欧盟“最严”数据保护新规25日生效，“严”在何处？

　　新华社布鲁塞尔5月24日电(记者王子辰)欧盟《通用数据保护条例》将于25日在欧盟全体成员国正式生效。这被广泛认为是欧盟有史以来最为严格的网络数据管理法规。

　　这一条例全面加强了欧盟所有网络用户的数据隐私权利，明确提升了企业的数据保护责任，并显著完善了有关监管机制。

　　新条例拓展了有关网络用户数据的定义范围，除了姓名、证件号码、地址和网络IP地址等常规个人信息，还将反映种族、宗教信仰甚至性取向的信息都纳入了保护范围。条例赋予了用户“被遗忘权”、数据“可携带权”等权利，大幅增强了对个人数据的保护。

　　条例还要求企业必须以合法、公平和透明的方式收集处理信息，必须用通俗的语言向用户解释收集数据的方式，且企业有义务采取一切合理措施删除或纠正不正确的个人数据。

　　条例将不仅对位于欧盟内的企业发生效力，对于欧盟域外企业，无论企业在欧盟境内有无分支机构，只要它们存储、处理、交换任何欧盟个人的数据，也在这一条例的管辖范围之内。

　　针对违规行为，新条例的处罚力度极大。理论上，违规企业最高可能受到2000万欧元或全球营业额4%(以较高者为准)的罚款。欧盟各成员国监管机构的检查权、执法权、处罚权以及司法诉讼权等内容，以及欧盟层面的监管机构等，都在条例中得以明确界定。

　　《通用数据保护条例》于2016年在欧洲完成立法程序，在两年的过渡期后将于5月25日正式生效，并将取代1995年的《数据保护指令》。近期，欧盟网络用户已纷纷收到各大互联网公司基于这一新条例修改后的用户协议。

　　【相关新闻】

　　新闻分析：欧盟“最严”数据保护条例“严”在何处

　　新华社布鲁塞尔5月24日电(记者王子辰)一段时间以来，欧盟地区网民纷纷收到互联网公司修改“用户政策”的提示。从网络巨头到初创公司，都忙着赶在5月25日之前修改甚至重塑它们保护用户数据的流程，使之符合将在25日生效的欧盟《通用数据保护条例》。

　　这项被广泛认为是欧盟有史以来最为严格的网络数据管理法规，在生效之前，就早已“威震四方”。

　　首先罚得狠。条例规定，对未采取技术或管理措施来避免、降低隐私侵权损害风险的互联网公司，最高可罚款1000万欧元或全球营业额的2%(以较高者为准)；对违反个人信息收集和使用基本原则以及没有保障数据主体权利的互联网公司，最高可罚款2000万欧元或全球营业额的4%(以较高者为准)。对于跨国网络巨头而言，一旦在欧盟违规，很可能将面临“天价”处罚。

　　严格地说，受该条例管辖的不仅仅是传统意义上的互联网公司。记者长期保持电子邮件联系的一家国际信用评级机构，也发来邮件让记者选择“请继续向我提供资讯”或“请把我从通讯录中移除”。

　　也就是说，企业只要是处理或者留存了用户数据，哪怕只是电子邮件地址这样看似并不特别敏感的信息，哪怕其从事的业务并非狭隘上的互联网服务，但因为也涉及了用户数据，所以也在新条例管辖范围之内。

　　其次管得宽。欧盟这一新条例赋予了欧盟域外管辖权。具体而言，该条例不仅管辖注册地或总部在欧盟内的企业，也完全可能管辖“地理上”位于欧盟外的企业：根据其规定，只要企业向欧盟内的用户提供产品、服务，或持有、处理欧盟内用户的数据，都在管辖范围之内。

　　比如，对于脸书、推特这样的美国社交网络公司，由于它们在欧盟内有大批用户，那么至少在保存、处理欧盟用户数据时，必须符合这一条例的规定。脸书公司首席执行官马克·扎克伯格22日出席欧洲议会听证会时，就承诺一定会遵守这一新法规。

　　再次分得细。纳入新规保护范围的用户数据种类全面细致。除了姓名、地址、证件号码、网络IP地址等通常意义上的个人信息，以及指纹、虹膜等生物识别数据、医疗记录等十分隐私的个人信息，新规还涵盖了例如用户的种族、宗教信仰甚至性取向等多方面信息。

　　新规还确立了被遗忘权、删除权、可携带权等一系列用户权利。根据条例，用户可以要求掌握其数据的企业删除其个人数据、避免个人信息传播。而可携带权将使用户有权向企业索取本人数据，并自主决定用途，这意味着用户将能够像管理金融资产一样对个人数据信息进行“搬家”。

　　近几个月，脸书公司因为被揭发在用户数据大规模泄露之后长时间隐瞒不报，遭到广泛批评。而在欧盟新规下，企业一旦发现用户数据泄露，必须在72小时内向监管机构报告。

　　在明确赋予用户权利、大幅强化企业责任之外，这一条例还规范了监管安排机制。在欧盟层面，增设欧洲数据保护理事会这一新机构；在欧盟成员国层面，各国数据监管机构的检查、执法、处罚以及司法机制安排也得到了明确界定。

　　对于用户而言，欧盟新规还允许他们有权要求监管机构在规定时限内对违规行为进行调查。如数据监管机构调查不力，用户则有权向法院提起诉讼，以更好地保护用户权利。