SEO 百科
GDPR
本页目录
GDPR
GDPR指欧盟的通用数据保护条例，正式名称是欧洲议会和理事会 2016 年第 679 号条例，也就是 Regulation (EU) 2016/679[1]。该条例于 2016 年 4 月 27 日通过，自 2018 年 5 月 25 日起适用[1]。面向欧盟用户的网站需要留意它，因为只要向欧盟境内的人提供商品或服务，或者监控其行为，就可能落入管辖范围[1]。
适用范围与域外效力
条例第三条界定了管辖。设立在欧盟境内的控制者与处理者，处理个人数据时适用本条例[1]。设立在欧盟境外的主体也有被覆盖的情形，条文列出两种：向欧盟境内的数据主体提供商品或者服务；监控数据主体在欧盟境内的行为[1]。面向欧盟用户并投放个性化广告的境外站点，正落在这两种情形里。
条例按角色区分责任。控制者决定处理的目的与方式，处理者受控制者委托代为处理[1]。用第三方统计或客服工具的站点，通常同时是控制者，工具方是处理者。
处理原则与合法性基础
条例第五条给出七项原则，它们是后续规则的基础[1]：
- 合法性、公平与透明
- 目的限制
- 数据最小化
- 准确性
- 存储限制
- 完整性与保密性
- 问责
处理个人数据要有合法性基础。第六条列出六种情形，同意只是其中之一，还包括履行合同所必需、履行法定义务、保护重大利益、执行公共任务与合法利益[1]。
同意的质量要求写在第七条。同意应当由数据主体自由给出、具体、知情并且明确，撤回同意的难度要与给出同意相当[1]。健康、生物识别等特殊类别数据的处理另有更严的限制[1]。
数据主体的权利
条例给数据主体一组可行使的权利，条文集中在第十五条至第二十二条[1]：
- 访问权，可以确认自己的数据是否被处理并取得副本
- 更正权
- 删除权，也就是被遗忘权
- 限制处理权
- 数据可携带权
- 反对权
- 不受完全自动化决策约束的权利
响应有时限。控制者应当在收到请求后一个月内作出回应，复杂情形可以再延长两个月[1]。删除权在欧盟已有判例支撑，搜索引擎在欧盟境内要按被遗忘权的要求处理移除请求。
控制者的义务
义务围绕制度、记录与安全展开。控制者应当落实数据保护措施并能够证明合规，这就是问责原则[1]。产品与服务的默认设置也要保护数据，条例称之为数据保护的设计与默认[1]。
记录与评估是两项常规动作。达到一定规模的处理活动要保存处理活动记录[1]。高风险处理在开始之前要做数据保护影响评估[1]。
安全与泄露通知有硬指标。控制者应当采取与风险相适应的技术与组织措施保护数据[1]。发生数据泄露时，要在知悉后 72 小时内通知监管机构；风险较高时还要通知数据主体[1]。
跨境传输另有一条线。向欧盟境外传输个人数据，要依据充分性决定、标准合同条款或者有约束力的公司规则等机制[1]。
违规后果
处罚上限按两档设定。较轻的一档最高为 1000 万欧元，或者企业上一财政年度全球总营业额的 2%，取两者中较高者[1]。较重的一档最高为 2000 万欧元，或者全球总营业额的 4%[1]。
执法主体是各成员国的数据保护监管机构。跨境案件按一站式机制由主责监管机构牵头，其他机构配合，欧洲数据保护委员会负责协调[2]。除罚款之外，监管机构还可以要求限期整改、限制处理或者暂停数据流动[1]。
对 SEO 的影响
同意机制会改变分析数据的口径。统计与广告脚本要在取得同意后运行，未同意的访问无法被完整记录，报表里的会话与转化都会偏低[1]。
同意入口要能撤回。条例要求撤回同意与给出同意一样容易，站点的 Cookie 设置里因此需要留下撤回通道[1]。把撤回入口藏起来会直接落在这一条上。
被遗忘权影响欧盟地区的收录。数据主体可以要求删除个人数据，搜索引擎在欧盟范围内要按被遗忘权处理移除请求[1]。涉及个人信息的页面在欧盟查询里可能被降位或者移除。
跨境传输规则影响工具选型。把欧盟用户数据传输到境外，需要对应的传输机制[1]。选用统计、邮件或者客服工具之前，要先确认数据流向与传输依据。
常见误用
一个误用是以为 GDPR 只管欧盟公司。条文按是否向欧盟境内的人提供商品或服务判定，境外的站点同样可能被覆盖[1]。
另一个误用是以为同意弹窗点过一次就够。同意要具体、知情并且可以撤回，处理目的变化后要重新取得同意[1]。
还有一个误用是把假名化当成匿名化。假名化之后的数据仍能关联到个人，仍然属于个人数据[1]。
附录
参见
参考资料
官方（境外）
- 《Regulation (EU) 2016/679 (General Data Protection Regulation)》，EUR-Lex，2016-04-27。
- 《European Data Protection Board》，欧洲数据保护委员会。
外部链接
无。