康謀分享 | 數(shù)據(jù)隱私和匿名化：PIPL與GDPR下，如何確保數(shù)據(jù)合規(guī)？（二）

“同意”（Consent）是指數(shù)據(jù)主體明確授權(quán)或表示同意其個(gè)人數(shù)據(jù)被處理的行為。這種同意必須是建立在充分知情的基礎(chǔ)上，且必須是明確且自愿給出的。除了“同意”這一點(diǎn)外，我們重點(diǎn)關(guān)注兩部法律在合法利益（Legitimate Interest）和公共利益（政府任務(wù)）（Public Interest/Government Task）方面的差異。實(shí)際上，PIPL在這兩點(diǎn)上并未作出明確規(guī)定，這主要?dú)w因于中國和歐洲在法律及監(jiān)管環(huán)境上的差異。

首先在合法利益這一點(diǎn)上，GDPR作為歐洲地區(qū)的人權(quán)保護(hù)框架，旨在平衡企業(yè)與個(gè)人之間的權(quán)益，為企業(yè)提供一定的靈活性，允許其在沒有明確同意的情況下處理個(gè)人數(shù)據(jù)，從而在一定程度上增強(qiáng)了企業(yè)的自主權(quán)。相比之下，PIPL更加強(qiáng)調(diào)對個(gè)人信息的嚴(yán)格控制。在處理個(gè)人數(shù)據(jù)時(shí)，PIPL要求必須獲得明確的授權(quán)或依據(jù)法律規(guī)定進(jìn)行，更傾向于通過明確同意或法律規(guī)定來實(shí)施嚴(yán)格監(jiān)管。

其次在公共利益方面，兩部法律對公共事務(wù)和政府職責(zé)的界定存在差異。GDPR在確保公共機(jī)構(gòu)履行任務(wù)時(shí)賦予了更大的靈活性，而PIPL則通過其他法律條款來規(guī)范政府的處理權(quán)限，更加側(cè)重于信息透明性和數(shù)據(jù)主體的保護(hù)。

二、信息跨境處理注意事項(xiàng)

在跨境處理信息的過程中，除了需遵循《個(gè)人信息保護(hù)法》（PIPL）和《通用數(shù)據(jù)保護(hù)條例》（GDPR）這兩部基礎(chǔ)法律的規(guī)定外，還需執(zhí)行一系列嚴(yán)格的安全評估措施。

以中國車企為例，若需將歐盟境內(nèi)的數(shù)據(jù)傳輸回中國進(jìn)行處理，必須確保該跨境數(shù)據(jù)傳輸完全符合GDPR的嚴(yán)格要求。

GDPR對向歐盟外傳輸數(shù)據(jù)有著明確的規(guī)范，要求必須依賴標(biāo)準(zhǔn)合同條款（SCCs）或充分性決定（Adequacy Decision）來確保數(shù)據(jù)的合法傳輸。特別是當(dāng)涉及敏感個(gè)人信息處理時(shí)，如位置數(shù)據(jù)、行為數(shù)據(jù)以及測繪數(shù)據(jù)等，企業(yè)可能還需進(jìn)行數(shù)據(jù)保護(hù)影響評估（DPIA），以全面評估數(shù)據(jù)處理的合法性、必要性和風(fēng)險(xiǎn)性。

值得注意的是，由于歐盟目前尚未對中國作出充分性決定，因此中國企業(yè)在向歐盟外傳輸數(shù)據(jù)時(shí)，可能需要與相關(guān)方簽訂標(biāo)準(zhǔn)合同條款（SCCs）來確保數(shù)據(jù)傳輸?shù)暮戏ㄐ浴?/p>

總之，在跨境傳輸過程中，為降低數(shù)據(jù)泄露或不當(dāng)使用的風(fēng)險(xiǎn)，企業(yè)需對敏感數(shù)據(jù)進(jìn)行加密或匿名化處理。