privacy-compliance

全球隐私格局

欧盟《通用数据保护条例》（GDPR）

地域范围：规范对位于欧盟／欧洲经济区（EEA）的个人数据的处理，无论处理实体位于何处。

企业内部法务团队的核心义务：

• 法律依据文档：每项处理活动都必须基于六种公认依据之一——同意、履行合同所必需、合法利益、法定义务、保护重大利益或行使公共权力
• 落实个人权利：访问、更正、删除、可携带、限制处理和反对请求，必须在一个日历月内处理完毕；对于特别复杂的请求，可延长两个月
• 影响评估（DPIA）：预计处理活动会给个人带来较高风险时，必须进行评估
• 事件报告：发现个人数据泄露后，必须在 72 小时内通知主管监管机构；若泄露会带来高风险，还须及时通知受影响个人
• 处理活动清单：维护第 30 条规定的处理活动记录
• 跨境保障措施：向 EEA 以外地区传输数据，必须采用有效机制，例如标准合同条款、充分性认定或有约束力的公司规则
• 数据保护官：在特定情况下必须任命，例如公共机构、大规模处理敏感类别数据的组织，或开展大规模系统性监控的组织

企业内部团队最常参与的工作：

• 评估供应商 DPA 是否符合监管要求
• 为产品团队提供建议，将隐私保护融入设计
• 管理与监管机构的沟通
• 维护并更新传输机制
• 审查同意流程和隐私披露

加利福尼亚州 CCPA／CPRA

地域范围：适用于处理加利福尼亚州居民个人信息且达到特定营收、数据量或数据变现门槛的企业。

核心义务：

• 知情披露权：个人可要求全面说明收集、使用和披露的个人信息
• 删除权：个人可要求删除其个人信息
• 选择退出权：个人可禁止出售或共享其个人信息
• 更正权：个人可要求更正不准确的记录（由 CPRA 新增）
• 敏感数据使用限制权：个人可将敏感个人信息的使用限制在列明的目的范围内（由 CPRA 新增）
• 平等对待：组织不得因个人行使法定权利而对其施加不利待遇
• 收集告知：必须在收集时或收集前提供隐私披露，说明收集的信息类别及其用途
• 供应商协议：与服务提供商签订的合同必须将个人信息的使用限定于指定业务职能

履行时限：

• 确认收到：10 个工作日
• 提供实质性答复：45 个日历日；告知后可延长 45 天

需要跟踪的其他司法管辖区

框架	地区	主要区别
LGPD	巴西	以 GDPR 为蓝本；必须任命 DPO；由 ANPD 执行
POPIA	南非	由 Information Regulator 监督；必须登记数据处理活动
PIPEDA	加拿大（联邦）	以同意为核心；由 OPC 监督；正在推进现代化
PDPA	新加坡	包含禁止致电登记册；必须通知数据泄露事件；由 PDPC 执行
Privacy Act	澳大利亚	澳大利亚隐私原则（APPs）；可报告数据泄露事件机制
PIPL	中国	严格的跨境传输要求；数据本地化要求；由 CAC 监督
UK GDPR	英国	脱欧后的调整；由 ICO 监督；实质上与 EU GDPR 并行，但设有英国特定的充分性框架

数据处理协议审查

评估 DPA 或数据处理补充协议时，请核实以下要素是否齐备且充分。

必备组成部分（依据 GDPR 第 28 条）

• 处理范围和期限：明确说明处理主题、持续时间和边界
• 处理活动：具体说明将执行哪些操作，以及出于何种业务目的
• 数据类别：列明涉及的个人数据类型
• 数据主体群体：明确其数据将被处理的人员群体
• 控制者权限：明确控制者的指示权限和监督权利

处理者承诺

• 遵循指示：处理者承诺仅按照控制者留存的书面指示行事，但适用法律另有规定的除外
• 人员保密义务：所有获授权处理个人数据的人员均承担具有约束力的保密义务
• 安全状况：说明充分的技术和组织保障措施，并参照第 32 条标准
• 再处理治理：
  • 必须事先获得书面授权（一般或特定授权）
  • 对于一般授权：提前通知再处理者变更，并留出有意义的异议期限
  • 通过合同要求再处理者承担同等义务
  • 处理者对再处理者的行为继续承担责任
• 权利请求支持：处理者承诺协助控制者履行个人权利请求
• 事件和评估支持：处理者协助开展安全合规、泄露事件报告、影响评估和事先咨询
• 合同期满后的数据处理：合同结束时，按照控制者的选择删除或返还所有个人数据；除非法律要求保留，否则销毁剩余副本
• 核查权利：控制者有权审计和检查，或接受独立第三方审计报告
• 泄露事件警报：处理者应及时报告个人数据泄露事件，最好在 24 至 48 小时内报告，以确保控制者能够满足 72 小时的监管时限

国际传输条款

• 明确传输机制：明确标明 SCC、充分性认定、约束性公司规则或其他认可的保障措施
• SCC 版本：适用时使用现行 EU SCC（2021 年 6 月通过）
• 模块选择：根据双方关系选择正确的 SCC 模块（控制者到处理者、控制者到控制者、处理者到处理者、处理者到控制者）
• 传输风险评估：对于未获得充分性认定的目的地，完成风险评估
• 补充保障措施：采取技术、组织或合同措施，以弥补传输风险评估发现的不足
• 英国适用范围：如果范围涵盖英国个人数据，则附上 UK International Data Transfer Addendum

