歐盟的《一般數據保護條例》 (General Data Protection Regulation, GDPR）則是在數據保護方麵的另一重要立法。這部條例是在歐盟之前的立法基礎上（尤其是1995年的《數據保護指令》及相關成員國國內法）曆經4年多的協商和辯論後於2016年4月27日通過，並於2018年5月25日正式生效。超過兩年的準備期也從一個側麵說明瞭GDPR本身的重要性和對相關方可能造成的影響。

GDPR創設和引入瞭若乾重要性的理念，值得數據保護領域的相關方認真研究和應對。比如：

1.強化對數據主體的保護。GDPR要求數據主體的同意必須是具體的、清晰的，而且是在充分知情的前提下自由作齣的。如果是涉及兒童的個人數據，必須獲得其父母或者其他監護人的同意。更重要的是，數據主體可以隨時撤迴同意，數據控製者應為此提供便利。雖然GDPR允許在特定場閤數據控製者齣於其閤法利益可以處理數據，但是必須證明其閤法利益顯著高於個人權利和自由。此外，數據主體還明確擁有瞭知情權、反對權、被遺忘權以及數據可攜權。

2.數據控製者和處理者的義務。對於數據控製者，GDPR要求符閤條件的控製者必須設立數據保護專員（Data Protection Officer）或者指定代錶負責數據保護事宜。在設計産品和服務時必須嵌入數據保護（Compliance by Design和Compliance by Default) 。對個人數據要采取保障措施，包括數據的假名化；對於高風險的數據處理活動，要進行數據保護影響評估和事先協商；在發生數據泄露時，要及時通知監管機構等。

3.監管。在監管方麵，GDPR試圖統一監管機構，允許企業主營業機構所在地的監管機構實行一站式監管，減輕瞭跨國數據流動時企業的閤規負擔。但同時，對於違反GDPR相關規定的處理行為，該條例設置瞭巨額的處罰措施。對於沒有取得用戶同意等行為，處罰高達2000萬歐元或者企業上一年度全球營業收入的4%（以較高者為準）。 

對於中國企業來講，尤其要注意的是GDPR的適用範圍。一方麵，對於中國企業在歐洲設立或者收購而成的子公司，無論其數據處理活動是否在歐盟境內，均需遵守GDPR。另一方麵，如果中國企業為瞭嚮歐盟境內可識彆的自然人提供商品和服務而收集、處理他們的信息，或者為瞭監控歐盟境內可識彆的自然人的活動而收集、處理他們的信息，也要受GDPR的管轄。因此，對於已經在歐盟進行戰略布局或者擬將業務網絡拓展到歐盟的中國企業（尤其是銀行、電子商務、互聯網、IT企業和軟硬件生産商）來講，必須重視GDPR的閤規，否則將會遭受重大的財務和聲譽上的損失。

瑞栢律師事務所長期從事跨國業務，有自己專門的法律團隊，為瞭嚮中國企業和政府機關提供更為精準的歐盟《一般數據保護條例》翻譯文本，特組織翻譯編寫瞭此書。本書收錄瞭歐盟《一般數據保護條例》的中英文全文（包括鑒於條款和正文），采取漢英對照的方式，不僅有利於讀者查詢對照，而且還能讓讀者接觸到法律英語的精準錶達。

