成员国。第51条要求成员国设立独立的监督机构，第88条则允许通过立法或集体协议，就与就业有关的数据处理制定更具体的规则。第86条允许通过成员国法律或欧盟法律，协调公众查阅官方文件的权利与个人数据保护。因此，各国的实施法律是为该条例提供制度安排以及条例明确允许制定的规则，而非以各自独立的国内制度取代其共同框架。(eur-lex.europa.eu)

个人数据与适用范围的界限

第4条第1款将个人数据定义为与已识别或可识别的自然人有关的信息，该自然人称为数据主体。识别可以通过姓名直接进行，也可以通过身份识别号码、位置数据、在线标识符或个人身份特征间接进行。例如，客户编号、手机位置、IP地址、Cookie标识符以及可识别个人身份的照片，都属于此类信息。信息不必单独就能指明某个人：多个属性结合起来可能识别出一个人，而有关此人偏好或购买记录的信息也可能属于个人数据。这一定义针对的是自然人，而非公司本身；因此，公司注册号与可识别其员工身份的信息并不相同。(edpb.europa.eu)

处理涵盖对个人数据进行的各种操作，无论是自动化操作还是人工操作，包括收集、记录、整理、存储、查阅、更改、披露、组合、限制，以及删除或销毁。仅仅保留记录、查询客户数据库，或用碎纸机销毁可识别个人身份的文件，也可能构成处理。根据第2条第1款，条例的实质适用范围包括全部或部分自动化的处理，以及对已纳入或拟纳入档案系统的数据进行的非自动化处理。第4条第6款将档案系统定义为可按特定标准检索的结构化数据集合，无论其集中存放、分散存放，还是分布于不同地理位置。按姓名字母顺序排列的纸质客户名册符合这一定义；没有结构化整理的纸质档案，并不会仅因包含姓名就被纳入非自动化处理的适用范围。(commission.europa.eu)

匿名化必须与假名化和加密区分开来。根据第4条第5款，假名化使数据在不借助额外信息的情况下无法关联到某个特定个人，而这些额外信息必须单独保存并受到保护。用代码替代员工姓名，同时另行保留代码与姓名的对应表，就是这种机制的例子；这本身并不会使记录成为匿名数据。同样，只要仍有可能识别个人身份，加密就不会使相关信息脱离GDPR的适用范围。序言第26段要求，在评估个人是否可被识别时，应参照控制者或其他人合理可能采用的手段，并考虑成本、时间、现有技术及技术发展。经过妥善匿名化、按照上述评估已无法识别个人身份的信息，不属于条例的适用范围；仅删除姓名并不足够。(eur-lex.europa.eu)

第2条将个人在纯粹的私人或家庭活动中进行的数据处理排除在适用范围之外。序言第18段列举了私人通信、通讯录和个人社交网络活动等可能的例子，同时明确指出，提供处理设施的组织仍受条例约束。这一排除规定不适用于职业或商业活动。不属于欧盟法律适用范围的活动，包括国家安全活动，也被排除在外。主管机关为特定刑事执法目的进行的数据处理，适用单独的《执法指令》制度，而非GDPR。(eur-lex.europa.eu)

地域适用范围取决于处理活动，而不只是服务器的位置。第3条第1款涵盖在欧盟境内机构的活动背景下进行的数据处理，即使处理发生在其他地方也是如此。设立机构意味着通过稳定的组织安排开展真实、有效的活动，并不一定要求注册成立法人。欧洲数据保护委员会于2019年11月12日通过最终版本的地域适用范围指南，其中以一家总部位于斯德哥尔摩、通过新加坡分支机构处理临床试验数据的制药公司为例说明：在境外处理数据，并不会消除基于境内机构而产生的适用联系。通过欧洲经济区框架，GDPR的适用范围还延伸至冰岛、列支敦士登和挪威。(edpb.europa.eu)

第3条第2款还涵盖未在欧盟设立机构的组织所进行的相关数据处理，条件是这些组织向身处欧盟的人提供商品或服务，包括免费服务，或者监测发生在欧盟境内的行为。仅仅能够访问某个网站，不足以证明其面向该市场提供商品或服务；必须有证据表明其以该市场为目标。监测可包括为分析行为而追踪位置或在线活动。国籍本身既不能确立适用关系，也不能排除适用关系：委员会举例指出，一家仅在台湾经营的银行为居住在台湾的德国公民提供服务，其数据处理不会仅因这些客户的国籍而受条例约束。反过来，基于境内机构而适用条例，也不要求数据主体本人身处欧盟。(edpb.europa.eu)

处理原则与合法依据

第5条规定了处理个人数据时必须同时满足的各项要求。合法性、公平性和透明度要求处理具备有效的法律依据，公平对待个人，并以易于理解和获取的方式说明如何使用其信息；具备合法依据并不意味着可以免除公平性或透明度要求。目的限制要求处理目的具体、明确且正当，并禁止后续将数据用于与这些目的不相容的用途。数据最小化要求信息限于实现这些目的所需的适当、相关且必要的范围。准确性要求结合信息的预期用途，采取合理措施，及时纠正或删除不准确的信息。存储期限限制要求，以能够识别个人身份的形式保留数据的时间不得超过必要期限：GDPR并未规定统一的保存期限。完整性和保密性要求采取适当措施，防范未经授权或违法的处理，以及意外丢失、毁损或损坏。根据问责原则，控制者既必须遵守这些原则，也必须能够证明自身遵守了这些原则。无论选择何种法律依据，这些要求都独立地约束数据处理。(eur-lex.europa.eu)

第6条第1款规定了六种合法依据：个人对特定目的给予的同意；为履行与个人订立的合同，或应其请求采取订约前措施所必需的处理；履行对控制者具有约束力的法律义务；保护该个人或另一自然人的重大利益；执行公共利益任务或行使授予控制者的公权力；以及为实现控制者或第三方的正当利益而进行的处理，但不得凌驾于个人应优先受到保护的利益和权利之上。法律义务和公共任务必须以欧盟或成员国法律为依据。因此，并非所有处理都必须取得同意：雇主可以为履行法定社会保障义务而处理信息，无须征得员工许可。例如，为实施紧急救治而传递失去意识的事故受害者的信息，可以保护重大利益为依据，不过，涉及敏感信息时还须满足第9条中适用的条件。(commission.europa.eu)

