|
5月25日，欧盟新的《通用数据保护条例》（简称GDPR）生效，今后互联网公司要使用用户数据必须事先获得欧盟批准，违反条例的企业可能面对高达2000万欧元的罚款或其全球营业额的4%。 该条例被认为是欧盟有史以来最严格的网络数据管理法规，迫使企业在处理客户数据时更为审慎。条例生效之前，从网络巨头到初创公司都已忙着修改甚至重塑其保护用户数据的流程。一段时间以来，欧盟地区网民纷纷收到互联网公司修改“用户政策”的提示。 该条例规定，对未采取技术或管理措施来避免、降低隐私侵权损害风险的互联网公司，最高可罚款1000万欧元或全球营业额的2％（以较高者为准）；对违反个人信息收集和使用基本原则以及没有保障数据主体权利的互联网公司，最高可罚款2000万欧元或全球营业额的4％（以较高者为准）。跨国网络巨头一旦违规，很可能将面临“天价”处罚。  受该条例管辖的不仅是传统意义上的互联网公司。一家国际信用评级机构也发来邮件让记者选择“请继续向我提供资讯”或“请把我从通讯录中移除”。也就是说，企业只要处理或留存了用户数据，哪怕只是电子邮件地址这样看似并不特别敏感的信息，哪怕从事的业务并非狭义的互联网服务，但涉及用户数据也在新条例管辖范围之内。 新条例还赋予了欧盟域外管辖权，不仅管辖注册地或总部在欧盟内的企业，也完全可能管辖“地理上”位于欧盟外的企业：根据规定，只要企业向欧盟内的用户提供产品、服务，或持有、处理欧盟内用户的数据，都在管辖范围之内。比如脸书、推特这样的美国社交网络公司，由于在欧盟有大批用户，那么至少在保存、处理欧盟用户数据时，必须符合规定。 纳入新规保护范围的用户数据种类全面细致。除了姓名、地址、证件号码、网络IP地址等通常意义上的个人信息，以及指纹、虹膜等生物识别数据、医疗记录等十分隐私的个人信息，新规还涵盖了例如用户的种族、宗教信仰甚至性取向等多方面信息。 新规还确立了被遗忘权、删除权、可携带权等一系列用户权利。根据条例，用户可以要求掌握其数据的企业删除其个人数据、避免个人信息传播。而可携带权将使用户有权向企业索取本人数据，并自主决定用途，这意味着用户将能够像管理金融资产一样对个人数据信息进行“搬家”。 近几个月，脸书公司因为被揭发在用户数据大规模泄露之后长时间隐瞒不报，遭到广泛批评。 欧盟新规下，企业一旦发现用户数据泄露，必须在72小时内报告监管机构。在欧盟层面，增设了欧洲数据保护理事会这一新机构；在欧盟成员国层面，各国数据监管机构的检查、执法、处罚以及司法机制安排也得到了明确界定；对于用户而言，新规允许他们有权要求监管机构在规定时限内对违规行为进行调查。如数据监管机构调查不力，用户有权向法院提起诉讼，以更好地保护用户权利。 路透社指出，新条例实施首日，美国主要媒体包括《洛杉矶时报》和《芝加哥论坛报》被迫关闭了它们在欧洲部分地区的网站。国际隐私专业人员协会表示，至5月25日只有四成企业完全符合这项新法规的要求。 来源 | 新华社 联合早报 编辑 | 鲁佳  |
