一键生成知识图谱10 分钟理解报告 · 解读 2483 字 · 8 张图 · 12 个数据点
2016年4月27日，欧盟正式通过《通用数据保护条例》（GDPR），并于2018年5月25日全面生效。这份条例取代了1995年的《数据保护指令》，首次在欧盟层面建立起统一、直接适用的个人数据保护规则。对于正在推进数字化与碳数据管理的企业而言，一个绕不开的问题是：企业的碳排放数据、能耗数据、员工信息、供应链数据，哪些属于个人数据？哪些处理行为需要遵循GDPR？一旦违规，最高可处2000万欧元或全球年营业额4%的罚款。这篇解读将带您梳理条例的核心原则、数据主体权利、控制者义务与适用范围，帮助您在碳管理与数据合规之间找到平衡点。
核心判断
- GDPR于2016年4月27日通过，取代1995年《数据保护指令》，在欧盟境内统一适用。
- 个人数据保护被确认为一项基本权利，GDPR对其保护不因国籍或居住地而有所区别。
- GDPR适用于向欧盟境内数据主体提供商品或服务、或监控其行为的境外控制者。
- 数据主体享有访问、更正、删除、数据可携、反对等权利，控制者须在1个月内响应。
- 同意须为自由给出、具体、知情且明确的肯定行为，沉默或预勾选不构成同意。
脱水解读
一、从指令到条例：GDPR为何取代95/46/EC
GDPR全称《通用数据保护条例》，2016年4月27日由欧洲议会和欧盟理事会通过，2018年5月25日起全面适用。它取代了1995年颁布的《数据保护指令》（95/46/EC）。该指令虽确立了数据保护的基本目标与原则，但各成员国在转化实施中出现了碎片化，导致法律不确定性和公众对个人数据保护水平的担忧。GDPR以"条例"而非"指令"的形式出台，意味着它无需成员国另行立法转化，可直接在全部成员国统一适用。
条例的立法依据是《欧盟运行条约》第16条和《欧盟基本权利宪章》第8条，明确个人数据保护是一项基本权利。立法者认为，只有统一且高水平的保护规则，才能既保障自然人的权利与自由，又消除个人数据在欧盟内部自由流动的障碍，从而支撑内部市场的经济与社会进步。
二、适用范围：谁在欧盟境内处理数据就受管辖
GDPR的适用范围以"设立机构"和"目标指向"两条主线划定。只要控制者或处理者在欧盟境内设有机构，其活动涉及的个人数据处理就适用本条例，无论该处理行为本身是否发生在欧盟境内。条例同时明确，"设立机构"强调通过稳定安排有效且真实地开展活动，法律形式是分支机构还是子公司并非决定性因素。
对于在欧盟没有设立机构的控制者或处理者，只要其处理活动涉及向欧盟境内数据主体提供商品或服务，或监控其在欧盟境内的行为，同样适用GDPR。条例进一步说明，仅网站可访问、仅提供邮箱或联系方式、仅使用控制者所在第三国的语言，不足以认定其有向欧盟提供商品或服务的意图；但使用欧盟成员国通用语言或货币、允许欧盟用户下单等，则可能表明该意图。
条例也划出了明确的排除范围：不适用于纯粹个人或家庭活动中的数据处理、不适用于死者个人数据、不适用于匿名化信息，也不适用于国家安全、刑事犯罪侦查等欧盟法范围之外的活动。
