通用数据保护管理体系认证证书申报 数据保护管理措施

后续措施

各类组织好确认其活动是否在GDPR的地域适用范围内。鉴于“业务机构”和“提供商品或服务”标准的解释较为宽泛，更应如此。贯彻落实GDPR需要大量的时间、规划和资源。

【广东昊霖企业管理有限公司】

通用数据保护管理体系认证证书申报 数据保护管理措施

同意——处理个人数据的正当理由

根据荷兰《个人数据保护法》（PersonalData ProtectionAct，“DPA”），“同意”是处理个人数据的六项法律依据之一。在没有法律依据的情况下处理个人数据是不被允许的。欧盟《一般数据保护条例》（GeneralData ProtectionRegulation，“GDPR”）也规定，“同意”是数据处理的法律基础。GDPR的多个部分都提到了同意机制。基于此，本文主要对DPA和GDPR在以下方面的差异进行阐述：（1）同意机制的法律框架和（2）有效同意的构成要件。

同意的法律框架

DPA下“同意”的概念完全依照欧盟第95/46/EC号指令中的定义，即“数据主体的同意是指：数据主体依照其意愿自由作出的特定的、知情的指示。通过该等指示，数据主体表明其同意处理与其相关的个人数据。”

法律框架由多个可广泛解释的条款构成，这使其产生了法律不确定性。一个由欧洲隐私监管机构组成的独立咨询顾问机构——第29条工作组，在2011年7月对“同意”概念作出了全面分析。工作组的意见解释了同意机制相关法律框架的几个关键要素。这些要素是，并且一直是欧盟数据保护机构解释“同意”概念的重要指南。

同意必须是自由作出的。这意味着数据主体在作出同意时，其选择是真实的，例如，不存在受到胁迫或者欺诈的风险。如果数据主体会受到数据控制者的影响（例如，数据控制者是数据主体的雇主，或者是一个公共），则考虑到此类关系的性质，同意并不当然被认为是自由作出的。

同意必须是特定的。无明确目的的概括式的同意是无效的。同意应当清晰准确地指明数据处理的范围和结果。特定的同意条款需要与一般条款相区分。

同意必须是在知情的情况下作出的。根据DPA第33、34条，数据控制者必须向数据主体提供一定的关于数据处理的低限度的信息。被提供的信息应足以保证数据主体能够作出充分知情的选择。至于信息的质量，信息提供必须使用数据主体能够理解的语言。复杂的法律术语是不合适的。

被提供的信息必须是清楚且足够显著的，以使数据主体不能轻易忽略。信息必须是直接提供给数据主体的，仅指示可供访问的信息的地址（例如，网络上的“某处”）是不够的。

同意还须结合DPA中提到的要求。基于同意的数据处理，要求该同意是明确的。数据主体明确作出的指示，不能对其意愿留有不明确的空间。如果存在合理怀疑，则认为不明确。

根据第29条工作组的意见，不明确的同意不适用于基于不作为或者沉默取得同意的方式（例如，不适用于预先勾选的选择框）。

在处理特殊类别的数据（例如，健康数据）时，同意必须是明示的。需要数据主体给予积极回复。