通用数据保护条例（GDPR）精讲
🌍 域外效力 · 数据主体权利 · 数据保护影响评估（DPIA）
1. GDPR的域外效力
GDPR 第3条确立了属地+属人+效果原则，任何处理欧盟境内数据主体个人数据的组织，无论设立在何处，均受GDPR约束。域外效力是GDPR最具影响力的特征之一。
关键点： 只要涉及向欧盟数据主体提供商品/服务（不论是否收费）或监控其行为，即触发GDPR。代表案例：Google被法国CNIL处罚5000万欧元。
2. 数据主体权利
GDPR赋予个人八项核心权利，强化个人对数据的控制。以下为权利清单及简要说明：
| 权利 | 描述 | GDPR条款 |
|---|---|---|
| 知情权 | 以透明方式告知数据处理 | Art. 12-14 |
| 访问权 | 获取个人数据副本及处理信息 | Art. 15 |
| 更正权 | 不准确数据及时更正 | Art. 16 |
| 删除权（被遗忘权） | 特定条件下删除数据 | Art. 17 |
| 限制处理权 | 标记数据，限制处理 | Art. 18 |
| 数据可携带权 | 结构化、通用、机器可读格式转移 | Art. 20 |
| 反对权 | 反对基于正当利益/直接营销的处理 | Art. 21 |
| 自动化决策拒绝权 | 反对仅基于自动化处理（含画像）的决策 | Art. 22 |
3. 数据保护影响评估（DPIA）
DPIA是GDPR第35条要求的风险管理工具，当数据处理可能对个人权利与自由产生高风险时，必须执行DPIA。典型场景包括：大规模敏感数据处理、系统性监控、信用评分等。
DPIA 实施清单（必备）
- 系统化描述处理操作及目的
- 评估必要性与相称性
- 识别并评估对个人权利与自由的风险
- 规划风险应对措施（保障措施、安全机制）
- 咨询数据保护官（DPO）意见
- 处理活动记录（ROPA）同步更新
// DPIA 触发条件示例 (伪代码)
if (processing.scale === 'large' &&
(data.category === 'special' || monitoring.behavior)) {
mandatoryDPIA = true;
consultDPO();
documentRiskAssessment();
}