在大数据和人工智能时代，数据关系到个人的生活、企业的命运甚至是国家的未来。如何平衡数据收集、存储、传输和处理过程中的个人信息保护和数据商业利用之间的关系，是全球数据治理面临的共同课题。数据保护规则正在全球加速形成，京东法律研究院对《欧盟一般数据保护条例》进行了编译、评述及实务指引，主要从立法背景、适用范围、原则条款、主体权利、控制者处理者义务、跨境流动规则等方面进行深入评述，在对相关国家进行立法比较后，进而提出对我国企业数据保护的实务指引建议。

京东法律研究院是京东集团设立的法律和公共政策研究机构，依托京东在无界零售、智慧物流、科技创新等方面积累的丰富业务场景和案例，立足中国鲜活实践，放眼全球科技产业，聚焦前沿法律政策问题，以产业共赢为目标，为产业生态的健康、正向发展输出前瞻性研究成果。

*章全球数据保护面临的突出问题

�ㄒ弧⑼怀鑫侍�

�ǎㄒ唬┧接�主体

�ǎǘ�）公共部门

�ǎㄈ�）前沿技术

�ǘ�、原因分析

�ǎㄒ唬┤�球数据保护问题是一种必然现象

�ǎǘ�）数据资产化刺激了数据的商业化利用

�ǎㄈ�）数据权益复杂化

�ǎㄋ模┦�据治理的全球共识仍然缺失，难以协调

�ㄈ�、治理探索

di二章欧盟GDPR立法背景

�ㄒ弧⒋庸�约到指令

�ǘ�、从指令到条例

�ㄈ�、电子通信领域个人信息保护的立法实践

�ㄋ摹⑿淌路缸锪煊蚋鋈诵畔⒈；さ牧⒎ㄊ导�

�ㄎ濉⒖缇呈�据流动的立法实践

��六、执法机构域外调取数据权限增加趋势

�ㄆ摺⒔嵊�

di三章欧盟GDPR内容概述

�ㄒ弧⑹视梅段Т蠓�扩展

�ǘ�、扩充原则性规定

�ㄈ�、增加数据主体的权利

�ǎㄒ唬┰錾琛吧境�权（被遗忘权）" 

�ǎǘ�）增设“数据可携带权”

�ǎㄈ�）在“免受自动化决策权”基础上提出“数据画像”

�ǎㄋ模┭诱埂爸�情权”及“访问权”