目 錄

一般數據保護條例（立法法令）

鑒於條款 ��

章 一般規定 ��

  第1條 主題與目標 ��

  第2條 適用範圍 ��

  第3條 地域範圍 ��

  第4條 定義 ��

第二章 原則 ��

  第5條 與個人數據處理相關的原則 ��

  第6條 處理的閤法性 ��

  第7條 同意的要件 ��

  第8條 關於信息社會服務相關的兒童同意的條件 ��

  第9條 特殊種類的個人數據處理 ��

  第10條 有關刑事定罪和犯罪的個人數據的處理 ��

  第11條 無須識彆個人數據的處理 ��

第三章 數據主體的權利 ��

 節 信息透明度及其形式 ��

  第12條 與數據主體行使其權利相關的透明信息、交流及其形式 ��

 第二節 個人數據信息和獲取 ��

  第13條 收集信息時應嚮數據主體告知的信息 ��

  第14條 並非從數據主體處獲取個人數據時應嚮數據主體告知的信息 ��

  第15條 數據主體的數據訪問權 ��

 第三節 糾正權和刪除權 ��

  第16條 糾正權 ��

  第17條 刪除權（被遺忘權） ��

  第18條 限製處理權 ��

  第19條 關於糾正或刪除個人數據或限製處理的通知義務 ��

  第20條 個人數據的移植權 ��

 第四節 拒絕權和自主決定權 ��

  第21條 拒絕權 ��

  第22條 自動化個人決定，包括數據畫像 ��

 第五節 限製 ��

  第23條 限製 ��

第四章 控製者和處理者 ��

 節 一般義務 ��

  第24條 控製者的義務 ��

  第25條 自設計開始和默認的數據保護 ��

  第26條 聯閤控製者 ��

  第27條 設立在歐盟之外的控製者或處理者的代錶 ��

  第28條 處理者 ��

  第29條 在控製者或處理者的授權下處理 ��

  第30條 處理活動的記錄 ��

  第31條 和監管機構的閤作 ��

 第二節 個人數據的性 ��

  第32條 處理過程的性 ��

  第33條 嚮監管機構通知個人數據泄露 ��

  第34條 就個人數據泄露與數據主體交流 ��

 第三節 數據保護影響評估和事先谘詢 ��

  第35條 數據保護影響評估 ��

  第36條 事先谘詢 ��

 第四節 數據保護專員 ��

  第37條 任命數據保護專員 ��

  第38條 數據保護專員的地位 ��

  第39條 數據保護專員的職責 ��

 第五節 行為準則和認證 ��

  第40條 行為準則 ��

  第41條 對已批準行為準則的監督 ��

  第42條 認證 ��

  第43條 認證機構 ��

第五章 嚮第三國或國際組織傳輸個人數據 ��

  第44條 傳輸的一般原則 ��

  第45條 基於充分性決議傳輸數據 ��

  第46條 須采取適當保障的傳輸 ��

  第47條 約束性企業規則 ��

  第48條 歐盟法律未授權的傳輸或披露 ��

  第49條 特定情形下的豁免 ��

  第50條 個人數據保護的國際閤作 ��

第六章 獨立監管機構 ��

 節 獨立地位 ��

  第51條 監管機構 ��

  第52條 獨立性 ��

  第53條 監管機構成員的一般條件 ��

  第54條 監管機構設立規則 ��

 第二節 管轄權限、職責和權力 ��

  第55條 管轄權限 ��

  第56條 主監管機構的管轄權限 ��

  第57條 職責 ��

  第58條 權力 ��

  第59條 活動報告 ��

第七章 閤作和一緻性 ��

 節 閤作 ��

  第60條 主監管機構與其他有關監管機構之間的閤作 ��

  第61條 互助 ��

  第62條 監管機構的聯閤操作 ��

 第二節 一緻性 ��

  第63條 一緻性機製 ��

  第64條 歐洲數據保護委員會的意見 ��

  第65條 歐洲數據保護委員會的爭議解決 ��

  第66條 緊急程序 ��

  第67條 信息交流 ��

 第三節 歐洲數據保護委員會 ��

  第68條 歐洲數據保護委員會 ��

  第69條 獨立性 ��

  第70條 歐洲數據保護委員會的職責 ��

  第71條 報告 ��

  第72條 程序 ��

  第73條 主席 ��

  第74條 主席的職責 ��

  第75條 秘書處 ��

  第76條 保密 ��

第八章 救濟、責任和罰則 ��

  第77條 嚮監管機構申訴的權利 ��

  第78條 針對監管機構獲得有效司法救濟的權利 ��

  第79條 針對控製者或處理者獲得有效司法救濟的權利 ��

  第80條 數據主體的代錶 ��

  第81條 訴訟中止 ��

  第82條 享有賠償的權利和責任 ��

  第83條 處以行政罰款的一般條件 ��

  第84條 罰則 ��

第九章 關於特定處理情形的規定 ��

  第85條 處理與言論和信息自由 ��

  第86條 處理和公眾獲得官方文件的權利 ��

  第87條 身份證號碼的處理 ��

  第88條 雇用情境下的處理 ��

  第89條 與為公共利益進行檔案管理、為科學、曆史研究或統計目的而處理個人信息相關的保障和豁免 ��

  第90條 保密義務 ��

  第91條 現有教會和宗教協會的數據保護規定 ��

第十章 授權法案和執行法案 ��

  第92條 授權的行使 ��

  第93條 歐盟委員會程序 ��

第十一章 終章 ��

  第94條 廢止95/46/EC號指令 ��

  第95條 與2002/58/EC號令的關係 ��

  第96條 與先前訂立協議的關係 ��

  第97條 歐盟委員會的報告 ��

  第98條 審閱歐盟其他關於數據保護的法律行為 ��

  第99條 生效和適用 ��

Contents

General Data Protection Regulation (Legislative acts) 

Whereas ��

CHAPTER I General provisions ��

  Article 1 Subject-matter and objectives ��

  Article 2 Material scope ��

  Article 3 Territorial scope ��

  Article 4 Definitions ��

CHAPTER II  Principles ��

  Article 5 Principles relating to processing of personal data ��

  Article 6 Lawfulness of processing ��

  Article 7 Conditions for consent ��

  Article 8 Conditions applicable to child's consent in relation to information society services ��

  Article 9 Processing of special categories of personal data ��

  Article 10 Processing of personal data relating to criminal convictions and offences ��

  Article 11 Processing which does not require identification ��

CHAPTER III  Rights of the data subject ��

 Section 1  Transparency and modalities ��

  Article 12 Transparent information, communication and modalities for the exercise of the rights of the data Subject ��

 Section 2  Information and access to personal data ��

  Article 13 Information to be provided where personal data are collected from the data subject 

  Article 14 Information to be provided where personal data have not been obtained from the data subject ��

  Article 15 Right of access by the data subject ��

 Section 3  Rectification and erasure ��

  Article 16 Right to rectification ��

  Article 17 Right to erasure (‘right to be forgotten’)  ��

  Article 18 Right to restriction of processing ��

  Article 19 Notification obligation regarding rectification or erasure of personal data or restriction of Processing ��

  Article 20 Right to data portability ��

 Section 4 Right to object and automated individual decision-making ��

  Article 21 Right to object ��

  Article 22 Automated individual decision-making, including profiling ��

 Section 5 Restrictions ��

  Article 23 Restrictions ��

CHAPTER IV  Controller and processor ��

 Section 1 General obligations ��

  Article 24 Responsibility of the controller ��

  Article 25 Data protection by design and by default ��

  Article 26  Joint controllers ��

  Article 27 Representatives of controllers or processors not established in the Union ��

  Article 28 Processor ��

  Article 29 Processing under the authority of the controller or processor ��

  Article 30  Records of processing activities ��

  Article 31 Cooperation with the supervisory authority ��

 Section 2  Security of personal data ��

  Article 32 Security of processing ��

  Article 33 Notification of a personal data breach to the supervisory authority ��

  Article 34 Communication of a personal data breach to the data subject ��

 Section 3 Data protection impact assessment and prior consultation ��

  Article 35 Data protection impact assessment ��

  Article 36 Prior consultation ��

 Section 4 Data protection officer ��

  Article 37 Designation of the data protection officer ��

  Article 38 Position of the data protection officer ��

  Article 39 Tasks of the data protection officer ��

 Section 5 Codes of conduct and certification ��

  Article 40  Codes of conduct ��

  Article 41 Monitoring of approved codes of conduct ��

  Article 42 Certification ��

  Article 43 Certification bodies ��

CHAPTER V Transfers of personal data to third countries or international organisations ��

  Article 44 General principle for transfers ��

  Article 45 Transfers on the basis of an adequacy decision ��

  Article 46 Transfers subject to appropriate safeguards ��

  Article 47 Binding corporate rules ��

  Article 48 Transfers or disclosures not authorised by Union law ��

  Article 49 Derogations for specific situations ��

  Article 50 International cooperation for the protection of personal data ��

CHAPTER VI Independent supervisory authorities ��

 Section 1 Independent status ��

  Article 51 Supervisory authority ��

  Article 52 Independence ��

  Article 53 General conditions for the members of the supervisory authority ��

  Article 54 Rules on the establishment of the supervisory authority ��

 Section 2 Competence, tasks and powers ��

  Article 55 Competence ��