GDPR：欧盟居民个人数据处理新规则

已发表: 2018-05-25

该法规直接影响所有 28 个欧盟国家，将取代 1995 年 10 月 24 日关于保护个人数据的框架指令 95/46 / EC。个人数据的处理，因此如果服务专注于欧洲或国际市场，公司应密切关注这些数据。

新法规为欧盟居民提供了全面控制其个人数据的工具。 自 2018 年 5 月以来，违反个人数据处理规则的责任变得更加严厉：根据 GDPR，罚款金额高达 2000 万欧元或公司全球年收入的 4%。 在本文中，我们分析了欧盟处理个人数据的新规则，并为公司制定了如何应对 GDPR 的建议。

GDPR 行动区

GDPR 具有域外效力，适用于所有处理居民和欧盟公民个人数据的公司，无论此类公司位于何处。

当然，组织在欧盟境内的分支机构和代表处必须满足新的要求。

在以下示例中将考虑其他（不明显）类别的主题：

该组织位于欧盟境外。 它向包括欧盟用户在内的用户销售在线产品和服务。 在欧盟国家的国家顶级域名（例如 .de、.nl 或 .co.uk）上，以当地语言以当地货币向用户提供服务。 同时，该组织不直接在欧盟境内开展任何业务或分包商。

这样的组织是否应该遵守 GDPR？

确实是的。 毕竟，服务和商品显然是提供给欧盟居民的，因为：

  • 服务/商品适应欧盟居民的当地语言；
  • 服务/商品以欧盟当地货币支付；
  • 服务/商品在欧盟国家的国家顶级域名上提供。

这意味着在实施在线销售的不同国家/地区处理欧洲人个人数据的组织（例如，铁路、航空公司、酒店、旅馆等）受 GDPR 约束，并且必须遵守新的欧洲个人数据处理法规。

需要注意的是，除了GDPR中的个人数据处理之外，还使用了监控数据主体行为的概念，这驱动了GDPR下的另一类主体。 GDPR 适用于在欧盟以外设立的组织（作为控制者或处理者）控制欧盟居民的行为（在此类行为发生在欧盟的范围内）。 监测可以包括：

  • 在互联网上跟踪欧盟居民；
  • 使用数据处理方法来分析个人、他们的行为或他们与某事的关系（例如，分析或预测个人偏好）。

欧洲立法者还共享数据控制者和数据处理者的概念。 控制者作为船长，比处理者在船上担任海员承担更大的法律责任。 事实上，控制者决定个人数据的处理方式并负责处理，而处理者是某种“执行者”。

例如，您的员工用来执行任务和项目的云系统（也存储客户的个人数据）将是数据处理器，而您相应地是控制器。

GDPR 中的个人数据是什么意思？

个人数据是与已识别或可识别的个人（数据主体）相关的任何信息，通过这些信息可以直接或间接确定。 除其他外，此类信息包括姓名、位置、在线标识符或与该个人的身体、生理、遗传、智力、经济、文化或社会身份（第 1 节第 4 项）不同的一个或多个因素。 该定义非常广泛且相当明确，即使 IP 地址也可以是个人数据。

需要注意的是，某些类型的个人数据属于特殊或机密个人数据类别。 该信息披露了种族或民族血统、政治观点、宗教或哲学信仰以及工会成员身份。 此外，该组包括用于识别个人的遗传、生物特征数据、健康状况数据、与性生活或性取向有关的信息（第 9 条）。

GDPR 数据处理的 6 条原则

欧洲人处理个人数据的一般方法以六项基本原则的形式制定：

  1. 合法、公正、透明。 必须合法、公平和透明地处理个人数据。 有关个人数据处理的目的、方法和数量的任何信息都应尽可能简单易懂地说明。
  2. 目的限制。 应仅出于公司规定的目的（在线服务）收集和使用数据。
  3. 数据最小化。 您收集的个人数据量不能超过处理目的所需的量。
  4. 准确性。 必须删除或更正不准确的个人数据（应用户要求）。
  5. 存储限制。 个人数据必须以允许识别数据主体的形式存储，时间不超过处理目的所需的时间。
  6. 诚信和保密。 在处理用户数据时，公司必须确保保护个人数据免受未经授权或非法的处理、破坏和损坏。