以合同为依据，关键在于处理是否具有客观必要性，而非处理是否被写入合同条款。零售商可能需要付款信息才能完成购买，但推荐其他商品并不会因此成为履行该笔购买所必需的处理。根据合同法，协议的有效性及其实际目的至关重要；将额外的数据处理写入标准条款，不能人为扩大这一依据的适用范围。因此，同一客户关系中的不同处理活动可能分别依赖不同依据，例如，交易处理以履行合同为依据，而后续会计记录的保存则以法定义务为依据。(edpb.europa.eu)

以同意为依据时，第4条第11项和第7条要求同意必须是自由作出、具体、知情且明确的，并通过清晰的肯定行为表达。预先勾选的复选框不足以构成同意。不同目的需要提供足够具体的选择，征求同意时必须使用清晰、易于理解的语言，而不能将请求隐藏在一般条款之中。控制者必须能够证明已取得同意。必须事先告知个人，其可以随时撤回同意，而且撤回同意应与给予同意同样容易。撤回同意不会追溯性地使同意有效期间进行的处理失去合法性，但依赖该同意的处理必须停止。权力不对等，尤其是雇主与员工之间的权力不对等，可能使个人无法作出真正自由的选择。(edpb.europa.eu)

正当利益要求完成三项必须同时满足的评估：确定一项正当利益，确认处理是实现该利益所必需的，并权衡该利益与个人的利益及基本权利和自由。必要性评估包括考察是否存在合理可用、同样有效而侵扰更小的手段。利益权衡须考虑个人的合理预期、其与控制者的关系、处理后果以及保障措施；儿童应得到特别考虑。防范欺诈可能构成正当利益，但这并不意味着任何拟采用的技术都自动获得许可。公共机关在履行职责过程中处理数据时，不得援引第6条第1款第(f)项。(edpb.europa.eu)

对于并非基于重新取得的同意或符合条件的欧盟或国内法律规定而开展的进一步处理，第6条第4款要求进行相容性评估。相关因素包括原始目的与拟议目的之间的关联、收集信息的背景及与个人的关系、信息的性质、可能产生的后果，以及加密或假名化等保障措施。序言第50段解释，与原始目的相容的进一步处理，无须另行取得不同于最初收集时所依据的法律依据。不过，相容性仍是一项实质性要求：欧盟委员会的示例区分了两种情况，一种是银行评估现有借款人是否符合更优金融产品的申请条件，另一种则是出于不相容的目的，与保险公司共享该借款人的信息。(eur-lex.europa.eu)

特殊类别数据与儿童

第9条第1款对以下个人数据规定了特殊保护：揭示种族或族裔出身、政治观点、宗教或哲学信仰、工会成员身份的数据；基因数据；为唯一识别个人而处理的生物识别数据；健康数据；以及涉及性生活或性取向的数据。这些类别通常被称为敏感数据，但其是否属于法律保护范围，取决于所涉及的信息和处理方式。普通照片并不会自动成为特殊类别的生物识别数据；只有经过特定技术处理，例如用于唯一识别个人的面部识别，才会被纳入这一类别。健康数据包括有关身体或心理健康的信息，而不仅限于正式诊断。儿童数据并不会自动归入第9条规定的类别，但有关儿童健康或基因特征的信息，与成年人的同类信息一样，属于相应的受保护类别。(eur-lex.europa.eu)

原则上，禁止处理第9条所规定的数据，除非符合第9条第2款列出的十项条件之一。这是一项额外要求，不能替代第6条规定的合法处理依据：数据控制者必须同时满足这两条的规定。为特定目的取得明确同意是其中一项条件，但如果欧盟或成员国的立法规定同意不能解除该项禁令，则不适用。其他条件包括：履行法律授权的就业和社会保护义务；在当事人无法表示同意时保护其重大利益；政治、宗教、哲学或工会性质的非营利组织开展特定活动；处理个人明显自行公开的信息；以及确立、行使或维护法律请求权。因此，仅有第6条规定的合法利益依据，并不足以授权处理特殊类别数据。(edpb.europa.eu)

医疗保健、重大公共利益、公共卫生和研究各有不同的适用条件，并非一概获得豁免。第9条第2款(h)项允许基于规定的法律依据或与专业人员订立的合同，为医疗和社会照护所必需的目的处理数据，但须遵守第9条第3款的保密要求。例如，诊所可以在医生负责的情况下记录症状和处方药物，而不必将明确同意作为满足第9条的必要条件。为重大公共利益和公共卫生目的处理数据，必须有欧盟或成员国法律的支持，并采取适当保障措施。同样，第9条第2款(j)项要求，为公共利益归档、科学或历史研究，或统计学目的处理数据，必须有法律依据，并采取第89条第1款规定的保障措施。这些措施包括数据最小化，以及在适当情况下进行假名化处理。第9条第4款允许成员国对基因数据、生物识别数据和健康数据施加进一步条件。(commission.europa.eu)

刑事定罪和犯罪数据，包括相关的安全措施，由第10条单独规范，并不属于第9条规定的特殊类别。基于第6条第1款进行的处理，只有在官方机构监督下，或在欧盟或成员国法律授权并规定适当保障措施的情况下，才被允许。完整的刑事定罪登记册只能在官方机构监督下保存。因此，仅凭个人同意，并不能满足第10条所要求的额外授权。(eur-lex.europa.eu)

儿童享有特别的数据保护保障，包括以清晰、易懂且适合其年龄的语言向其提供信息。第8条针对的是一个更具体的情形：在直接向儿童提供信息社会服务，例如符合相关条件的社交媒体或在线游戏服务时，以同意为依据处理数据。儿童能够独立作出此类同意的默认年龄为16岁；成员国可以通过法律降低这一年龄，但不得低于13岁。对于未达到适用年龄门槛的儿童，必须由承担父母责任的人作出或授权该项同意，数据控制者则必须利用现有技术，尽合理努力核实该项授权。因此，第8条既不是对使用互联网设定普遍适用的最低年龄，也不要求所有涉及儿童的数据处理活动都取得父母同意。此外，该条不影响各国合同法中有关儿童订立合同的规则。(edpb.europa.eu)

