摘要：基于数据孤岛时代的集中式数据处理系统而设计的欧盟《一般数据保护条例》与以分散式数据管理为特征、代表未来发展方向的区块链之间存在一定的紧张关系。保护基本权利和促进创新都是《一般数据保护条例》的规范目标,因此,应尽可能对条例进行目的解释以调和两者之间的矛盾。我国应当汲取欧盟《一般数据保护条例》的经验与教训,根据不同产业下个人数据保护的要求,建立以《个人信息保护法》为基础,以专门性法规为补充的个人数据保护法律机制,在权利保护和科技创新之间实现动态平衡,而不应过早对区块链相关的各类创新实践加以过于严苛地限制,以免妨碍区块链技术的进一步发展。

摘要：《隐私盾协议》的失效与标准合同条款有条件的效力维持,反映了欧盟数据规则的布鲁塞尔效应与美国监控资本主义马太效应之间的对抗。欧盟在隐私盾案后形成了事实上的"软数据本地化"。然而,其"软数据本地化"机制从来不是也不应当是其追求的目标。标准合同条款作为欧盟最为重要的数据跨境传输机制,其基于"风险方法"的"基本+补充"的路径革新,具有深刻的国内与国际影响。中国最新的跨境数据流动条款秉承以数据安全为底线的跨境数据自由流动原则,遵循"硬数据本地化"的结构设计,参照了欧盟传输工具的基本框架。在具体规则的设计与落实中,中国应合理限制"硬数据本地化"的扩充,借鉴欧盟标准合同条款范本中的风险调控模块化方法,审慎设计标准合同条款,为本国参与全球数据竞争提供规则基础。

摘要：伴随大数据、物联网技术的兴起,个人信息的商业化利用成为时代发展的必然,确立个人信息财产权的呼声高涨。欧盟《一般数据保护条例》以财产权为导向保护个人信息的有益探索很好地回应了新时代的需求,值得借鉴。我国立法构建个人信息财产权制度在司法精神和立法先例层面均具有正当性,故可以财产权为导向,围绕个人信息全生命周期进行制度设计,消弭个人信息财产化的负面影响。具体而言,在信息收集阶段,更新知情同意规则并进行类型化保护适用,保障个人对信息利用范围的实质知情;在信息处理阶段,确定匿名化规则和选择退出规则,强化个人对信息利用方式的现实管控;在信息利用阶段,确立有限转让规则与删除规则,确保个人对信息利用目的的实际控制。

摘要：从制度实践考察,欧盟《一般数据保护条例》(GDPR)的域外效力对域外大型企业形成较有效规制,并引领国际社会相关立法趋势,是近年来国内法域外适用方面一个较为成功的样本。GDPR的域外效力以市场和价值观为依托,通过国际法框架下对法律工具的高水平运用得以施行。就立法而言,GDPR在域外效力的扩张和限制之间非常谨慎地寻求管辖的合理边界,力求确立管辖的正当性。就执法而言,基于对域外执法可行性的考量,欧盟通过多种途径的国内和双边机制安排,促进GDPR域外效力的实施。面对域外执法中可能产生的正面法律冲突和阻碍,欧盟亦灵活务实、有所妥协。我国《个人信息保护法》已仿效GDPR的“目标主体”标准进行域外效力立法,目前的重点是尽快构建有效执法框架。我国应借鉴欧盟相关经验,结合我国实际,做好配套执法措施的制度设计、明确执法思路、逐步建立长效跨境执法合作机制,为我国《个人信息保护法》域外效力的执行落地提供有力支撑。

摘要：个人数据权利行使的迫切需求、企业数据良性竞争的现实需要及国家数据资源市场化配置的客观要求是我国引入数据携带权的正当性基础,但《个人信息保护法》45条第3款仅对其进行了原则性规定,其有效运行仍有赖于具体规则的本土化建构。基于制度功效的不确定性和数据跨境流动安全性等问题的考量,数据携带权的本土化建构不可能一蹴而就,适宜采取“先行试点、分步推进”的策略。在借鉴欧美经验的基础上,我国数据携带权的具体建构如下:在应用领域上,先在开放银行领域进行试点;在数据范围上,参考《个人金融信息保护技术规范》,先允许C1类及C2类除用户鉴别辅助信息之外的基础数据转移;在实现方式上,采取自己请求和向授权第三方认证机构请求两种方式;在规则框架上,从数据携带权的主体、客体、内容及限制进行设计。在总结试点经验的基础上,未来可以通过行政法规或者部门规章的方式对数据携带权予以详细规定。