欧盟通用数据保护条例 Regulation (EU) 2016/679 2016/679

透明的信息、沟通和行使数据主体权利的方式 1. 控制者应采取适当措施，以简洁、透明、易懂且易于访问的形式，使用清晰、通俗易懂的语言，提供第 13 条和第 14 条中提到的任何信息以及第 15 条至第 22 条和第 34 条中与数据主体处理相关的任何通信，特别是针对专门针对儿童的任何信息。该信息应以书面形式或通过其他方式提供，包括在适当情况下通过电子方式提供。当数据主体提出要求时，可以口头提供信息，前提是通过其他方式证明数据主体的身份。 2. 控制者应为数据主体行使第 15 条至第 22 条规定的权利提供便利。在第 11 条第（2）款所述情况下，控制者不得拒绝数据主体根据第 15 条至第 22 条行使其权利的请求，除非控制者证明其无法识别数据主体的身份。 3. 控制者应立即向数据主体提供有关根据第 15 条至第 22 条提出的请求所采取行动的信息，并且无论如何应在收到请求后的一个月内提供信息。考虑到请求的复杂性和数量，如有必要，该期限可再延长两个月。控制者应在收到请求后一个月内通知数据主体任何此类延期，并说明延迟的原因。如果数据主体以电子形式提出请求，则应尽可能以电子方式提供信息，除非数据主体另有要求。 4. 如果控制者未根据数据主体的请求采取行动，则控制者应立即并最迟在收到请求后一个月内通知数据主体不采取行动的原因以及向监管机构提出投诉并寻求司法救济的可能性。 5. 根据第 13 条和第 14 条提供的信息以及根据第 15 条至第 22 条和第 34 条采取的任何沟通和采取的任何行动均应免费提供。如果数据主体的请求明显没有根据或过度，特别是由于其重复性，控制者可以： (一) 考虑提供信息或通信或采取所要求的行动的管理费用，收取合理的费用；或 (二) 拒绝按照请求采取行动。 控制者应承担证明请求明显毫无根据或过度的性​​质的责任。 6. 在不影响第 11 条的情况下，如果控制者对提出第 15 条至第 21 条所述请求的自然人的身份有合理怀疑，控制者可以要求提供确认数据主体身份所需的附加信息。 7. 根据第 13 条和第 14 条向数据主体提供的信息可以与标准化图标结合提供，以便以易于看到、理解和清楚易读的方式给出预期处理的有意义的概述。如果图标以电子方式呈现，则它们应是机器可读的。 8. 委员会有权根据第 92 条采取授权行为，以确定图标要呈现的信息以及提供标准化图标的程序。

从数据主体收集个人数据时需要提供的信息 1. 如果从数据主体收集与数据主体相关的个人数据，控制者应在获取个人数据时向数据主体提供以下所有信息： (一) 控制者以及控制者代表（如适用）的身份和联系方式； (二) 数据保护官的联系方式（如适用）； (三) 个人数据处理的目的以及处理的法律依据； (四) 如果处理是基于第 6(1) 条 (f) 点，则控制者或第三方追求的合法利益； （五） 个人数据的接收者或接收者类别（如有）； （六） 在适用的情况下，控制者打算将个人数据转移到第三国或国际组织的事实以及委员会是否存在充分性决定，或者在第 46 条或第 47 条或第 49(1) 条第二项中提到的转移的情况下，提及适当或适当的保障措施以及获取其副本或已提供这些副本的方式。 2. 除了第 1 款中提到的信息外，控制者还应在获取个人数据时向数据主体提供以下必要的进一步信息，以确保公平和透明的处理： (一) 个人数据的存储期限，或者如果不可能，则用于确定该期限的标准； (二) 是否有权要求控制者访问、更正或删除个人数据或限制有关数据主体的处理或反对处理以及数据可移植性的权利； (三) 如果处理是基于第 6(1) 条 (a) 点或第 9(2) 条 (a) 点，则存在随时撤回同意的权利，而不影响撤回之前基于同意进行的处理的合法性； (四) 向监管机构提出投诉的权利； （五） 提供个人数据是否是法定或合同要求，或者是签订合同所必需的要求，以及数据主体是否有义务提供个人数据以及不提供此类数据可能产生的后果； （六） 存在自动决策，包括第 22(1) 和 (4) 条中提到的分析，并且至少在这些情况下，有关所涉及逻辑的有意义的信息，以及此类处理对数据主体的意义和预期后果。 3. 如果控制者打算出于收集个人数据的目的以外的目的进一步处理个人数据，则控制者应在进一步处理之前向数据主体提供有关该其他目的的信息以及第 2 段中提到的任何相关的进一步信息。 4. 如果数据主体已经拥有该信息，则第 1、2 和 3 款不适用。