个人权利与自动化决策

第13条和第14条要求数据控制者说明由谁处理个人数据、处理目的及法律依据，并告知数据接收方、保存期限、适用的权利和投诉程序。直接向个人收集数据时，须在收集时提供这些信息。从其他来源获取数据时，控制者还须说明数据类别及来源，通常应在一个月内告知；但如果首次沟通或披露发生得更早，则须提前告知。第14条规定了附带条件的例外，包括告知需付出不成比例的努力、法律规定的收集或披露，以及职业保密义务。第15条赋予个人确认其数据是否受到处理、获取数据及相关背景信息，以及取得数据副本的权利，但提供副本须尊重他人的权利。第16条允许个人要求更正不准确的数据和补全不完整的数据，例如更新客户的地址。(edpb.europa.eu)

第17条规定的删除权适用于特定情形：数据已不再必要、处理违法、同意已撤回且不存在其他合法依据、反对处理的请求成立，或法律要求删除。该权利也涵盖通过向儿童提供的信息社会服务所收集的、符合条件的数据。删除并非无条件进行：例外规定旨在保障表达自由与信息自由、履行法定义务和公共任务、维护公共卫生利益、开展符合条件的归档或研究，以及提出、行使或抗辩法律请求。第18条则规定，在核实数据准确性或审查反对处理的请求期间，应限制数据使用；如果处理违法，但个人要求限制处理而非删除，或者个人为提出、行使或抗辩法律请求而需要原本已无必要保留的数据，也可限制处理。受限制的数据可以继续保存；进一步处理须取得同意，或符合其他规定的例外，例如保护他人的权利或重大公共利益。解除限制前，必须告知个人。(commission.europa.eu)

根据第21条，个人可以基于与其特定情况有关的理由，反对以正当利益或公共任务为依据的数据处理。除非控制者能够证明存在优先于个人权益、具有压倒性的正当理由，或为提出、行使或抗辩法律请求而需要这些数据，否则必须停止处理。直接营销则有所不同：一旦个人提出反对，就必须停止为该目的进行的处理，包括相关的画像分析，无须权衡是否存在优先利益。最迟在首次与个人沟通时，必须单独、醒目地提示其反对权。(eur-lex.europa.eu)

第20条规定的数据可携带性权利涉及个人提供的、基于同意或合同而以自动化方式处理的数据。该条要求以结构化、常用且机器可读的格式提供数据，并允许在技术可行的情况下，由一个控制者直接向另一个控制者传输数据。(europa.eu) 欧洲数据保护委员会认为，“提供”包括通过观察个人行为获得的数据，但不包括控制者生成的推断信息；其举例包括在音乐流媒体服务之间转移播放列表。(edpb.europa.eu) 与数据可携带性不同，访问权不限于基于同意或合同的自动化处理，通常也不要求以可重复使用的机器可读格式导出数据。行使数据可携带性权利既不会自动删除原始记录，也不能凌驾于其他个人的权利之上。(europa.eu)

第22条原则上禁止作出会产生法律效力或类似重大影响的完全自动化决策，包括基于画像分析作出的决策。例外情形包括订立或履行合同所必需、个人明确同意，或欧盟或成员国法律予以授权并规定适当保障措施。对于基于合同必要性和同意的情形，保障措施必须包括人工介入、表达个人观点以及对决定提出异议。处理特殊类别数据须取得明确同意，或满足重大公共利益条件，并采取适当保障措施。(eur-lex.europa.eu) 人工参与必须让参与者拥有实质性的控制权，而不能仅停留于名义上的参与；自动拒绝求职者，或决定是否给予信贷资格，均可能达到重大影响的门槛。第13至15条还要求就相关决策逻辑、重要性及预期后果提供有实质意义的信息。(europa.eu) 2023年12月7日，欧盟法院在 SCHUFA Holding（信用评分） 案（案号C-634/21）中裁定，如果贷款机构在决定是否发放贷款时赋予信用评分决定性作用，自动化信用评分就属于第22条的适用范围。(curia.europa.eu)

第12条通常要求控制者在收到行使权利的请求后，不得无故拖延，并须在一个月内答复。请求的复杂程度或数量可以构成再延长两个月的理由，但必须在最初的一个月内通知个人并说明理由。提出请求通常免费；对于能够证明明显缺乏依据或过度的请求，控制者可以根据行政成本收费，或拒绝处理。拒绝时，必须说明理由，并告知个人可以向监管机构投诉及寻求司法救济的途径。(commission.europa.eu)

控制者、处理者与组织问责

数据控制者决定处理个人数据的目的和关键方式；数据处理者则代表控制者处理数据。这些角色取决于实际开展的活动，而不只是合同中的称谓。例如，雇主决定为发放薪资而处理员工数据，即使外部薪资服务公司完全按照雇主的指示处理这些数据，雇主仍然是控制者。处理者可以自行选择具体实施细节，但不能自行决定处理目的。如果处理者开始独立决定处理目的和方式，就会成为该项处理活动的控制者。欧洲数据保护委员会于2021年7月7日通过最终版本的《第07/2020号指南》，解释了这种基于实际职能的责任划分。(edpb.europa.eu)

两个或两个以上实体共同决定处理目的和方式时，即构成共同控制者。各方的参与程度不必相等；共同决定既可以来自各方共同作出的决策，也可以来自相互配合、使处理活动不可分割的决策。第26条要求共同控制者以透明的安排划分合规责任，尤其是告知义务以及处理个人权利请求的责任，除非适用法律已经明确规定这些责任。该安排的核心内容必须向个人公开。尽管安排可以指定一个联系窗口，个人仍可向每一个共同控制者行使权利；该安排不能剥夺这些法定权利。(edpb.europa.eu)

