ARTICLES
专业文章
欧盟数据保护新规来势汹汹，中国智能硬件商如何见招拆招？（一）
欧盟数据保护新规来势汹汹，中国智能硬件商如何见招拆招？（一）
GDPR为影响全球数据保护的最大法规，将于明日（5月25日）起全面实施，如无法符合其要求，组织将可能面临高额罚款。
李律师漫话GDPR——一招拆解中国企业数据保护困局。面对公司业务重心在海外市场并在欧盟占有一席之地的智能硬件制造商，王总犯了难，对此李律师给出4点分析。
王总最近有点烦心。王总的公司主要生产智能手环和体重计，由于国内市场竞争激烈，三年前王总便开始把市场重心逐渐向海外市场转移。如今，王总公司的产品在海外市场已占据一席之地，欧盟是其中的重要市场之一。
欧盟市场的拓展一直较为顺利，为王总公司带来了可观的利润。但是，王总发现，最近不少同行都在讨论欧盟即将生效的《一般数据保护规定》（General Data Protection Regulations，下称"GDPR"）。王总的公司在欧盟境内没有任何分支机构和员工，只是通过分销商进行销售；虽然公司的智能手环和体重计可以配合公司的APP一起使用，但APP所连接的服务器在中国境内，公司在欧盟境内并无服务器。基于这些事实，王总原先一直以为，GDPR对其公司并不适用。但与同行交流后发现，虽然真正了解GDPR的人不多，但不少人都看到了媒体报道的对违规行为的巨额处罚，还听说GDPR完全可能适用于欧盟境外的公司，都认为应该慎重对待。
偶然一次机会，王总经朋友介绍结识了李律师。李律师的一席话改变了王总的最初想法。李律师告诉王总，GDPR是欧盟为增强个人信息数据保护而出台的新规定，用以约束个人、企业、公共机构和其他各类实体收集、处理欧盟境内个人数据的行为，将于今年5月25日正式生效施行。经过与李律师的深入讨论，王总对GDPR对其公司在欧盟的智能手环和体重计业务的要求有了进一步的认识：
1.欧盟曾于1995年颁布了个人数据保护指南（Directive 95/46/EC）。但在现如今这个数据爆炸性增长的时代，原来的个人数据保护指南已不能满足个人对隐私和数据保护的迫切需求。在此背景下，GDPR应运而生。其在更新和完善欧盟先前数据保护法规的基础上，加强了对欧盟境内个人的隐私和个人数据的保护，系欧盟近二十年来在数据保护立法方面的最大变化，被称为"史上最严隐私保护规定"。
2.GDPR将在欧盟所有成员国内统一实施。GDPR要求各欧盟成员国成立专门的监管机构来监控GDPR的实施情况，受理数据主体（即欧盟境内个人）的投诉并进行调查、实施行政处罚等。
3.GDPR最大的一个变化就是域外法权的运用，即将其管辖范围在一定情况下扩大到欧盟境外。首先，GDRP适用于所有设立在欧盟境内的数据控制与处理机构的数据处理行为，无论该处理本身是否发生在欧盟境内。其次，对于设立在欧盟境外的公司或其他实体处理欧盟境内个人的个人数据，如果该等数据处理是与其向欧盟境内个人提供商品或服务或监控欧盟境内个人在欧盟境内行为相关的，GDPR也同样适用。最后，GDPR还可能适用于欧盟境外、但根据国际法需适用欧盟某成员国法律的情形。王总公司通过分销商在欧盟境内销售商品并通过APP提供服务，如果在此过程中收集和处理了欧盟境内个人的个人数据，就很有可能符合上述第二种情形，从而受到GDPR的约束。
4.GDPR为行政处罚设定了巨额罚款上限，这也是前期媒体报道中最抓眼球的地方。GDPR并没有对违法行为一一设定罚金，而只是将违法行为分为两类，分别列出了两档最高处罚金额：对于第一类违法行为（主要包括未能履行数据保护义务），最高罚金为1000万欧元或者相关实体上一年度全球营业收入的2%，两者取其高；对于第二类更为严重的违法行为（其中包括违反数据处理的基本原则和条件、侵犯数据主体的权利、非法向欧盟境外转移数据等等），罚金则最高可达2000万欧元或者企业上一年度全球营业收入的4%，两者取其高。请注意上述公式中的计算基数均为全球营业收入，既非利润，也不仅限于欧盟境内的营业收入，数额可谓惊人！当然，监管机构对于违法行为的处罚措施并不仅限于罚金，还可以采取警告、训斥、要求改正、责令对个人数据予以更正等其他措施。GDPR规定，监管机构在决定是否罚款及其金额时应考虑：
(a)违法的性质、严重性与持续时间，和所涉及的个人数据类型；
(b)过失和责任程度，以及过去的相关违法行为；
(c)任何纠正或补救行动；
以及(d)与监管机构的合作程度等因素。
此外，任何因数据控制或处理机构违反GDPR而受到伤害的欧盟境内个人也均有权要求赔偿。
随着对GDPR逐渐深入的了解，眼看着GDPR即将生效，王总不由地心中打鼓。作为在欧洲销售智能硬件的中国企业，如何在欧盟日趋严格的数据保护环境下，尽早地建立完备的内部数据管理制度，更加合规地开展业务，已经成为一个十分紧迫的问题。王总对李律师的专业解答给予了深深的谢意，约定后续就相关问题向李律师进一步请教，便赶回公司，吩咐公司下属成立专门团队以处理欧盟数据保护新规带来的各种问题。
GDPR天价罚金，王总公司等中国智能硬件商该何去何从？让我们拭目以待。