关键要求

违反 GDPR 的通知

公司必须在发现此类违规行为后 72 小时内将任何与个人数据相关的违规行为通知监管机构（在某些情况下是数据主体）。

例如，最近有关 Uber 遭到黑客攻击的消息就是违反这一规则的生动例子。 优步告诉媒体，一年后黑客可以访问 5700 万用户和司机的个人数据。 如果 GDPR 现在生效，将无法避免高达年营业额 4% 的罚款。

此处列出了所有欧盟国家个人数据领域的国家当局名单。 还有一个泛欧监管机构——第 29 工作组或第 29 条工作组。然而，在 GDPR 生效后，第 29 条工作组将取代新机构——欧洲数据保护委员会 (EDPB ）。

数据主体（个人）的权利

GDPR 显着扩大了公民和欧盟居民控制其个人数据的权利。 欧洲用户有权要求确认其数据的处理、处理的地点和目的、正在处理的个人数据的类别、向哪些第三方披露个人数据、处理数据的时间段以及还要澄清组织收到个人数据的来源并要求更正。 此外，用户有权要求终止对其数据的处理。

GDPR 还规定了擦除权和被遗忘权，这使欧洲人能够根据要求删除其个人数据，以避免将其分发或转移给第三方。

这不是一项新权利； 它也在当前的指令中。 欧盟法院 (CJEU) 在 2014 年对 Google 西班牙案的裁决中解释说，如果数据主体不代表公共利益，则有权从搜索结果中删除有关他们的信息。 然而，被遗忘权不仅延伸到搜索引擎。 任何处理数据的公司如果不违背公众利益或欧洲人的其他基本权利，则必须根据要求删除某人的个人数据。

例如，如果您是一家新闻服务机构，在您删除数据之前，请检查并确保此类删除不会影响言论自由和《欧盟人权宪章》第 11 条保障欧洲人获取信息的权利。

数据可移植性的权利

数据可移植性权利是 GDPR 引入的欧盟数据处理规则的一项创新。 该权利要求公司根据个人数据主体的要求向另一家公司提供免费的个人数据电子副本。

例如，一家名为“Sunny”的初创公司想通过一个社交媒体交流网站进入市场，但市场上已经有自己的巨头占据了很大的市场份额。 数据可移植性的权利将使潜在客户更容易将他们的数据从一项在线服务传输到另一项在线服务（无需在不同站点上重新输入相同的数据）。

另一个例子。 数据主体使用电子书阅读器服务“E-book”。 在某一时刻，用户决定切换到“在线阅读”服务。 在这种情况下，数据可移植性的权利允许您从“电子书”中获取个人数据（例如，文献中的偏好等）并将其转移到其他服务。

同意处理

GDPR 对获得数据处理同意的形式提出了很高的要求。 一个人对其个人数据处理的同意必须以声明的形式或以明确和积极的用户行为的形式表达。 如果用户别无选择或无法在不损害自己的情况下撤回其同意，则处理个人数据的同意将无效。 如果用户同意处理他/她的个人数据，控制者必须能够证明这一点。

不建议使用已勾选的默认同意字段或其他默认获取同意的方法。 同意也不能以用户沉默或不作为的形式表达。 有关撤销同意处理个人数据的程序的信息必须以用户可以轻松找到的方式放置。

对儿童的特殊保护

儿童的个人数据应得到特别保护，因为他们对处理个人数据的风险、后果、保障和他们的权利知之甚少。 处理儿童数据的同意必须得到父母（或儿童的法定代表）的授权。 父母授权的年龄门槛由欧盟成员国（13 至 16 岁）单独设定。

任命负责保护个人数据的人员

此要求适用于进行定期和系统的大规模观察、监测个人（上文已提及）的公司； 或对特殊个人数据进行大规模处理，例如医疗记录或刑事定罪信息。

在任何情况下，任何组织都可以自愿任命一名数据保护官来管理用户数据的处理并监控对 GDPR 要求的遵守情况。 在这种情况下，公司应发布有关此类员工的信息，并将其发送给国家监管机构，以保护相关欧盟国家的个人数据。

该怎么办？

如果您进入新的欧洲数据保护法规的覆盖范围或计划向欧盟国家扩展和提供服务和商品，建议对公司使用的处理个人数据的方法和手段进行全面评估，并使它们符合新的 GDPR 规则。 还需要修改针对欧洲消费者和用户的网站和在线服务的使用条款中关于处理个人数据的隐私政策和规定。 为遵守 GDPR 的要求，有必要制定内部数据保护政策、培训人员、进行数据处理检查、维护处理过程的文档、实施内置保密系统的措施，并指定负责处理个人数据的人员数据（考虑到处理的个人数据的性质和数量）。

