歐盟個人數據跨境流動保護制度

摘要：在當今大數據時代、云計算大力發展的背景下，跨境數據流動已成為世界關注的焦點之一。當下的社會發展很大程度上依托于互聯網技術，數據信息的傳輸交流日益頻繁，但網絡的特殊性使得對網絡領域的治理和監管成為難題。在這一領域，歐盟對個人數據跨境流動的保護走在世界前沿。我國應當借鑒歐盟采用統一的立法模式，深化與歐盟的合作，立足全球視野，加強國際交流。

關鍵詞：歐盟；數據跨境流動；數據保護

為了更好地實現個人數據保護，歐盟分別對歐盟成員國內部和第三國制定了不同的制度。歐盟內部對個人數據跨境流動的保護主要通過《個人數據保護指令》和《通用數據保護條例》這兩部法律加以規定，本文也將主要介紹這兩部法律。

一、《個人數據保護指令》

《個人數據保護指令》是歐洲歷史上非常重要的一部保護個人數據的法令，在這部法律中，個人數據包括了可以定位或識別到特定自然人的所有數據，這個定義是非常寬泛的，使得它的可適用性很強。當能夠將信息鏈接到特定的人時，此數據就是“個人數據”，即使持有數據的人不能創建此鏈接。能被評價為個人數據的如：地址、信用卡號、銀行結單、犯罪記錄等。《指令》對排斥范圍也作出了明確和具體的規定，主要包括涉及國家安全、正當司法活動和不用于商業活動而僅僅用于個人及家庭活動的數據收集等方面。通過列舉這些排斥情形，使得除此之外的與個人數據相關的活動都涵蓋在《指令》的適用范圍之內。

《指令》對處理個人數據作出了規定，除非符合某些條件，否則不應處理任何個人數據。這些條件可分為三類：透明度、合法目的和相稱性。透明度指數據主體有在他人處理其個人數據時獲通知的權利，數據處理方必須提供他的姓名和地址、處理的目的、數據的接收人，以及確保處理公平所需的所有其他資料。合法目的指個人數據只可作明確及合法的指定用途，而不得作與該等用途不相容的進一步處理，個人數據必須受到保護，不受濫用。相稱性指個人數據只有在與收集或進一步處理的目的相關而不過分的情況下才可予以處理。數據必須準確，并在有需要時保持更新狀態，及時刪除或更正不準確、不完整的數據，這對數據處理方采取合理措施提出了要求。此外，《指令》還規定當敏感的個人數據被處理時，要受到額外的限制。

二、《通用數據保護條例》

《通用數據保護條例》是歐盟法律中針對歐盟（EU）和歐洲經濟區（EEA）所有公民的個人數據保護和隱私的規定，它還涉及歐盟和歐洲經濟區以外地區的個人數據轉移。2012年，歐盟委員會在宣布立法提案時就指出，這項新立法的目標包括：將27項國家數據保護法規統一為一項法規；改進歐盟以外的公司數據傳輸規則；改進用戶對個人識別數據的控制。GDPR于2016年4月14日通過，歐盟委員會將其生效日期定為2018年5月25日，就是為了讓世界各地的企業有機會為合規做準備，審查合同中的數據保護語言，考慮向國際標準過渡，更新隱私政策，并審查營銷計劃。

因此GDPR的最大變化是拓寬了個人數據的保護范圍，其主要目標是讓個人對其個人數據擁有控制權，并通過統一歐盟內部成員國的監管，來簡化開展國際業務的監管環境。

該條例對處理個人數據的標準作出了明確規定，至少要有一項法律依據，否則不得處理個人數據。比如數據主體當事人同意處理其個人資料；與數據主體履行合約上的義務，或應正在訂立合約的數據主體的要求履行合約上的任務；遵守數據管理員的法律責任；保護數據主體或其他個人的切身利益；執行符合公眾利益或具有官方權力的任務。如使用知情同意作為處理數據的合法依據，則必須是對所收集的數據作出的明確同意，同意必須是當事人所作的明確、自由的肯定。

三、對我國的啟示

相對于歐盟，我國起步較晚。多領域的數據跨境服務離不開數據流動的支撐，個人數據被收集與處理的情況也逐漸增加，我國在個人數據保護上面臨著巨大的壓力。歐盟在個人數據跨境流動方面立法先進，制度完備，其法律規制對我國具有重要的借鑒意義。

第一，采用統一的立法模式。結合我國目前個人數據保護的現狀，為了彌補法律層級較低、規定分散的缺點，應當加快制定一部有關個人數據保護專門法律的進程。明確、規范的對個人數據跨境流動作出規定，有助于公民個人建立完整的權利意識，有利于司法實踐以及和國際接軌。第二，進一步深化與歐盟的合作。歐盟是我國最大的貿易伙伴，若雙方之間個人數據跨境流動存在困難，可能會給我國企業的跨國發展造成極大的不便，不利于雙方的合作與交流。對此，中國應該盡快制定出符合國情的個人數據保護法，我國政府可以借鑒歐美之間過去使用的安全港協議及新達成的隱私盾協議的經驗，積極與歐盟展開展政治協議的談判以滿足我國經濟發展的需要。第三，立足全球視野，加強國際交流。當前全球化已成為發展趨勢，數據流動也呈現全球化態勢，但我國目前在相關領域的國際合作上還缺乏參與度，對于個人信息的保護不夠全面和深入。本國數據保護法是一國參與到跨境數據流動國際對話的前提和基礎，因此加強國際合作是很有必要的。歐美發達國家為了維護自身利益，正加緊出臺相應的配套措施，以此來提升其國際影響力，爭取更多的國際話語權。我國作為最大的發展中國家，也應當更主動地參與到個人數據保護的國際對話中，建立以滿足我國利益為出發點的政策標準，在交流中吸取發達國家的經驗，促進自身的發展，提高我國的個人數據保護立法水平。

四、結語

歐盟對個人數據跨境流動的保護采取了內外有別的方式，對成員國內部的數據流動采用統一標準和法律指引，對外則設置了嚴格的標準，旨在避免個人數據在歐盟外的風險。目前我國在個人數據跨境保護方面還存在著諸多不足，借鑒歐盟的立法經驗有利于我們取長補短，構建符合中國實際的個人數據保護制度。

參考文獻：

[1] 陳飛.個人數據保護：歐盟指令及成員國法律、經合組織指導方針[M].北京：法律出版社，2006.

[2] 杜碩.歐盟個人數據跨境流動的立法對中國的啟示[D].濟南：山東大學，2018.

作者簡介：鄭鳴（1995-），女，土家族，湖南張家界人，碩士研究生，研究方向：信用法治。