第28条要求控制者选择能够提供充分合规保障的处理者，并签订具有约束力的书面合同，或通过其他具有约束力的法律文件确立双方关系，也可采用电子形式。合同或法律文件必须明确处理活动的事项、期限、性质和目的、数据类型、所涉个人类别，以及控制者的义务和权利。必须纳入的条款涵盖有记录可查的指示、保密、安全、协助处理权利请求及履行风险相关义务、审计，以及在服务结束时返还或删除数据，但法律要求保留的数据除外。使用次级处理者须事先取得特定或一般书面授权；在一般授权的情况下，处理者须就拟议变更发出通知，并给予控制者提出异议的机会。次级处理者必须承担同等的数据保护义务，最初的处理者仍须就次级处理者履行义务的情况向控制者承担全部责任。处理者还直接承担法定义务：外包并不意味着处理者只是合同上的代理人而无需承担监管责任。(edpb.europa.eu)

问责要求组织在数据治理中提供合规证据。第30条规定的记录应载明处理目的、数据类别和所涉个人类别、接收方、适用的国际数据传输情况，以及在可能的情况下，数据保留期限和安全措施。处理者须记录其为每个控制者开展的处理活动类别。记录必须采用书面形式，包括电子形式，并在监管机构要求时提供。雇员少于250人的组织所享有的豁免是有条件的：非偶发性的处理、可能危及个人权利和自由的处理，或涉及特殊类别数据或刑事犯罪数据的处理，仍须遵守记录保存要求。因此，日常员工管理不能仅因雇主规模较小而获得豁免。(edpb.europa.eu)

第25条要求控制者在确定处理方式时以及处理过程中，将数据保护融入设计。适当措施可包括假名化和加密。默认数据保护是指将数据收集、处理、保留和可访问范围限制在各项处理目的所必需的程度；社交媒体服务从一开始就限制个人资料的可见范围，便是这种机制的例子。依据第40条获批的行为准则，以及第42—43条规定的认证机制，都是用于证明合规的自愿性工具。行为准则可以将法律要求转化为特定行业的实践，而认证则依据获批标准评估处理活动。这两种工具均不能替代合规义务，也不能转移控制者或处理者的责任。(commission.europa.eu)

以下主体必须任命数据保护官（DPO）：公共机关或公共机构，但履行司法职能的法院除外；核心活动需要进行定期、系统性大规模监测的组织；以及核心活动涉及大规模处理特殊类别数据，或刑事定罪及犯罪数据的组织。医院对患者数据的常规处理属于大规模处理，而个体医生执业中的数据处理则不属于此类。数据保护官的选任须依据其专业素质，以及在数据保护法律和实践方面的专业知识。数据保护官负责提供建议、监督合规、就影响评估提供建议，并与监管机构合作。保障其独立性需要提供充足资源，使其直接向最高管理层报告，不对其履行数据保护官职责发出指示，不因其履行职责而将其解雇或施加处罚，并避免安排存在利益冲突的职责。任命数据保护官并不意味着将组织的责任转移给数据保护官。(eur-lex.europa.eu)

风险评估、安全与数据泄露通知

第32条要求数据控制者和数据处理者采取技术和组织措施，提供与个人权利和自由所面临风险相适应的安全保障。评估时应考虑现有技术水平、实施成本、处理的性质、范围、背景和目的，以及损害发生的可能性和严重程度。条文列明的措施包括假名化和加密，持续保障保密性、完整性、可用性和韧性，在发生物理或技术事件后及时恢复，以及定期测试安全措施。这些要求取决于风险，而非一份统一的技术核查清单。欧洲数据保护委员会（EDPB）列举了若干实际管控措施，如为用户设置独立账户、按需授予访问权限、撤销不再需要的权限、备份、日志记录、物理防护和员工培训。这里所关注的风险是对个人造成的损害，而不只是商业损失：例如，无法查阅患者病历可能导致未能发现药物相互作用。(eur-lex.europa.eu)

根据第35条，数据控制者在开展可能产生高风险的处理活动之前，必须进行数据保护影响评估（DPIA）。法律明确规定的触发情形包括：系统性、大范围地开展自动化评估，并据此作出具有法律效力或类似重大影响的决定；大规模处理特殊类别数据，或与刑事定罪及犯罪有关的数据；以及对公众可进入的区域进行系统性、大规模监控。监管机构也会公布必须进行评估的处理活动清单。数据保护影响评估应描述拟开展的处理活动及其目的，评估必要性和相称性，识别个人面临的风险，并列明保障措施及能够证明合规的机制。如已指定数据保护官，则必须征求其意见。当处理风险发生变化时，必须重新审查评估。根据第36条，如果适当措施仍无法降低已识别的高风险，数据控制者必须在开展处理活动前咨询监管机构。(eur-lex.europa.eu)

个人数据泄露是指导致个人数据被意外或非法销毁、丢失、篡改、未经授权披露或访问的安全失效。因此，其范围并不限于信息窃取。将电子邮件发送给错误的收件人可能损害保密性；未经授权修改记录可能损害完整性；勒索软件或意外删除则可能损害可用性。一次事件可能同时影响多个方面，暂时无法使用数据也可能构成个人数据泄露。反之，如果个人数据未受损害，广义上的网络安全事件并不一定构成个人数据泄露。EDPB于2021年12月14日通过的案例指南说明，即使勒索软件未将数据窃取并传出，也仍可能构成个人数据泄露；而利用有效备份迅速恢复数据，可以减轻事件后果，并影响是否需要发出通知的判断。(edpb.europa.eu)

第33条要求数据处理者在知悉数据泄露后，不得无故拖延，须通知数据控制者；法律并未另行给予数据处理者72小时的通知期限。数据控制者必须在知悉后，不得无故拖延地通知主管监管机构，并在可行的情况下于72小时内完成通知，除非该数据泄露不太可能对个人的权利和自由构成风险。所谓知悉，是指已有合理程度的把握，确认某一事件已危及个人数据，而不是已经完成所有调查步骤。逾期通知必须说明原因；如果信息尚不完整，可以分阶段补充，但不得再有不当拖延。通知应说明数据泄露情况，在可能的情况下列明受影响个人和记录的类别及大致数量，并说明可能造成的后果、应对措施，以及数据保护官或其他联络人的联系方式。(edpb.europa.eu)