尽管对个人数据处理的新要求很严格，但它们对非欧洲参与者也有积极的一面：遵守单一的数据保护和处理规则比考虑国家细节更容易在 GDPR 之前如何处理每个欧盟国家的个人数据。 此外，改革旨在通过降低在欧盟经营的公司的成本和官僚主义来刺激经济增长。 遵守一项规则而不是 28 个（欧盟成员国的数量）将有助于小型和发展中公司进入新市场。 根据法律，在许多情况下，义务因业务规模、正在处理的数据的性质和其他因素而异。

此外，在 GDPR 框架内可能对欧洲监管机构和个人数据主体（用户）的询问作出回应的机制（例如，关于数据澄清、删除、终止处理或有权转移到另一家公司）数据可移植性）也应提前考虑。

GDPR 是重要的立法文件，它显着提高了欧盟及其他地区的个人数据保护水平。 它需要非常仔细的研究和观察。 改革提供了应在数据保护领域应用的规则的明确性和一致性。 它还恢复了用户消费者的信心，使企业能够充分利用单一欧洲数字市场的机会。 个人数据无疑是现代经济的“货币”。 全球范围内个人数据的收集、分析和移动具有巨大的经济意义。

如何使您的应用程序符合 GDPR？

1. 想想你是否真的需要收集到的所有数据

第一步是检查您收集的数据。 你真的需要它们吗？ 未来有意义地使用数据的最佳方式是管理最小的必要集合。

2. 加密所有个人数据

加密通常被称为 GDPR 合规性的一个关键因素，但事实上，这并不是必需的。 虽然你不应该忽视这种可能性。

数据泄漏是不可避免的，但据专家称，减少数据盗窃造成的损害的最佳方法是端到端加密。 在这种方法中，只能在客户端设备上使用只有他或她有权访问的密钥才能解密数据。 如果由于成本或性能而无法使用加密，则可以使用替代方法，例如假名化。

3. 使 HTTPs 成为您应用程序的重要组成部分

反馈表通常包含个人信息，例如电子邮件地址、电话甚至家庭住址。 当您以纯文本形式存储和发送此信息时，您就为黑客打开了大门。 使用加密并告诉客户您将如何以及何时存储他们的数据。

下一步是实施 HTTPS，一种在客户端和服务器之间加密数据的协议。 在这种情况下，客户端会收到带有安全连接密钥的 SSL 证书。 因此，从可靠的提供商处获取证书并正确安装非常重要。 此外，请确保您的证书不易受到协议漏洞的影响。

4. 订购您的同意书

自 2018 年 5 月起，您将不得不忘记预先勾选的复选标记。 新法律要求“自由、具体、知情和明确的用户同意”。 这意味着您的同意书必须为空或默认设置为“否”。

5. 逐条征求同意

如果您想出于营销目的联系客户，则需要分别征求同意处理每种类型的数据。 例如，如果您想通过电子邮件、电话和邮寄的方式发送宣传材料，则需要以同意的形式分别制作三项。

如果您只需要电子邮件，则只能获得营销许可。 但是，如果您使用个性化、细分或定位，您将需要获得营销邮件的同意以及收集其他人口统计或行为数据的同意。

6. 明确第三方

如果您将客户的个人数据传输给第三方，您需要在同意书中注明所有参与者。

同时，许多用户不希望将其数据的访问权限授予第三方。 处理此问题的最佳方法是使用您的网络分析平台。 Google Analytics 不会与 GDPR 发生冲突，因为它无法跟踪特定用户。

7. 将使用条款的同意与其他形式的同意分开

使用条款将不再与其他形式的同意一起使用。 您需要请求用户的许可才能处理任何类型的数据。

8. 使使用条款引人注目

GDPR 要求您不要隐藏带有使用条款的部分，也不要以小字体发布它们。 这样的计划将不再符合法律：

9.允许用户轻松撤回同意

用户应该能够随时取消订阅和撤回他们的同意。 例如，在您的时事通讯中，必须有一个“取消订阅”功能。

但即使是“取消订阅”链接也可以为您工作，如下例所示：

10. 更改您的 cookie 政策

自 2018 年 5 月起，您应该停止将 cookie 用于广告、分析或项目运营，或者您应该找到使用它们的法律依据。 这些可以是法律义务、不侵犯个人权利的合法利益、合同执行要求或用户同意。

