數據保護指令

數據保護指令是歐盟於1995年通過的規定處理歐盟內部的個人數據的指令。它是歐盟隱私和人權法的重要組成部分。

2016年4月通過的“ 通用數據保護條例”已取代數據保護指令，並於2018年5月25日開始實施。

基本介紹

• 中文名：數據保護指令
• 外文名：Data Protection Directive
• 學科：電子工程

背景

向右隱私是法律在歐洲高度發達的區域。歐洲聯盟（歐盟）的所有成員國也是“歐洲人權公約”（ECHR）的簽署國。“歐洲人權公約”第8條規定了尊重一個人的“私人和家庭生活，他的家和他的通信”的權利，但受到某些限制。在歐洲人權法院已經給這篇文章在其判例中一個非常寬泛的解釋。

1980年，為了在整個歐洲建立全面的數據保護系統，經濟合作與發展組織（經合組織）發布了“理事會關於保護個人數據隱私和跨境流動指南的建議”。經合組織關於保護個人數據的建議的七項原則是：

1. 通知 - 數據主體在收集數據時應給予通知;
   
2. 目的 - 數據僅套用於所述目的，不得用於任何其他目的;
   
3. 未經數據主體同意，不得披露同意數據;
   
4. 應保護安全收集的數據免受任何潛在的濫用;
   
5. 應告知披露數據主體誰正在收集他們的數據;
   
6. 應允許訪問數據主體訪問其數據並對任何不準確的數據進行更正
   
7. 問責制 - 數據主體應該有一種方法可以讓數據收集者對不遵守上述原則負責。
   

在經合組織準則，然而，非約束性和數據隱私法仍然在歐洲差別很大。與此同時，美國在贊同經合組織的建議的同時，並未在美國實施這些建議。然而，所有七項原則都納入了歐盟指令。

內容

該指令規定了個人數據的處理，無論這種處理是否自動化。

範圍

個人數據被定義為“與已識別或可識別的自然人有關的任何信息（”數據主體“）；可識別的人是可以直接或間接識別的人，特別是通過參考識別號或一個或多個特定於他的身體，生理，心理，經濟，文化或社會身份的因素。

這個定義意味著非常廣泛。當有人能夠將信息連結到某個人時，即使持有該數據的人不能建立此連結，數據也是“個人數據”。“個人數據”的一些例子是：地址，信用卡號，銀行對賬單，犯罪記錄等。

概念處理是指“對個人數據執行的任何操作或一組操作，無論是否通過自動方式，例如收集，記錄，組織，存儲，改編或更改，檢索，諮詢，使用，通過傳輸，傳播進行披露或以其他方式提供，對齊或組合，阻止，擦除或破壞；“ 。

合規責任在於“控制人”的肩上，這意味著自然或人為的人，公共權力機構，機構或任何其他單獨或與他人共同確定個人數據處理目的和方式的機構；

數據保護規則不僅適用於歐盟內部建立控制器，也適用於控制器使用位於歐盟內部的設備以處理數據的情況。（第4條）來自歐盟以外的歐盟處理數據的控制者必須遵守數據保護法規。原則上，與歐盟居民進行的任何線上商業交易都會處理一些個人數據，並且會使用歐盟的設備來處理數據（即客戶的計算機）。因此，網站運營商必須遵守歐洲數據保護規則。該指令是在網際網路取得突破之前編寫的，迄今為止，關於這一主題的判例很少。

原則

除非滿足某些條件，否則不應處理個人數據。這些條件分為三類：透明度，合法目的和相稱性。

1）透明度

數據主體有權在處理其個人數據時獲得通知。控制人必須提供他的姓名和地址，處理目的，數據的接收者以及確保處理公平所需的所有其他信息。

只有在滿足下列條件之一時才能處理數據（第7條）：

• 當數據主體表示同意時。
  
• 當處理是履行或簽訂契約所必需的。
  
• 在處理是否符合法律義務時。
  
• 當需要處理以保護數據主體的重要利益時。
  
• 處理是為了執行為公共利益或行使控制權或披露數據的第三方的官方權力而執行的任務所必需的。
  
• 對於控制人或披露數據的第三方或當事方所追求的合法利益，處理是必要的，除非這些利益被數據主體的基本權利和自由的利益所覆蓋。數據主體有權訪問與他處理的所有數據。數據主體甚至有權要求糾正，刪除或阻止不完整，不準確或未按照數據保護規則處理的數據。
  

2）合法目的

個人數據只能出於指定的明確和合法目的進行處理，並且不得以與這些目的不相容的方式進一步處理。個人數據必須具有防止濫用和尊重“歐盟法律保障的數據所有者的某些權利”的保護。

3）比例

個人數據只能在與其收集和/或進一步處理的目的相關且足夠，相關且不過量的情況下進行處理。數據必須準確，並在必要時保持最新;必須採取一切合理步驟，以確保在考慮到收集目的或進一步處理的目的後，刪除或糾正不準確或不完整的數據;不應將數據保存在允許識別數據主體的時間長於收集數據或進一步處理數據的目的所需的數據中。會員國應為長期存儲的個人數據制定適當的保障措施，以供歷史，統計或科學使用。

如果敏感的個人數據（可能是：宗教信仰，政治觀點，健康，性取向，種族，過去組織的成員資格）正在處理中，則需要額外的限制。數據主體可以隨時反對處理個人數據以進行直接行銷。基於算法的決策產生法律效果或顯著影響數據主體可能不僅僅基於數據的自動處理。在使用自動決策程式時，應提供抗訴形式。