歐盟一般資料保護規範

摘要

GDPR延伸欧洲资料保护法的领域至所有处理欧盟住民的境外公司。 GDPR使通行欧盟的资料保护规章一致，因此使欧洲以外的公司能够更容易地遵守这些规章；然而，其代价是严格的资料保护规定，且有着公司全球收益4%或两千万欧元（择高者）的高额罚款。

主要变动

尽管欧盟在1995年制定了个人资料保护指令（Data Protection Directive），但当时网络并不普及，为了因应当前资料导向的潮流以符合现代时空环境，2016年通过GDPR 取代了先前的法规，而主要变动如下:

增加管辖范围、加强罚则

正因为网络无远弗届的特性，在以往指令的区域适用性含糊不清的情况下，常常在相关案件的审理上窒碍难行。因此 GDPR 扩展了其管辖范围，不管公司所在位置为何，现在只要有使用到欧盟人民所拥有的资料，或者向欧盟公民提供商品或服务的公司皆适用于GDPR。

除此之外也加强了罚则力道，例如没有足够的客户同意来处理数据或违反隐私设计概念的企业组织，将会被欧盟处以高达年度全球营业额的4％或2000万欧元（以较高者为准）。值得注意的是这些规定同时适用于决策者以及“机器”，这代表的相关的云端服务也在管辖范围内。

更规定在向使用者请求资料使用权时，须以提供于理解且明确的说明，并且也要让使用者易于要撤回同意。

企业责任

知悉个资遭侵害，需 72 小时内通报与通知、个资保护影响评估、个资保护设计及预设。

影响产业

由于 GDPR 大大扩展了其涵盖范围，因此受到了全球的广泛关注，因为从以往地域上的限制，转变成为凡是向欧盟人民提供产品、服务或监测欧盟境内公民网络行为的境外企业都算。

受到影响的产业非常广泛，影响甚大的产业有几项:

医疗资讯

为了有效推动智慧医疗(i.e. Artificial intelligence in healthcare)，许多病患的医疗资讯必须电子化，透过各种深度学习算法去训练模型，进而达成各种需求。而电子病历所衍生的隐私问题，在高度安全的区块炼技术尚未普及的情况下，虽然可以透过去识别化(Data re-identification)初步的过滤掉个人资讯，然而在以往尚无法律强制性的时期，却也无从确实地在使用医疗资料上保障个人隐私。现在，基于 GDPR 的规定，取得医疗资料的前提是有取得病患的同意，虽然增加了一些程序，但资料安全与隐私的保障所带来的益处，不仅能够保障病患的基本权利，也能提升资料使用上的正当性。

网络零售

这是一个会处理大量个人识别资讯之产业，包括跨境电商、连锁商店、旅游服务、餐饮，只要是替欧盟顾客服务，掌握信用卡资料、地址、基本个资，都属于GDPR 规范中。再加上网络服务随之产生的资料之大，使其更首当其冲，这也正是为何苹果等网络服务公司 也推出了个资管理系统，以因应GDPR 修订。

金融

金融机构持有大量个人识别资讯，每当涉及个资需要传输到境外、处理或利用到欧盟民众个资、海外设有分行、委外业务，都可能受到影响。再加上欧盟是世界第一大经济体，金流来往频繁，更不用说近年区块链技术的兴起，资料隐私安全议题更是影响甚大。

航空运输

航空运输主宰当今人口移动的方式，旅客往返的机票、出入境资料也都涉及个人隐私。以台湾为例，华航、长荣两家国营航空业者来说，目前在欧洲都有航点，不仅在海外设有办公室，也需要频繁处理大量旅客资料。