第34条为通知受影响个人设定了更高的门槛：如果数据泄露可能导致高风险，则必须使用清晰易懂的语言，不得无故拖延地告知相关个人。告知内容应包括数据泄露的性质、联系方式、可能造成的后果和补救措施。如果所采取的保障措施，尤其是有效加密，使未经授权者无法理解受影响的数据，或者后续措施确保高风险不再可能成为现实，则无需逐一通知相关个人。如果逐一通知需要付出不成比例的努力，则须改为发布同样有效的公开通知或采取类似措施。无论是否达到通知门槛，第33条第5款都要求对每一起数据泄露进行记录，包括其事实、影响和补救行动，以便监管机构核查合规情况。(edpb.europa.eu)

向欧洲经济区以外传输数据

第五章第44至50条要求，向第三国或国际组织传输数据时，必须维持《通用数据保护条例》（GDPR）所提供的保护，包括后续转移过程中的保护。在欧洲经济区（EEA）内部，即欧盟成员国、冰岛、列支敦士登和挪威之间传输数据，不受这些额外要求的约束。数据传输机制不能取代数据处理合法性的一般要求：数据输出方仍须确立第6条规定的合法依据，并在适用时满足第9条的条件。例如，将客户记录发送至境外的云服务，既需要合法的数据处理依据，也需要第五章规定的传输机制；签署数据传输条款本身并不意味着已经取得同意，也不能确立合法利益依据。(eur-lex.europa.eu)

根据第45条，欧盟委员会可以作出充分性决定，认定某个国家、地区、特定行业或国际组织能够确保充分的保护水平。评估内容包括法治状况、公共机关对数据的访问、个人权利能否得到强制执行、是否存在有效救济，以及是否实行独立监督。在决定适用范围内传输数据，无须提供第五章规定的额外保障，也无须取得专门授权，但GDPR的其他义务仍然适用。因此，充分性认定的范围可以小于一个国家的整体范围：2023年7月10日针对欧盟—美国数据隐私框架作出的决定，仅涵盖美国参与该框架的组织，而非所有美国数据接收方。(eur-lex.europa.eu)

在没有充分性决定的情况下，第46条允许在具备适当保障、可强制执行的权利和有效法律救济的前提下传输数据。标准合同条款（SCC）为数据输出方和输入方规定了经欧盟委员会批准的合同义务。有约束力的公司规则由有管辖权的监管机关依据第47条批准，为企业集团内部或从事共同经济活动的组织群体内部的数据传输提供具有约束力的内部保护；这些规则还必须赋予个人可强制执行的权利。其他获认可的工具包括公共机关之间具有法律约束力的安排，以及经批准的行为准则或认证机制，后两者还须附有境外接收方作出的具有约束力且可强制执行的承诺。与欧盟委员会批准的标准合同条款不同，单独协商的合同条款和某些行政安排须获得监管机关授权。(eur-lex.europa.eu)

第49条规定了特定情形下的例外，这些例外不能与常规保障措施任意互换。它们包括：在告知因缺乏充分性决定和适当保障而产生的风险后，取得个人的明确同意；为履行与个人订立的合同而必须进行的传输；基于重大公共利益的传输；为提出、行使或维护法律请求而进行的传输；以及在个人无法表示同意时，为保护其重大利益而进行的传输。必要性要求数据传输与指定目的之间存在密切联系：预订境外酒店可能符合条件，但仅仅因为将组织的薪资处理业务外包到境外在商业上更方便，并不意味着这种传输对于履行员工合同就是必要的。欧洲数据保护委员会2018年的指引要求对这些例外作限制性解释；合同和法律请求方面的例外仅适用于偶发性传输，其他例外则各有不同条件。此外，还有一项适用条件严格的兜底例外，适用于具有重大必要性的合法利益：传输必须是非重复性的，仅涉及有限数量的个人，并须采取适当保障措施，同时通知监管机关和相关个人。(edpb.europa.eu)

2020年7月16日，欧盟法院就通常称为“Schrems II”的C‑311/18号案件——数据保护专员诉Facebook爱尔兰公司及马克西米利安·施雷姆斯案——作出判决。法院认定，经评估的美国监控安排和救济机制未能提供与欧盟要求实质等同的保护，因此宣布欧盟—美国隐私盾的充分性决定无效。法院维持了当时有效的标准合同条款决定，但合同承诺无法约束外国公共机关。因此，数据输出方和接收方必须评估目的地国家的法律是否允许遵守这些条款，在必要时增加补充保障措施，并在无法确保充分保护时暂停传输。监管机关同样必须暂停或禁止不合规的数据传输。(curia.europa.eu)

2021年6月4日，欧盟委员会通过第（EU）2021/914号实施决定，采纳了更新后的数据传输标准合同条款。其四个模块分别涵盖控制者向控制者、控制者向处理者、处理者向处理者，以及处理者向控制者的数据传输，使条款能够适配不同的服务链。第14条要求对目的地国家影响条款遵守情况的法律和实践进行书面评估，包括公共机关对数据的访问；第15条则规定了政府访问请求、通知以及对违法请求提出异议等事项。附件列明合同各方、所传输的数据、传输目的和安全措施。这些模块化条款还在适用时纳入第28条规定的处理者义务，并允许其他主体通过可选的加入条款成为合同当事方，从而适应不断变化的外包关系，同时不将签署合同本身视为充分的保护。(eur-lex.europa.eu)

监管机构、执法与救济

第51至54条要求每个成员国设立一个或多个独立的监管机构。根据第52条，这些机构履行职责时必须不受外部影响，既不得寻求也不得接受指示；成员国必须为其工作提供必要资源。第58条赋予这些机构的调查权包括：要求数据控制者和处理者提供信息、开展数据保护审计，以及在遵守程序保障的前提下获取个人数据并进入相关场所。纠正权包括发出警告和训诫、责令满足个人行使权利的请求或使处理活动符合法规、暂时或永久禁止处理、暂停跨境传输，以及处以行政罚款。因此，执法并不一定仅限于经济处罚。(eur-lex.europa.eu)

