eu-code-of-conduct

遵循 GDPR 第 40 至 41 条的欧盟行为准则

概述

GDPR 第 40 条和第 41 条鼓励制定行为准则，以促进 GDPR 得到正确适用，同时考虑各类处理行业的具体特点。根据第 40 条获批的行为准则提供了可证明的合规机制，控制者和处理者可以遵循该机制；在监管机构调查期间，该机制可作为证据，并可作为根据第 83(2)(j) 条计算行政罚款时的考量因素。

欧洲数据保护委员会（EDPB）通过了《条例 2016/679 下行为准则和监测机构指南 1/2019》，对审批流程、内容要求、监测机构认证和遵循机制提供了详细指引。截至 2024 年，EDPB 已就若干跨国行为准则发表意见，各国监管机构也已批准涵盖云计算、直销、临床试验和信用信息等行业的国内行为准则。

Sentinel Compliance Group 遵循两项获批的行为准则：针对其云处理活动的《欧盟云行为准则》（SCOPE Europe），以及经比利时 DPA 批准的、适用于直销活动的国家行为准则。

法律框架

第 40 条 — 行为准则

第 40(1) 条：成员国、监管机构、委员会和欧盟委员会应鼓励制定行为准则，以促进 GDPR 得到正确适用。

第 40(2) 条：行为准则可以涵盖广泛的处理领域：

领域（第 40(2) 条）	说明	示例
(a) 公平、透明地处理	处理原则的落实	面向特定行业的通俗易懂的隐私声明
(b) 合法利益	特定行业的平衡测试	金融服务领域以防范欺诈为由主张合法利益
(c) 个人数据的收集	行业特定的收集标准	保险申请所需的最少数据集
(d) 假名化	行业特定的假名化技术	临床试验中的患者数据假名化
(e) 向公众和数据主体提供信息	标准化透明度措施	电子商务的分层告知模板
(f) 行使数据主体权利	行业特定的 DSR 流程	电信领域标准化的数据可携格式
(g) 儿童相关信息和保护	年龄验证和儿童保护	面向教育技术的适龄设计
(h) 技术和组织措施（第 24、25 条）	行业安全基准	健康数据处理者须遵守的最低加密标准
(i) 违规通知	行业违规评估标准	金融数据违规的严重程度阈值
(j) 国际传输	通过行为准则建立传输机制	云行为准则中针对向第三国传输的约束性承诺
(k) 争议解决和执行	非诉讼机制	解决营销退订争议的调解流程

第 40(3) 条：不受 GDPR 约束的控制者或处理者可以遵循行为准则，以便根据第 46(2)(e) 条为国际传输提供适当保障，前提是该准则包含第三国控制者或处理者作出的、具有约束力且可执行的承诺。

第 40(5) 条：行为准则草案必须提交给主管监管机构审批。监管机构将就该准则是否符合 GDPR 提出意见。

第 40(7) 条：对于跨国行为准则（涵盖多个成员国的处理活动），监管机构会将草案提交给 EDPB，由其发表意见。如果 EDPB 的意见为肯定，委员会会将其提交给欧盟委员会；欧盟委员会可以通过实施法案，赋予该准则在欧盟范围内的普遍效力。

第 41 条 — 监测机构

第 41 条（1）：可由具备与守则主题相关的适当专业水平，并经主管监管机构为此目的认可的机构，监测是否遵守依据第 40 条制定的行为守则。

第 41 条（2）：监测机构的认可要求：

要求	说明
独立性	证明其独立于该行业和守则所有者
专业能力	在相关主题方面具备适当的专业水平
程序	建立评估资格、监测合规情况和审查遵守情况的程序
投诉处理	建立处理有关守则遵守者违规行为的投诉程序
透明度	公开监测活动及结果相关信息
无利益冲突	不存在可能影响监测客观性的利益冲突