根据 GDPR，第一次访问您的网站的行为并不意味着获得处理个人数据的同意。 即使您显示“如果您访问过本网站，您已接受 cookie 的使用条款”之类的通知。 请记住，您不能阻止已撤回同意的用户访问该网站。 在他们退出帐户后，您将不得不删除有关他们的所有信息。

11.避免包含个人信息的安全问题

在使用 Web 应用程序注册时，您经常会看到这样的问题：

这是新法律禁止的。 自 2018 年 5 月以来，安全问题不再涉及客户的家庭、偏好、家等。 最好使用双因素身份验证或允许用户创建自己的问题进行验证，但警告他们披露个人信息的危险。

12. 用他们的 IP 地址通知用户记录

检查您的系统是否在身份验证过程中使用 IP 地址或位置信息。 如果您的记录包含此类数据，您必须警告用户存储此数据的方式和时间。 加密您的条目，不要在其中存储敏感数据，例如密码。

13.确保付款后删除所有个人数据

如果您使用支付方式，您可能会收集用户的个人信息。 在许多情况下，这些数据保留在您的系统中，根据 GDPR，这是非法的。 您应该重做您的流程，以便在一定时间内删除这些数据。

14.允许用户拒绝业务分析系统的跟踪

商业网站经常跟踪用户行为以改进推荐。 现在，此类活动将需要完美而明确的协议。 如果用户拒绝跟踪，您必须尊重这一选择。

15.退订时删除用户数据

用户应该能够删除他们的帐户和个人数据。 您的任务是向他们清楚地表明所有数据都将被删除。

WordPress 解决方案

通用数据保护条例 (GDPR) 规范了所有 28 个欧盟国家的数据保护法，并对控制和处理个人身份信息 (PII) 实施了新的严格规定。 从 2018 年 5 月 25 日起，每个收集欧盟公民数据的网站都必须符合 GDPR 要求。 并且很容易遵守通用 GDPR 法规和行业最佳实践，激活您可以选择的插件：

1. GDPR 合规性和 COOKIE 同意 WORDPRESS 插件是您网站的一体化解决方案。

  1. 满足所有 GDPR 要求，例如：
    • 数据访问——用户访问当前存储的个人数据的专用表格，
    • 被遗忘权——用户请求删除存储数据的专用表格，
    • 浏览用户对数据访问/删除的请求并设置自定义电子邮件通知
    • 隐私政策 - 为您的条款和条件以及隐私政策页面设置重定向，直到获得同意
    • Cookie 同意 – 为 Cookie 同意创建一个专用框并阻止所有 cookie，直到获得 cookie 同意
    • 自动为您的网站上的各种表格添加同意框
    • 数据泄露 – 发送有关数据泄露的全球电子邮件通知
    • 假名化——对存储在数据库中的一些用户数据进行假名化。
  2. 最流行的 WordPress 插件的预定义集成，例如 WooCommerce、Contact Form 7、Gravity Forms、Mailchimp、Events Manager、BuddyPress、Formidable Forms 等等！
    • 检查当前激活的插件是否符合 GDPR
    • 轻松集成自定义插件
    • 通过您的 WordPress 管理面板轻松管理所有内容
    • 5* 客户支持
    • 在线文档

2. WP GDPR Compliance目前支持 Contact Form 7 (>= 4.6)、Gravity Forms (>= 1.9)、WooCommerce (>= 2.5.0) 和 WordPress Comments。 使添加同意复选框和保存同意日志变得容易。 其他插件支持将很快推出。

WP GDPR 合规性可帮助您作为网站所有者处理：

  • 为受支持的插件保留同意日志。
  • 将复选框添加到支持的插件以获得明确的访问者同意。
  • 通过加密的审计日志获得“访问权”。
  • 通过匿名用户数据“被遗忘的权利”。