未从数据主体获得个人数据时应提供的信息 1. 如果尚未从数据主体处获取个人数据，控制者应向数据主体提供以下信息： (一) 控制者以及控制者代表（如适用）的身份和联系方式； (二) 数据保护官的联系方式（如适用）； (三) 个人数据处理的目的以及处理的法律依据； (四) 有关个人数据的类别； （五） 个人数据的接收者或接收者类别（如有）； （六） 在适用的情况下，控制者打算将个人数据转移给第三国或国际组织的接收者，以及委员会是否做出充分性决定，或者在第 46 条或第 47 条或第 49(1) 条第二项中提到的转移的情况下，提及适当或适当的保障措施以及获取其副本的方式或已提供的方式。 2. 除了第 1 款中提到的信息外，控制者还应向数据主体提供以下必要的信息，以确保对数据主体进行公平和透明的处理： (一) 个人数据的存储期限，或者如果不可能，则用于确定该期限的标准； (二) 如果处理是基于第 6(1) 条 (f) 点，则控制者或第三方追求的合法利益； (三) 是否存在要求控制者访问、更正或删除个人数据或限制有关数据主体的处理并反对处理的权利以及数据可移植性的权利； (四) 如果处理是基于第 6(1) 条 (a) 点或第 9(2) 条 (a) 点，则存在随时撤回同意的权利，而不影响撤回之前基于同意进行的处理的合法性； （五） 向监管机构提出投诉的权利； （六） 个人数据的来源，以及如果适用，是否来自可公开访问的来源； （克） 存在自动决策，包括第 22(1) 和 (4) 条中提到的分析，并且至少在这些情况下，有关所涉及逻辑的有意义的信息，以及此类处理对数据主体的意义和预期后果。 3. 控制者应提供第 1 款和第 2 款中提到的信息： (一) 在获取个人数据后的合理期限内，但最迟在一个月内，考虑到处理个人数据的具体情况； (二) 如果个人数据用于与数据主体进行通信，则最晚在与该数据主体首次通信时；或 (三) 如果打算向其他接收者披露，则最迟在首次披露个人数据时。 4. 如果控制者打算出于获取个人数据的目的以外的目的进一步处理个人数据，则控制者应在进一步处理之前向数据主体提供有关该其他目的的信息以及第 2 款中提到的任何相关的进一步信息。 5. 第 1 款至第 4 款不适用于以下情况： (一) 数据主体已经拥有该信息； (二) 提供此类信息被证明是不可能的或将涉及不成比例的努力，特别是为了公共利益的存档目的、科学或历史研究目的或统计目的而进行的处理，但须遵守第 89 条第(1)款所述的条件和保障措施，或者本条第 1 款所述的义务可能导致不可能或严重损害实现该处理的目标。在这种情况下，控制者应采取适当措施保护数据主体的权利、自由和合法利益，包括公开信息； (三) 控制者须遵守的联盟或成员国法律明确规定了获取或披露的情况，并提供了适当的措施来保护数据主体的合法利益；或 (四) 个人数据必须保密，并遵守联盟或成员国法律规定的专业保密义务，包括法定保密义务。

数据主体的访问权 1. 数据主体有权从控制者处获得有关其个人数据是否正在被处理的确认，并且在这种情况下，有权访问个人数据和以下信息： (一) 处理的目的； (二) 有关个人数据的类别； (三) 已经或将要披露个人数据的接收者或接收者类别，特别是第三国或国际组织的接收者； (四) 如果可能，个人数据的存储期限，或者如果不可能，用于确定该期限的标准； （五） 是否有权要求控制者纠正或删除个人数据或限制处理有关数据主体的个人数据或反对此类处理； （六） 向监管机构提出投诉的权利； （克） 如果个人数据不是从数据主体收集的，则有关其来源的任何可用信息； （八） 存在自动决策，包括第 22(1) 和 (4) 条中提到的分析，并且至少在这些情况下，有关所涉及逻辑的有意义的信息，以及此类处理对数据主体的意义和预期后果。 2. 如果个人数据被转移到第三国或国际组织，数据主体应有权获知根据第 46 条与转移相关的适当保障措施。 3. 控制者应提供正在处理的个人数据的副本。对于数据主体请求的任何进一步副本，控制者可以根据管理成本收取合理的费用。数据主体通过电子方式提出请求的，除非数据主体另有要求，信息应当以常用的电子形式提供。 4. 第 3 款中提及的获取副本的权利不得对他人的权利和自由产生不利影响。