欧洲数据保护委员会（EDPB）由各国监管机构的负责人和欧洲数据保护监督官或其代表组成，负责协调条例的一致适用。委员会发布指南、建议和意见，支持监管合作，并在监管机构之间发生特定争议时作出具有约束力的决定。一般性指导不同于面向监管机构、具有约束力的争议解决决定。委员会通常不直接受理个人投诉，这类投诉由有管辖权的国家监管机构处理。(edpb.europa.eu)

对于符合条件的跨境处理活动，“一站式”机制通常将数据控制者或处理者的主要营业机构或唯一营业机构所在地的监管机构指定为牵头监管机构。在以下情况下，其他监管机构也属于相关监管机构：营业机构位于其管辖地域内，其辖区居民受到或可能受到实质性影响，或有人向其提出投诉。根据第60条，牵头监管机构交换相关信息，并向相关监管机构提交决定草案；后者通常有四周时间提出相关且附有理由的异议。未能解决的异议将触发一致性机制，并由欧洲数据保护委员会依据第65条作出具有约束力的争议解决决定；随后，有管辖权的国家监管机构以此为依据作出最终决定。合作还包括相互协助和联合行动，而第64条要求委员会就特定监管措施发表意见，例如某些影响评估清单和认证标准。(eur-lex.europa.eu)

第77条允许个人提出投诉，尤其可以在其惯常居住地、工作地或涉嫌侵权行为发生地所在的成员国提出。第78条规定，可针对具有法律约束力的监管决定寻求司法审查；如果监管机构未处理投诉，或未在三个月内提供有关投诉处理进展或结果的信息，也可寻求此项救济。这并不意味着每项调查都必须在三个月内结束。第79条另行允许对数据控制者或处理者提起诉讼。根据第80条，个人可以委托符合条件的公益性非营利组织代为提出投诉并寻求司法救济。能否代理赔偿请求取决于成员国法律；成员国法律也可以授权符合条件的组织在未获个人委托的情况下提起某些诉讼。(eur-lex.europa.eu)

第82条规定，因侵权行为造成的物质或非物质损害可以获得赔偿，这与行政处罚相互独立。在2023年5月4日裁决的 Österreichische Post 案（案号C-300/21）中，欧盟法院明确了三个必须同时满足的条件：存在侵权行为、存在损害，以及两者之间存在因果关系。因此，仅有侵权行为并不足以产生获得赔偿的权利，但非物质损害也无须达到某个最低严重程度门槛。损害赔偿额的评估由各国规则确定，但须遵守欧盟的等效性原则和有效性原则。赔偿旨在弥补请求人的损害，而非施加行政惩罚。(curia.europa.eu)

第83条规定了两个主要的罚款上限档次：第一档为1,000万欧元；对于企业，则为1,000万欧元或上一财年全球年度营业总额的2%，以较高者为准。第二档为2,000万欧元或上述营业额的4%，以较高者为准。较低档适用于特定的组织管理义务，包括安全保障和数据泄露通知；较高档适用于基本处理原则、个人权利、数据传输要求以及不遵从监管命令等事项。这些是罚款上限，并非自动适用的固定罚款额。实际罚款必须有效、适度且具有威慑力，并须考虑侵权行为的性质、严重程度和持续时间，行为是故意还是过失，涉及的数据类别，减轻损害的措施，既往侵权行为，配合程度，以及其他法定的从重或从轻因素。成员国自行决定是否可以对公共机构处以行政罚款，以及可以处罚的范围。(eur-lex.europa.eu)

各国的适应性规定与相关法律制度

第23条允许欧盟或成员国通过立法，限制《通用数据保护条例》规定的特定义务和权利，主要包括第12至22条所规定的义务和权利，以及第34条规定的数据泄露告知义务。这些限制必须维护基本权利的核心内容，并且为实现条文列举的目标，在民主社会中具有必要性且符合比例原则；这些目标包括公共安全、刑事调查、公共卫生、税收或保护他人权利等。相关立法必须视情况明确数据处理目的、所涉及的数据、限制范围、防止滥用的保障措施、数据保留期限以及对个人造成的风险。这并非赋予暂停数据保护的一般权力：第77条规定的向监管机构投诉的权利，不属于第23条限制机制的适用范围。(edpb.europa.eu)

其他条款则为针对特定情境制定国内规则留出了空间。第88条允许通过立法或集体协议规范雇员数据的处理，包括招聘、工作场所监控及劳动关系终止，同时要求采取保障人格尊严、透明度和基本权利的措施。德国《联邦数据保护法》第26条体现了这一做法，对作出录用决定以及履行或终止劳动关系所必需的数据处理作出了规定。第86条允许依据协调公众查阅权与数据保护的欧盟法律或国内法律，披露官方文件中的个人数据；这并不意味着政府持有的所有个人数据都可供公众查阅。第87条和第90条分别涉及国家身份识别号码和职业保密义务。(eur-lex.europa.eu)

第85条要求成员国协调数据保护与表达及信息自由，包括新闻业以及学术、艺术和文学表达。必要的豁免或例外可以涵盖《通用数据保护条例》的特定章节，但并不意味着所有出版活动都自动获得豁免。第89条对公共利益归档、科学或历史研究以及统计采取了不同的处理方式：必须通过适当的技术和组织保障措施确保数据最小化，必要时可采用假名化；只要可行，就必须在不使用可识别个人身份的数据的情况下实现相关目的。只有当特定个人权利很可能导致这些受保护的目的无法实现或受到严重妨碍，且例外确有必要时，欧盟或成员国立法才可对这些权利作出例外规定。无论研究还是新闻活动，都不能成为不受限制地处理个人数据的许可。(eur-lex.europa.eu)

