《一般数据保护条例》(General Data Protection Regulation, 以下简称GDPR)，旨在通过对个人数据的处理与流动进行规范与约束，从而保护自然人的个人数据权利。该条例已经于2018年5月25日正式生效。同时，GDPR作为欧盟的条例，将直接约束欧盟境内相关主体，无需通过欧盟成员国的国内立法予以转化。

据报道，GDPR上周五生效后，为了避免违规风险，美国《洛杉矶时报》、《New York Daily News》及其他报纸的发行方Tronc Inc.等服务商纷纷屏蔽了欧盟读者。同时，在不少媒体报道中，GDPR被冠以“最严数据隐私条例”进行解读。即便如此，我们认为，尽管GDPR对企业提出了高标准的数据合规要求，但这些要求并非是绝对化的。从整体来看，GDPR实际体现的是数据保护与使用/流通之间的平衡兼顾，仅以“史上最严”等修饰难以对其进行准确与周严的评价。

因此，本着“以本为本”的原则，我们从条文出发，以GDPR章节顺序为线索，对GDPR的具体内容进行了简要梳理。同时，在清晰把握GDPR框架结构及条文内容的基础上，我们也为企业数据合规提出了若干建议，以期企业在数据合规体系的构建中能有所启发。

任何指向一个已识别或可识别的自然人（数据主体）的信息。可识别的自然人信息是指可以通过参照如姓名、身份证号码、定位数据、在线识别信息等，或通过一个或多个具体的物理的、生理的、基因的、精神的、经济的、文化的或社会的特征，直接或间接的识别自然人的信息。

对个人数据或一系列个人数据进行的任何操作或一系列操作（不论该操作是自动化的与否），例如收集、记录、组合、建构、存储、改编或修改、恢复、使用、披露、传输、传播或其它方式的排列重组、删改使用。

能单独或联合决定个人数据处理目的或方式的自然人或法人、公共机构、政府机关或其他主体。如果此类处理的方式是由欧盟或成员国的法律决定的，那么对控制者的定义或确定控制者的标准应当由欧盟或成员国的法律来规定。

代表控制者处理个人数据的自然人或法人、公共机构、行政机关或其他主体。

个人数据处理发生在一个控制者或处理者在多个成员国所设立的多个营业机构内；或者个人数据处理是在欧盟内的控制者或处理者的单一营业机构内进行的，但其对不止一国的数据主体具有实质性影响。

GDPR的适用范围极广，除了适用于在欧盟内部设立的数据控制者或处理者对个人数据的处理（不论其实际数据处理行为是否在欧盟内进行外），如果存在以下几种情况，即使控制者和处理者没有设立在欧盟内，GDPR同样适用于其对欧盟内的数据主体的个人数据处理：

GDPR较广的适用范围将对中国企业的移动应用安全、数据收集、处理和交易产生重大影响。例如，一家中国的互联网金融公司在中国境内为欧盟数据主体提供金融服务，收集有关个人数据，也应当遵循GDPR相关要求。

除了上述原则外，GDPR还对适用于儿童同意的条件、特殊种类的个人数据处理（如涉及种族出身、政治倾向、宗教或哲学信仰等个人数据的处理）、有关刑事定罪和罪行的个人数据的处理基本原则进行了规范与约束。这些内容主要集中在GDPR的第8~11条。

对于向第三方或国际组织进行个人数据传输，欧盟委员会会对第三方或国际组织对信息的保护充分性进行评估，并可以通过制定实施性法案，确定其是否具有充分的保护。如果欧盟委员会确认第三方或国际组织对该等信息有充分的保护程度，那么该传输不需要任何的授权。

对保护的充分性进行评估的时候，欧盟委员会会特别考虑以下因素：

如果没有得到上述充分性保护确认，控制者或处理者只有提供适当的保障措施，以及为数据主体提供可执行的权利与有效的法律救济措施，才能将个人数据转移到第三国或一个国际组织。这里所谓的适当的保障措施可以是：有约束力的公司规则、欧盟委员会的数据保护标准条款、具有约束力和执行力的承诺等。