整改权 数据主体有权立即要求控制者纠正与其相关的不准确个人数据。考虑到处理的目的，数据主体有权补全不完整的个人数据，包括通过提供补充声明的方式。

删除权（“被遗忘权”） 1. 数据主体有权要求控制者立即删除与其有关的个人数据，并且在以下理由之一适用的情况下，控制者有义务立即删除个人数据： (一) 就收集或以其他方式处理个人数据的目的而言，不再需要这些个人数据； (二) 数据主体撤回根据第 6(1) 条 (a) 点或第 9(2) 条 (a) 点进行处理所依据的同意，并且没有其他法律依据进行处理； (三) 数据主体反对根据第 21(1) 条进行处理，并且没有压倒性的合法理由进行处理，或者数据主体反对根据第 21(2) 条进行处理； (四) 个人数据已被非法处理； （五） 为了遵守控制者所遵守的联盟或成员国法律中的法律义务，必须删除个人数据； （六） 个人数据的收集与提供第 8(1) 条中提到的信息社会服务有关。 2. 如果控制者已公开个人数据并根据第 1 款有义务删除个人数据，则考虑到现有技术和实施成本，控制者应采取合理措施（包括技术措施）通知正在处理个人数据的控制者，数据主体已要求控制者删除这些个人数据的任何链接或复制品。 3. 第 1 款和第 2 款不适用于需要进行处理的情况： (一) 行使言论和信息自由权； (二) 为了遵守要求控制者遵守的联盟或成员国法律进行处理的法律义务，或者为了执行为了公共利益而执行的任务，或者为了行使控制者所拥有的官方权力； (三) 根据第 9(2) 条第 (h) 和 (i) 点以及第 9(3) 条，出于公共卫生领域公共利益的原因； (四) 根据第 89(1) 条，为了公共利益的归档目的、科学或历史研究目的或统计目的，只要第 1 款中提到的权利可能导致不可能或严重损害实现该处理的目标；或 （五） 用于提出、行使或辩护法律主张。

限制处理的权利 1. 在下列情况之一适用的情况下，数据主体有权从控制者那里获得处理限制： (一) 数据主体对个人数据的准确性提出质疑，一段时间内使控制者能够验证个人数据的准确性； (二) 该处理是非法的，并且数据主体反对删除个人数据并要求限制其使用； (三) 控制者不再需要个人数据来进行处理，但数据主体需要这些数据来建立、行使或辩护法律主张； (四) 数据主体反对根据第 21(1) 条进行处理，等待验证控制者的合法理由是否优先于数据主体的合法理由。 2. 如果处理受到第 1 款的限制，则除存储外，此类个人数据仅应在数据主体同意的情况下进行处理，或用于建立、行使或辩护法律主张，或用于保护其他自然人或法人的权利，或出于联盟或成员国的重要公共利益的原因。 3. 根据第 1 款获得处理限制的数据主体应在处理限制解除前由控制者通知。

有关纠正或删除个人数据或限制处理的通知义务 控制者应将根据第 16 条、第 17(1) 条和第 18 条对个人数据进行的任何更正或删除或处理限制告知已向其披露个人数据的每个接收者，除非事实证明这是不可能的或需要付出过多的努力。如果数据主体提出要求，控制者应告知数据主体有关这些接收者的信息。