�ㄋ摹⒓又厥�据控制者和处理者的责任义务

�ǎㄒ唬┦�据处理活动记录义务

�ǎǘ�）数据保护影响评估

�ǎㄈ�）事先协商

�ǎㄋ模┦�据泄露报告及通知

�ǎㄎ澹┌踩�保障措施

�ǎ�六）针对数据处理者责任的特别规定

�ㄎ濉⑼晟瓶缇呈�据传输机制

�ǎㄒ唬┰诔浞中跃龆ǖ幕�础上的传输

�ǎǘ�）受到适当保障的传输

�ǎㄈ�）以*条约为基础的法院判决或行政机构决定

�ǎㄋ模┨厥饫�外情况下的传输

��六、设立数据保护官

�ㄆ摺⑴访思喙芑�构一致性机制

�ò恕⑴分奘�据保护委员会

�ň拧⒕薅钚姓�罚款

di四章欧盟GDPR适用范围述评

�ㄒ弧⒐芟椒段�

�ǎㄒ唬�“属地”：欧盟境内的数据处理行为

�ǎǘ�）“属人”：欧盟境内的数据控制者和处理者

�ǎㄈ�）“保护”：保护欧盟数据主体的合法权益

�ǎㄋ模�*公法

�ǘ�、数据类型

�ǎㄒ唬┮话憷嘈偷母鋈耸�据

�ǎǘ�）特殊类型的个人数据

�ㄈ�、数据处理行为

�ǎㄒ唬┐�理

�ǎǘ�）数据画像

�ㄋ摹⒗�外和保留

�ǎㄒ唬┕芟椒段У睦�外

�ǎǘ�）数据类型的例外

�ǎㄈ�）数据主体和数据控制者或处理者的例外

�ǎㄋ模┦�据处理行为的例外

�ㄎ濉⒔嵊�

di五章GDPR的原则条款及其评析

�ㄒ弧�GDPR原则条款的功能与角色

�ǘ�、原则条款的结构与内容

�ǎㄒ唬┰�则：di5条

�ǎǘ�）合法性基础：di6条

�ǎㄈ�）同意的条件：di7条

�ǎㄋ模┐�理儿童信息中的同意：di8条

�ǎㄎ澹┟舾行畔⒂胄淌露ㄗ锵喙馗鋈诵畔⒌拇�理：di9条与di1条

�ǎ�六）无须识别数据主体的处理行为：di11条

�ㄈ�、同意原则的边界及对中国的启示

di六章GDPR数据主体权利评论

�ㄒ弧⑹�据主体权利保护的关键问题

�ǎㄒ唬┦�据主体权利保护的理论基础

�ǎǘ�）数据主体权利保护的主要模式

�ǎㄈ�）数据主体权利保护中的利益平衡

�ǘ�、GDPR数据主体权利保护体系评述

�ǎㄒ唬┡访耸�据主体权利保护立法发展

�ǎǘ�）获取信息的权利

�ǎㄈ�）修改、删除与限制处理的权利

�ǎㄋ模┚芫�权与免受自动化决策限制权

�ǎㄎ澹┛尚�带权

�ǎ�六）被遗忘权

�ǎㄆ撸┤ɡ�的限制

�ǎò耍┤ɡ�的救济

�ㄈ�、GDPR主体权利的规定对我国的启示

�ǎㄒ唬┪夜�个人信息保护的立法情况

�ǎǘ�）欧盟主体权利保护模式移植的困境

�ǎㄈ�）我国数据主体权利保护模式的选择与借鉴

di七章GDPR数据控制者和处理者义务评述

�ㄒ弧�GDPR数据控制者和处理者义务介评

�ǎㄒ唬〨DPR基本原则中数据运营者的实质性义务

�ǎǘ�）与数据主体权利对应的运营者义务

�ǎㄈ�）数据运营者义务的直接规定

�ǎㄋ模┙嵊�

�ǘ�、数据控制者的义务和责任：一个比较的视角

�ǎㄒ唬┖挝�“数据控制者”

�ǎǘ�）数据控制者的义务体系��

（三）数据控制者的具体义务：基于风险的进路

di八章GDPR数据跨境流动规则研究

�ㄒ弧�GDPR数据跨境传输规则��

（一）数据接收方所在国家或地区获得欧盟“充分决定”��

（二）提供适当保护措施的数据跨境传输��

（三）有约束力的公司规则

（四）特定情况下的例外规定��

（五）小结��

二、欧盟与美国之间数据跨境传输问题��

（一）《安全港框架协议》��

（二）《安全港框架协议》失效��

（三）隐私盾框架协议��

三、我国的因应��

（一）中国数据跨境监管规则因应��

（二）中国企业的因应

di九章GDPR与各国相关立法比较

�ㄒ弧�GDPR的全球性影响��

二、GDPR or美国模式��

三、安全需求驱动下的全球趋势��

（一）“影响”原则的“长臂管辖”被广泛适用��

（二）个人信息的内涵不断扩大��

（三）对个人敏感信息进行特殊保护��

（四）个人信息保护原则趋向统一��

（五）强化个人信息自决权趋势��

（六）对未成年人的个人信息保护的普遍共识��

（七）成立独立的监管主体成主流��

（八）加强企业安全责任��

（九）数据跨境限制的数据本地化趋势��

四、发展需求驱动下的GDPR个人信息自决权保留��

（一）对用户同意的适用要求不同��

（二）删除权比被遗忘权更有市场��

（三）“可携带权”遇冷

di十章GDPR对跨国企业的影响

�ㄒ弧�GDPR对跨国企业的积极影响��

二、GDPR对跨国企业的业务挑战��

（一）强大的数据主体自决权��

（二）严格的问责制��

（三）严格受限的数据出境规则��

三、GDPR对跨国企业的人事管理影响

四、GDPR对跨国企业的伦理考验��

五、对企业的建议��

（一）主动迎接GDPR的合规挑战��

（二）考虑欧盟战略本土化

di十一章中国的应对建议

�ㄒ弧⒅泄�公共部门数据保护管理建议��

（一）树立风险管理和激励驱动的数据保护理念��

（二）建立以数据安全管理为核心的统一的数据保护管理体制��

（三）制定专门的个人信息保护法��

（四）健全数据保护的技术标准和认证机制��

二、中国企业数据保护的应对建议��

（一）充分的准备��

（二）调整隐私政策��

（三）通过技术设计保护隐私功能��

（四）企业数据安全管理升级��

（五）企业外部合作数据安全机制的完善

附 件 

《一般数据保护条例》GDPR��

鉴于条款��

正文

致谢代后记