第 41 条（4）：发生违规时，监测机构可采取适当措施，包括暂停或将控制者或处理者逐出守则。监测机构应将此类措施及其理由告知主管监管机构。

EDPB 审批要求（指南 1/2019）

守则内容要求

EDPB 要求获批的守则符合以下实质性标准：

1. 增加价值

守则必须提供具体、实用的指导，而不只是重述 GDPR 条款：

• 针对行业的 GDPR 原则解读
• 面向目标行业的具体实施指南
• 标准化模板、程序或技术措施
• 明确规则，以解决 GDPR 在该行业应用时存在的歧义

2. 范围与适用性

• 明确界定所涵盖的行业、处理活动以及控制者／处理者类型
• 明确说明守则涉及哪些 GDPR 条款
• 地理范围（国家或跨国）
• 成员资格标准和准入要求

3. 代表性

• 守则所有者必须代表该行业的足够部分
• 提供与包括数据主体、消费者组织和监管机构在内的利益相关方进行咨询的证据
• 获得大量潜在遵守者的支持

4. 有效的监测机制

• 指明符合第 41 条要求的监测机构
• 说明监测程序，包括定期审计、投诉处理和执法措施
• 分级执法措施（警告、纠正措施、暂停、逐出）
• 每年报告监测活动

5. 投诉处理

• 为数据主体提供便捷的投诉机制
• 明确投诉调查和解决的时限
• 有权向监管机构升级投诉
• 公布投诉统计数据

程序要求

国家守则审批流程

1. Code Owner drafts code with stakeholder consultation
   ↓
2. Code Owner submits draft to competent Supervisory Authority
   ↓
3. Supervisory Authority assesses compliance with GDPR and EDPB Guidelines
   ↓
4. Supervisory Authority requests amendments (iterative process)
   ↓
5. Supervisory Authority approves the code (Art. 40(5))
   ↓
6. Supervisory Authority registers and publishes the code (Art. 40(6))
   ↓
7. Commission compiles approved codes in a register (Art. 40(11))

跨国守则审批流程

1. Code Owner drafts code with multi-country stakeholder consultation
   ↓
2. Code Owner submits draft to the lead Supervisory Authority
   ↓
3. Lead Supervisory Authority conducts initial assessment
   ↓
4. Lead Supervisory Authority submits draft to EDPB for opinion (Art. 40(7))
   ↓
5. EDPB Secretariat circulates to all concerned Supervisory Authorities
   ↓
6. EDPB issues opinion (positive, positive with conditions, or negative)
   ↓
7. If positive: Lead Supervisory Authority approves the code
   ↓
8. Commission may adopt implementing act giving general validity (Art. 40(9))

监测机构认可

认可流程

1. 申请：拟议的监测机构向主管监管机构提交认可申请
2. 评估：监管机构依据第 41 条要求和 EDPB 认可标准评估申请
3. 决定：监管机构批准或拒绝认可
4. 期限：认可通常为期五年，可续期
5. 审查：如果监测机构不再符合要求，监管机构可审查并撤销认可

监测机构职能

职能	说明	频率
资格评估	根据规范要求评估新的遵守申请	申请时
合规监测	定期对遵守者开展合规评估	至少每年一次
投诉调查	调查数据主体对遵守者行为的投诉	收到投诉时
纠正措施	要求遵守者补救不合规问题	按需
执法	暂停或排除不合规的遵守者	按需
报告	向监管机构报告监测活动	每年
规范审查	根据监测经验建议修订规范	定期

监测方法

监测机构通过以下方式评估遵守者的合规情况：

• 文档审查：隐私政策、处理记录、DPIA、DPA 及其他书面证据
• 技术评估：核实规范中规定的技术措施
• 访谈：与负责隐私合规的关键人员进行交流
• 抽样测试：测试特定控制措施（DSAR 处理、同意机制、删除流程）
• 投诉分析：审查数据主体的投诉及其处理结果
• 事件审查：评估数据泄露事件的处理是否符合规范要求

遵守声明

遵守获批规范的流程

1. 资格核查：确认组织属于规范规定的适用范围（行业、处理活动、地域）
2. 自我评估：完成规范的自我评估问卷，证明符合所有规范要求
3. 证据汇编：准备证据材料，记录各项规范要求的落实情况
4. 向监测机构申请：向经认可的监测机构提交遵守申请
5. 初步评估：监测机构开展初步合规评估
6. 补救差距：解决监测机构发现的任何差距
7. 遵守决定：监测机构批准或拒绝遵守申请
8. 公开声明：组织列入规范的遵守者公开名册
9. 持续监测：接受监测机构定期开展的监测评估

遵守文件

组织必须维护以下文件：

文件	用途	更新频率
遵守声明	正式承诺遵守所有规范要求	遵守时提交，此后每年续期
合规矩阵	将规范要求映射到组织控制措施	发生变更时更新
证据材料	各项规范要求的支持文件	持续维护
年度合规报告	对持续合规情况进行自我评估	每年
事件通知	向监测机构报告不符合规范要求的情况	在规定时限内