《电子隐私指令》，即经2009年修订的第2002/58/EC号指令，针对通信保密、流量和位置数据、未经请求的营销，以及在用户设备上存储或访问相关信息，制定了专门适用于该领域的规则。其中有关设备访问的规则既可适用于个人数据，也可适用于非个人信息；后续对个人数据的处理仍受《通用数据保护条例》约束。访问设备通常需要取得同意，但为完成通信传输或提供用户明确请求的服务所必需的访问除外。《执法指令》，即第(EU) 2016/680号指令，则规范主管机关为刑事执法目的进行的数据处理，而非警方开展的所有活动。自2018年12月11日起适用的第(EU) 2018/1725号条例为欧盟机构和机关建立了独立的数据保护制度，由欧洲数据保护监督官负责监督。(eur-lex.europa.eu)

《人工智能法案》，即第(EU) 2024/1689号条例，与数据保护法共同规范人工智能。第2条第7款保留了欧盟个人数据和通信隐私规则的适用性；提供者和部署者在开发或使用涉及个人数据的系统时，仍须履行其作为数据控制者或处理者的义务。因此，遵守《人工智能法案》通常不能替代《通用数据保护条例》对数据处理合法性的要求。相关的数据治理立法也保留了这一区分。《数据治理法案》，即第(EU) 2022/868号条例，本身并不为个人数据处理创设法律依据。《数据法案》，即第(EU) 2023/2854号条例，通过有关联网产品数据的规则，补充数据访问权和可携带权，同时明确规定，发生冲突时，适用的数据保护和隐私法律具有优先效力。(ai-act-service-desk.ec.europa.eu)

在英国，《英国通用数据保护条例》于2021年1月1日成为独立的国内法律制度，与《2018年数据保护法》共同施行。该条例源自欧盟文本，但两者在法律上并不相同。《2025年数据（使用与访问）法》对其进行了修订，而非将其取代，修订内容包括引入“认可的合法利益”：符合条件的数据处理仍须满足必要性要求，但无需进行普通合法利益所要求的额外利益衡量。组织可能同时受两套制度约束，例如某家英国企业的数据处理涉及向欧洲经济区内的人员提供服务；此类组织必须分别评估各套制度中适用的要求。(ico.org.uk)

实施经验与程序发展

欧洲委员会根据第97条于2020年6月24日发布的首份实施报告指出，各监管机构的资源配置不均，跨境合作也存在困难；同时，报告明确认为，条例实施仅两年，此时作出确定性结论尚为时过早。第二份报告于2024年7月25日发布，依据包括欧盟理事会的调查结果、利益相关方提交的材料、监管机构提供的意见，以及欧盟基本权利署开展的访谈。这些材料既包含行政层面的证据，也包含各方报告的实际经历；利益相关方的陈述并不能证明特定问题在所有组织或成员国中的普遍程度。(eur-lex.europa.eu)

2024年的报告显示，2020年至2024年间，爱尔兰监管机构的人员数量增加了79%，塞浦路斯增加了4%，捷克则减少了1%；不过，各监管机构仍反映缺乏专业人才。数据控制者表示，访问权是个人最常行使的权利，而公民社会组织则反映，相关答复存在延迟、不完整或无法阅读等问题。较小的组织反映，其获得的实际支持程度各不相同，对合规复杂程度的感受也存在差异。欧洲数据保护委员会（EDPB）已于2023年4月推出一份通俗易懂的小企业指南。这些调查结果涉及实施能力与实际经验，而非基本权利和义务的变化。(eur-lex.europa.eu)

随后，跨境程序成为另一项具有约束力的立法所规范的事项。欧洲议会于2025年10月21日通过其立场，欧盟理事会于2025年11月17日完成通过程序。第2025/2518号欧盟条例落款日期为2025年11月26日，于同年12月12日公布，并于2026年1月1日生效，但自2027年4月2日起才开始适用。因此，该条例的通过并未立即取代现有程序。该条例统一了判定投诉是否可受理所需的信息要求，规定了共同的参与权和陈述意见的权利，并允许对简单案件采用简化合作程序。被调查方会收到初步调查结果，通常有三至六周的时间作出回应。其一般时限要求牵头监管机构在确认自身管辖权或欧洲数据保护委员会作出相关管辖权决定后15个月内提交决定草案；复杂案件可延长12个月，简化合作程序的时限则为12个月。这些是程序期限，并不保证每项投诉都能在15个月内得到最终且不可再提起上诉的处理结果。(eur-lex.europa.eu)

涉及数字服务的实施问题，也促成了解释性指导意见的正式通过。在2024年4月17日通过的第08/2024号意见中，欧洲数据保护委员会审查了大型在线平台让用户在同意行为广告与付费之间作出选择的做法。委员会认为，在大多数情况下，仅提供这种二选一的选项，不足以满足有效同意的要求。评估内容包括用户能否作出真正自由的选择，并须考虑双方权力不对等、用户对服务的依赖程度以及拒绝同意的后果。该意见是对现行《通用数据保护条例》要求的解释，并非一项全面禁止付费在线服务的立法。(edpb.europa.eu)

在人工智能方面，欧洲数据保护委员会应爱尔兰监管机构的请求，于2024年12月17日通过第28/2024号意见，讨论了模型的匿名性、合法利益以及违法处理训练数据的后果。匿名性须根据具体情况评估：考虑到合理可用的手段，从模型中提取个人数据以及通过查询获取此类数据的可能性，都必须低到可以忽略不计。以合法利益为处理依据时，必须明确相关利益、评估处理的必要性，并将其与个人权利进行权衡；训练材料公开可用这一事实，本身并不能决定权衡结果。该意见还区分了开发阶段的违法处理影响后续部署的不同情形。这些解释性立场旨在支持个案评估，并非为人工智能开发设立单独的法定豁免。(edpb.europa.eu)

拟议的简化措施则走了不同的法律路径。2025年5月21日，欧洲委员会提议修改第30条第5款，使雇员人数少于750人的组织免于承担处理活动记录义务，除非其处理活动可能产生第35条所指的高风险。该提案涉及记录要求，而非普遍免除数据保护义务。在2025年7月的联合意见中，欧洲数据保护委员会与欧洲数据保护监督员要求澄清拟议的雇员人数门槛。欧洲委员会的提案及监管方面的意见，必须与已通过的跨境程序条例加以区分：这两份文件本身均未修改《通用数据保护条例》。(edpb.europa.eu)