3. GDPR 合规性和 Cookie 同意 WordPress 插件

特征：

– 数据访问 – 请求存储在网站上的个人数据的专用表格；

– 被遗忘权 – 要求删除所有存储的数据（通过电子邮件链接确认）；

– 管理和自动化用户对数据访问/删除的请求，并设置自定义电子邮件通知；

– 可定制的选择加入 – 隐私政策、服务条款、Cookie 同意和电子邮件营销选择加入表格；

– GDPR 同意复选框 – 轻松为您网站上的各种表格添加同意框，例如 WordPress 评论和自定义联系表格；

并与最流行的 WordPress 插件完美集成：

– 邮件猩猩；

– WooCommerce 订单和结帐字段；

– 联系表格 7 GDPR 同意复选框；

– 重力表 GDPR 同意复选框和条目字段；

– BuddyPress GDPR 同意复选框；

24/7 实时支持

任何插件都只会帮助您从技术上了解 GDPR 规范，但如果您对遵守 GDPR 有丝毫顾虑（大多数人可能会），我们始终建议您联系律师，即使只是暂时的. 这是我们强烈敦促您不要尝试自行解决的领域之一。 律师可以为您提供专门针对您的情况的法律建议。 如果你弄错了，可能会导致巨额罚款。

Stylemix主题体验

StylemixThemes 必须遵循 GDPR 的规则，因为：

  • 为来自欧盟国家的客户提供服务；
  • 以英语为欧盟公民提供服务。

我们公司与欧洲客户合作，收集和处理来自欧盟的用户的个人数据，并根据 GDPR 的规范调整其处理信息的方法。 我们注意隐私政策和使用资源的规定条件。 此外，根据上述权利，提供处理可能的用户请求的机制。

要使用我们的主题和插件并获得支持，您必须在我们的网站上注册一个或多个 Envato 购买代码。 这些购买代码将与支持到期日期和您的用户数据一起存储。 这是我们为您提供下载、产品支持和其他客户服务所必需的。 我们根据 Envato 政策和规则以及 GDPR 要求管理所有这些数据。

StylemixThemes 是如何为新规的制定做准备的？

与大多数网站一样，我们会自动收集某些信息并将其存储在日志文件中。 这正是在向 StylemixThemes 注册期间，根据网络资源使用条款的个人同意收集数据的原因。 在对条款和条件进行更改时，公司会通知用户相关信息，并使用上次更新日期更新网站上的信息。 此外，当您使用我们的服务时，我们可能会自动从您的设备收集某些信息。 此信息可能包括互联网协议 (IP) 地址、浏览器类型、互联网服务提供商 (ISP)、引用/退出页面、操作系统、日期/时间戳、点击流数据、登录页面和引用 URL。 为了收集这些信息，当您访问我们的服务时，可能会在您的计算机或设备上设置一个 cookie。 Cookie 包含少量信息，可让我们的网络服务器识别您。 毕竟，公司收集个人数据的目的仅仅是为了确保服务的不间断运行、与客户的沟通以及提供所声明的服务。 StylemixThemes 不收集作品中未使用的数据。

我们存储通过 cookie、日志文件和/或透明 gif 收集的信息以记录您的偏好。 我们还可能会自动收集有关您使用我们服务的功能、我们的服务功能、访问频率以及与您与服务交互相关的其他信息的信息。 我们可能会跟踪您在不同网站和服务中的使用情况。 在欧洲经济区（“EEA”），本段上述信息可能被视为适用数据保护法下的个人信息。

如果您在我们的网站上注册，我们会将您选择的用户名和电子邮件地址以及您添加到您的用户资料中的任何其他个人信息存储起来。 您可以随时查看、编辑或删除您的个人信息（更改用户名除外）。 网站管理员还可以查看和编辑此信息。

我们可能会将您的信息和数据用于：

  • 增强或改善用户体验、我们的网站或我们的服务。
  • 发送有关我们网站的电子邮件或回复查询。
  • 发送有关 StylemixThemes 的电子邮件和更新，包括我们的电子邮件营销通讯（如果我们明确同意）。 您可以随时选择退出这些电子邮件。
  • 执行我们真诚认为对保护我们的网站或服务的安全或正常运行所必需的任何其他功能。

客户的支付数据由具有 PCI DSS 安全证书的支付服务加密。

因此，StylemixThemes 遵循 GDPR 的透明度、准确性、保密性和其他规范的原则，并分别支持新法规，这些法规为用户和公司在提供个人数据领域的互动制定了明确的规则。 这是保护互联网上个人信息的重要一步，也是打击操纵和滥用个人信息的重要工具。

您可能已经意识到，GDPR 非常重要！ 这将影响互联网上几乎所有的 WordPress 网站。 随着截止日期的临近，我们敦促所有人花时间进行研究并确保您的网站满足所有要求。 如果你不这样做，你可能会看到一些非常惊人的罚款！