如果既没有取得充分保护性确认，又未采取GDPR规定的“适当的保护措施”，向第三国或国际组织传输个人数据仍可能实现，但只应在下列条件之一发生时才可以：

不遵守GDPR，企业将面临较严厉的制裁和巨额的罚款。根据违反条例的严重程度与具体行为，GDPR规定了两层罚款：

GDPR的实施将加重中国企业及跨国公司涉欧业务的合规义务，企业需要从数据处理的各个环节入手进行合规自查与弥补，并构建起一套符合法律法规要求的数据合规体系。这对于大部分企业来说，特别是跨国企业来说是一个工程浩大的项目，这主要因为：

尽管GDPR对企业提出了高标准的合规要求，但这些要求并非是绝对化的。例如，得到同意是数据处理的合法要件，但GDPR也规定了若干可以替代“同意”的其他条件或场景作为数据处理的合法性基础，如数据控制者为了履行法律职责的需要可以进行数据处理；数据控制者为了履行数据主体所参与的合同，或在合同成立前依数据主体请求而进行数据处理等。

从整个GDPR来看，类似上述情况的豁免、限制条款及但书规定不在少数。这些平衡机制的引入，使得GDPR的内容及运营变得远比想象得要复杂，但也为其落地后的实施留下了充足的空间。因此，我们认为，企业也没有必要盲目悲观，尽管需要付诸一定努力及成本实现数据合规，但相关业务的开展与进行，不至于因此被拦腰斩断。

关于GDPR与《网络安全法》(Cyber Security Law, CSL)有两个误区：

以上两种看法都不够客观，也容易使企业陷入一定合规困境。第一种观点，容易让企业合规、法务等部门重复劳动，盲目作业。第二种观点，容易让企业在不知不觉中落入CSL监管与打击的范围内。

我们认为GDPR与CSL是既有重合也有差异的。重合在于，GDPR与CSL在宏观监管方向上是一致，例如GDPR与CSL都对“个人信息”进行了较广泛的定义，都对数据本地化进行了限制与要求，都对数据控制者施加了通知义务，都要求进行数据处理时需得到数据主体同意，都要求数据控制者对数据安全进行评估。差异在于，GDPR与CSL对于技术与制度的细节标准有所不同，例如对于DPO的要求，GDPR要求DPO行使职责时能够有自主权，其需要向上汇报和负责，但不被“领导”。但根据《个人信息安全规范》，“法定代表人或主要负责人对个人信息安全负全面领导责任”，因此CSL下的“DPO”的没有GDPR下DPO的独立性高。

GDPR与CSL中有对相关技术、制度的要求差异，我们认为主要是不同立法目的与需求造成的。具体来说，尽管GDPR与CSL的立法目的都旨在对适用地区的网络安全合规与数据保护提出更高要求，但CSL作为一部框架性的法律，其最重大的意义在于为中国网络安全法制体系的建立打下重要基础。但很多相关的具体制度仍需要接下来的配套法规规章来细化与落实，而相比之下GDPR更直接关注个人信息的自由使用与流通。因此，不难理解个人数据保护仅仅是CSL所保护法益的一个部分，网络运营安全、国家安全同样也是CSL关注的重点，CSL除了个人数据的保护外，还更多关注到企业的网络运营是否会对网络安全、国家安全产生不利影响。因此，企业在进行合规时，应当注意归纳GDPR与CSL的一致方向与要求，也应当从立法目的与技术、制度细节出发，分清各自差异点，这样才能在数据合规时做到“不重不漏”，高效合规。

企业应当根据GDPR的要求结合自身经营模式及业务场景进行技术、制度合规自查与整改，使企业先符合有关要求。这个是迈出数据合规之路的第一步。根据前面介绍的内容，我们认为，企业自查与整改的方向包括但不限于：

在技术、制度符合GDPR要求的基础上，企业还应当完善自身内控机制，包括但不限于：

不论是CSL还是GDPR，现阶段都属于法律实施的起步阶段，企业与执法机构都会在这个过程中遇到很多执行障碍，因此企业在面对执法机构与监管机构的监督检查时，应当尽可能配合其要求。这样既可以减少与执法部门和监管机构之间不必要的冲突，也可以在配合监督检查的过程中再次查缺补漏，更好的了解合规要求及内容。