合规核验

年度合规评估

监督机构每年对每个遵守者进行合规评估：

评估范围：

• 审查遵守情况文档和证据材料
• 核实是否持续符合资格
• 通过抽样测试关键准则要求
• 审查收到的投诉及其处理情况
• 审查任何事件或违规行为及其处理情况
• 评估自上次评估以来处理活动发生的任何变化

评估结果：

结果	标准	后果
合规	满足所有准则要求	继续遵守，12 个月后进行下一次评估
有条件合规	发现轻微差距	须在 90 天内整改，并进行后续评估
不合规	一项或多项准则要求存在重大差距	须制定纠正行动计划；若未在规定期限内完成整改，则予以暂停
除名	多次或严重不合规	从准则遵守者登记册中移除，并通知监管机构

投诉触发的核查

收到数据主体投诉时：

1. 监督机构在 5 个工作日内确认收到投诉
2. 监督机构在 15 个工作日内进行初步评估
3. 如果投诉属实，监督机构：
   • 通知遵守者，并要求其在 15 个工作日内作出回应
   • 开展调查，包括收集证据
   • 确定是否发生准则违规
   • 如果确认违规：要求整改，并可实施制裁
4. 监督机构在收到投诉后的 60 天内将处理结果告知投诉人
5. 如果投诉人不满意，监督机构会提供向监管机构升级投诉的相关信息

经批准的行为准则（典型示例）

欧盟云行为准则（SCOPE Europe）

• 批准时间：2021 年 5 月，由比利时 DPA（牵头 SA）批准，EDPB 出具肯定意见
• 监督机构：SCOPE Europe AISBL（经比利时 DPA 认可）
• 范围：作为数据处理者的云基础设施（IaaS）、平台（PaaS）和软件（SaaS）服务提供商
• 主要条款：数据本地化透明度、子处理者管理、数据可携性、数据删除、安全措施、违规通知
• 遵守者：主要云服务提供商，包括 Google Cloud、IBM Cloud、Oracle Cloud、Salesforce、SAP、Cisco

欧盟云基础设施服务提供商数据治理行为准则（CISPE）

• 批准时间：2023 年，由 CNIL（法国）批准
• 范围：云基础设施服务提供商
• 主要条款：数据主权、处理者义务、透明度

FEDMA 直接营销实务准则（欧洲直接营销与互动营销联合会）

• 状态：正在制定，拟提交 EDPB
• 范围：欧盟各地的直接营销行业
• 主要条款：电子营销的同意、合法利益评估、退出机制

遵守行为准则的益处

监管益处

1. 第 24(3) 条：遵守经批准的准则可作为证明已履行控制者义务的依据之一
2. 第 28(5) 条：处理者遵守准则可作为证明其符合第 28(1) 条所述充分保障的依据之一
3. 第 32(3) 条：遵守准则可作为证明已履行安全义务的依据之一
4. 第 35(8) 条：评估 DPIA 影响时，应充分考虑是否遵守经批准的准则
5. 第 46(2)(e) 条：包含有约束力承诺的准则可作为国际传输的适当保障
6. 第 83(2)(j) 条：监管机构在决定行政罚款时，会将是否遵守经批准的准则作为考量因素（减轻处罚的因素）

业务收益

• 通过展示合规性实现竞争差异化
• 简化客户对供应商的尽职调查
• 与行业特定最佳实践保持一致
• 为隐私合规提供结构化框架
• 通过监督机构的监管获得外部验证

Sentinel Compliance Group 行为准则实施情况

• 欧盟云行为准则：自 2022 年 9 月起遵循；由 SCOPE Europe 监督机构每年评估；2024 年评估未发现合规问题
• 涵盖范围：跨欧盟数据中心（法兰克福、阿姆斯特丹、都柏林）的云 SaaS 处理活动
• 合规矩阵：将 156 项准则要求映射至组织控制措施
• 年度评估：最近一次于 2024 年 10 月完成，结果：合规
• 通过准则提出的数据主体投诉：2024 年收到 3 起投诉；均在 45 天内解决；无一升级至监管机构
• 传输机制：正在探索使用第 46(2)(e) 条基于准则的传输机制，以应对英国充分性决定的应急规划