参考来源

Directive 95/46/EC — EUR-Lexeur-lex.europa.eu
Article 16 TFEU — EUR-Lexeur-lex.europa.eu
Charter of Fundamental Rights, Article 7 — EUR-Lexeur-lex.europa.eu
Charter of Fundamental Rights, Article 8 — EUR-Lexeur-lex.europa.eu
Proposal for a General Data Protection Regulation, COM(2012) 11 final — EUR-Lexeur-lex.europa.eu
Proposal for a General Data Protection Regulation: document information — EUR-Lexeur-lex.europa.eu
Data protection reform — Parliament approves new rules fit for the digital eraeuroparl.europa.eu
Regulation (EU) 2016/679 — EUR-Lexeur-lex.europa.eu
Regulation (EU) 2016/679: document information — EUR-Lexeur-lex.europa.eu
Consolidated text of Regulation (EU) 2016/679 — EUR-Lexeur-lex.europa.eu
Data protection basicsedpb.europa.eu
Application of the GDPRcommission.europa.eu
Regulation (EU) 2016/679eur-lex.europa.eu
Regulation (EU) 2016/679eur-lex.europa.eu
Secure personal dataedpb.europa.eu
Guidelines 3/2018 on the territorial scope of the GDPR (Article 3) – version adopted after public consultationedpb.europa.eu
Guidelines 3/2018 on the territorial scope of the GDPR (Article 3)edpb.europa.eu
Principles of the GDPRcommission.europa.eu
Legal grounds for processing datacommission.europa.eu
Process personal data lawfullyedpb.europa.eu
Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPRedpb.europa.eu
Regulation (EU) 2016/679 — EUR-Lexeur-lex.europa.eu
Instagram inquiry: final decisionedpb.europa.eu
Guidelines 3/2019 on processing of personal data through video devicesedpb.europa.eu
Regulation (EU) 2016/679 — EUR-Lexeur-lex.europa.eu
Regulation (EU) 2016/679 — EUR-Lexeur-lex.europa.eu
Regulation (EU) 2016/679 — Official Journal texteur-lex.europa.eu
Are there any specific safeguards for data about children?commission.europa.eu
Respect individuals’ rightsedpb.europa.eu
Information for individualscommission.europa.eu
Data protection under GDPR — Your Europeeuropa.eu
The General Data Protection Regulation (GDPR) opposes two data processing practices by credit information agenciescuria.europa.eu
Dealing with requests from individualscommission.europa.eu
FAQ | Data protection guide for small businessedpb.europa.eu
Guidelines 07/2020 on the concepts of controller and processor in the GDPRedpb.europa.eu
Data controller or data processoredpb.europa.eu
FAQ | Data protection guide for small businessedpb.europa.eu
Application of the GDPRcommission.europa.eu
Data Protection Officeredpb.europa.eu
Regulation (EU) 2016/679 of the European Parliament and of the Councileur-lex.europa.eu
Data protection impact assessmentedpb.europa.eu
Data breachesedpb.europa.eu
Guidelines 9/2022 on personal data breach notification under GDPR, version 2.0edpb.europa.eu
International data transfers | Data protection guide for small businessedpb.europa.eu
Commission Implementing Decision (EU) 2023/1795eur-lex.europa.eu
InfoCuria: Case C-311/18curia.europa.eu
Commission Implementing Decision (EU) 2021/914eur-lex.europa.eu
New Standard Contractual Clauses – Questions and Answers overviewcommission.europa.eu
Data Protection Authority & youedpb.europa.eu
Tasks and dutiesedpb.europa.eu
Contactedpb.europa.eu
Guidelines 03/2021 on the application of Article 65(1)(a) GDPRedpb.europa.eu
Mere infringement of the GDPR does not give rise to a right to compensationcuria.europa.eu
Guidelines 04/2022 on the calculation of administrative fines under the GDPRedpb.europa.eu
Statement on restrictions on data subject rights in connection to the state of emergency in Member Statesedpb.europa.eu
Federal Data Protection Act (BDSG)gesetze-im-internet.de
Consolidated text: Regulation (EU) 2016/679eur-lex.europa.eu
Regulation (EU) 2016/679 — English and German texteur-lex.europa.eu
Commission staff working document accompanying the Digital Omnibus proposaleur-lex.europa.eu
Legal Framework — European Data Protection Boardedpb.europa.eu
Legal Framework — European Parliamenteuroparl.europa.eu
Article 2: Scope — AI Act Service Deskai-act-service-desk.ec.europa.eu
Recital 10 — AI Act Service Deskai-act-service-desk.ec.europa.eu
Regulation (EU) 2022/868 (Data Governance Act)eur-lex.europa.eu
Data protection as a pillar of citizens’ empowerment and the EU’s approach to the digital transition—two years of application of the General Data Protection Regulationeur-lex.europa.eu
Second Report on the application of the General Data Protection Regulationeur-lex.europa.eu
Second Report on the application of the General Data Protection Regulationeur-lex.europa.eu
Second Report on the application of the General Data Protection Regulationeur-lex.europa.eu
Second Report on the application of the General Data Protection Regulationeur-lex.europa.eu
Regulation (EU) 2025/2518 laying down additional procedural rules on the enforcement of Regulation (EU) 2016/679eur-lex.europa.eu
Regulation (EU) 2025/2518—document informationeur-lex.europa.eu
Regulation (EU) 2025/2518 laying down additional procedural rules on the enforcement of Regulation (EU) 2016/679eur-lex.europa.eu
Opinion 08/2024 on Valid Consent in the Context of Consent or Pay Models Implemented by Large Online Platformsedpb.europa.eu
EDPB: ‘Consent or Pay’ models should offer real choiceedpb.europa.eu
Opinion 08/2024 on Valid Consent in the Context of Consent or Pay Models Implemented by Large Online Platformsedpb.europa.eu