运营协调

• 责任协调：DPA 中的责任条款与主服务协议保持一致，且不会削弱其效力
• 期限同步：DPA 的期限与基础服务合同保持一致
• 地域明确性：列明处理地点并确认其可接受
• 安全认证：要求相关标准或鉴证报告（SOC 2 Type II、ISO 27001 等）
• 风险转移：确认数据处理活动具有充足的保险保障

DPA 的常见缺陷

缺陷	风险	建议立场
未经通知即可一揽子批准子处理方	削弱控制者对处理链的监督	要求提前通知并赋予异议权
数据泄露通知期限超过 72 小时	控制者可能错过监管报告截止期限	将通知期限设为 24 至 48 小时
审计权仅限于第三方报告	无法直接核实	接受 SOC 2 Type II 作为基准，并在有合理事由时进行直接审计
未规定数据删除时间表	合同结束后数据可能无限期留存	要求在终止后 30 至 90 天内删除
未披露处理地点	数据可能在未通知的情况下转移至任何司法管辖区	要求列明所有处理地点
仍引用旧版 SCC	传输机制可能不具法律效力	要求采用现行的 2021 年 EU SCC

个人权利请求管理

受理流程

收到个人权利请求时：

1. 对请求分类：

   • 访问（提供其个人数据副本）
   • 更正（修复不准确的记录）
   • 删除（移除个人数据，即“被遗忘权”）
   • 限制处理（暂停某些用途）
   • 可携带性（以结构化、机器可读的格式交付数据）
   • 反对（对特定处理活动提出异议）
   • 选择退出出售／共享（CCPA/CPRA）
   • 限制敏感数据的使用（CPRA）

2. 确定适用法律：

   • 个人居住在哪里？
   • 根据组织的地域布局和活动，适用哪些法规？
   • 适用哪些具体的程序要求和期限？

3. 验证请求者身份：

   • 通过适度的验证措施确认个人身份
   • 根据所涉数据的敏感程度调整验证严格程度
   • 避免要求过多证明，以免反而成为行使权利的障碍

4. 记录请求：

   • 收件日期
   • 请求类别
   • 请求者身份
   • 适用法规
   • 回复截止日期
   • 指派的团队成员

法定期限

法规	初步确认	完整回复	可用延期
GDPR	最佳实践：及时确认	30 个日历日	通知后延长 60 天
CCPA/CPRA	10 个工作日	45 个日历日	通知后延长 45 天
UK GDPR	最佳实践：及时确认	30 个日历日	通知后延长 60 天
LGPD	未规定	15 个日历日	可延期情形有限

拒绝或限制履行请求的理由

处理请求前，应评估是否适用任何公认的例外情形：

广泛认可的例外情形：

• 依法确立、行使或抗辩法律主张
• 法律或法规要求保留
• 公共利益或履行官方职能
• 言论与信息自由（删除情形）
• 符合公共利益的档案、科学或历史研究目的

组织特定因素：

• 正在进行的诉讼保全：依法须保留的数据不得销毁
• 监管保留期限：财务记录、人事档案及其他类别可能适用规定的最低保留期限
• 第三方权利：履行请求可能对其他个人的权利或自由产生不利影响

请求履行流程

1. 在组织的各个系统中查找与请求者有关的所有个人数据
2. 评估并记录任何适用的例外情形
3. 准备答复：满足请求，或清楚说明无法全部或部分满足请求的原因
4. 对于部分或全部拒绝：注明准确的法律依据
5. 告知请求者有权向相关监管机构提出投诉
6. 完整留存请求、答复及相关理由的记录

跟进监管变化

监控领域

持续关注以下事项：

• 监管机构发布的信息：ICO、CNIL、FTC、各州总检察长及类似机构发布的新指南或修订指南
• 执法活动：揭示监管重点和门槛的处罚、命令及和解
• 立法动态：新隐私法的颁布、现行法律的修订及实施条例
• 技术标准演进：ISO 27001、SOC 2、NIST 框架及行业特定要求的修订
• 数据传输机制动态：新的或撤销的充分性决定、SCC 修订、数据本地化要求

实用监控方法

1. 官方渠道：订阅监管机构的电子邮件提醒、RSS 订阅源和官方公报通知
2. 法律分析：关注能够阐释新动态的可靠隐私法律刊物
3. 行业组织：关注行业协会和行业团体的通信，获取针对特定行业的指南
4. 合规日历：维护已知生效日期、申报截止日期和合规里程碑的时间表
5. 团队更新：定期向法律团队通报影响组织数据处理活动的动态

何时升级处理

出现以下情况时，应提请高级法律顾问或领导层关注监管动态：

• 新立法或指南直接影响组织的核心数据处理活动
• 组织所在行业的执法行动表明监管关注度正在上升
• 临近的合规截止日期要求进行运营或技术变更
• 组织所依赖的数据传输机制面临法律挑战或被判定无效
• 监管机构针对组织启动正式问询或调查