数据可移植性的权利 1. 数据主体有权以结构化、常用和机器可读的格式接收他或她向控制者提供的有关他或她的个人数据，并有权将这些数据传输给另一个控制者，而不受已提供个人数据的控制者的阻碍，其中： (一) 处理基于第 6(1) 条 (a) 点或第 9(2) 条 (a) 点的同意，或根据第 6(1) 条 (b) 点的合同；和 (二) 处理是通过自动化方式进行的。 2. 在根据第 1 款行使其数据可移植性权利时，数据主体应有权在技术可行的情况下将个人数据从一个控制者直接传输到另一个控制者。 3. 行使本条第 1 款所述权利不应损害第 17 条。该权利不适用于为执行公共利益而执行的任务或行使控制者的官方权力所必需的处理。 4. 第 1 款提及的权利不得对他人的权利和自由产生不利影响。

反对权 1. 数据主体有权基于与其具体情况有关的理由，随时反对根据第 6(1) 条 (e) 或 (f) 点处理与其有关的个人数据，包括基于这些规定的分析。控制者不得再处理个人数据，除非控制者证明有令人信服的合法理由进行处理，该理由凌驾于数据主体的利益、权利和自由之上，或者用于建立、行使或辩护法律主张。 2. 如果出于直接营销目的而处理个人数据，则数据主体有权随时反对出于此类营销目的处理与其相关的个人数据，其中包括与此类直接营销相关的分析。 3. 如果数据主体反对出于直接营销目的进行处理，则不得再为此类目的处理个人数据。 4. 最迟在与数据主体首次沟通时，应明确提请数据主体注意第 1 款和第 2 款中提到的权利，并应与任何其他信息分开清晰地呈现。 5. 在使用信息社会服务的背景下，尽管有指令 2002/58/EC，数据主体仍可以使用技术规范通过自动方式行使其反对权。 6. 如果根据第 89 条第（1）款为科学或历史研究目的或统计目的处理个人数据，数据主体有权基于其具体情况反对处理与其有关的个人数据，除非该处理是为了执行出于公共利益原因而执行的任务所必需的。

自动化个人决策，包括分析 1. 数据主体有权不接受仅基于自动化处理（包括分析）的决定，该决定对他或她产生法律效力或类似地对其产生重大影响。 2. 如果该决定符合以下条件，则第 1 款不适用： (一) 是数据主体与数据控制者之间签订或履行合同所必需的； (二) 经联盟或成员国法律授权，控制者须遵守该法律，该法律还规定了适当的措施来保护数据主体的权利、自由和合法利益；或 (三) 基于数据主体的明确同意。 3. 在第 2 款 (a) 和 (c) 点提到的情况下，数据控制者应采取适当的措施来保护数据主体的权利、自由和合法利益，至少是获得控制者人为干预、表达其观点并对决定提出异议的权利。 4. 第 2 款中提到的决定不应基于第 9 条第 (1) 款中提到的特殊类别的个人数据，除非适用第 9 条第 (2) 款 (a) 或 (g) 点，并且采取了适当措施来保护数据主体的权利、自由和合法利益。

限制 1. 数据控制者或处理者所遵守的联盟或成员国法律可以通过立法措施限制第 12 至 22 条和第 34 条以及第 5 条规定的义务和权利的范围，只要其规定与第 12 至 22 条规定的权利和义务相对应，前提是这种限制尊重基本权利和自由的本质，并且是民主社会中必要且相称的措施，以保障： (一) 国家安全； (二) 防御； (三) 公共安全； (四) 预防、调查、侦查或起诉刑事犯罪或执行刑事处罚，包括防范和防止对公共安全的威胁； （五） 联盟或成员国一般公共利益的其他重要目标，特别是联盟或成员国的重要经济或金融利益，包括货币、预算和税收事项、公共卫生和社会保障； （六） 保护司法独立和司法程序； （克） 预防、调查、侦查和起诉受监管职业的违反道德行为； （八） 在(a)至(e)和(g)点提到的情况下，与行使官方权力有关的监督、检查或监管职能，即使偶尔也是如此； (一) 保护数据主体或他人的权利和自由； (j) 民法索赔的执行。 2. 特别是，第 1 款提及的任何立法措施应至少在相关情况下包含以下具体规定： (一) 处理的目的或处理的类别； (二) 个人数据的类别； (三) 实施限制的范围； (四) 防止滥用或非法访问或转移的保障措施； （五） 控制器的规格或控制器的类别； （六） 考虑到处理或处理类别的性质、范围和目的，存储期限和适用的保障措施； （克） 数据主体的权利和自由面临的风险；和 （八） 数据主体被告知有关限制的权利，除非这可能有损于限制的目的。