数据保护，欧盟经验值得借鉴

数据作为生产要素，必将成为未来互联网数字经济的核心。但在互联网时代，很多人似乎都处于“裸奔”状态，很多时候我们可能毫无隐私可言，个人数据经常被不当收集、储存、利用，甚至用来非法交易。在这方面，欧盟对于数据的保护极为严格，不仅其法律赋予了数据主体一系列权利，还设定了严厉的数据处理法律责任。 

<立法先行>

早在1981年，欧洲议会就通过了有关个人数据保护的《保护自动化处理个人数据公约》，这是世界上首个有约束力的有关规范数据使用、保护个人隐私、促进数据交流的国际公约。1995年，欧洲议会和欧盟理事会通过了《关于涉及个人数据处理的个人保护以及此类数据自由流动的指令》。

2012年，为应对互联网时代个人数据保护新挑战，并确保数据能够高效安全流通，欧盟委员会公布了《一般数据保护条例》(GDPR)，拟对实施了近17年的《个人数据保护指令》进行修订。2016年4月14日，欧洲议会投票通过了《一般数据保护条例》，该条例将在2018年5月25日生效。这意味着欧盟对数据保护达到了前所未有的高度，堪称史上最严格的数据保护条例。

<条件严格>

在欧盟，数据掌控者不能随意处置数据，只有满足特定条件的数据处理才合法。欧盟保护儿童权益的理念也体现在了数据保护当中，处理16岁以下儿童的个人数据，必须获得该儿童父母或监护人同意或授权。欧盟成员国可对上述年龄进行调整，但不得低于13岁。

此外，欧盟立法还禁止处理特殊数据。如禁止处理能有效识别自然人的基因数据、生物数据，或涉及自然人健康、性生活、性取向的数据等。但在例外情况下也可处理以上数据，如数据控制者出于处理劳动关系、社会保险之需要而在法律允许的范围内且已采取了适当的保护手段等。

<惩罚严厉>

对于侵犯个人数据的现象，欧盟的惩罚堪称严厉。如果数据处理行为构成犯罪的，会被追究刑罚责任。法律不仅严格规定了数据处理的目的、原则、条件、程序等，而且还赋予了数据主体一系列较为强大的权利，如同意权、被遗忘权、数据可携带权、拒绝权、获得救济权等权利，以制约数据掌控者对数据的不当处理。

另外，法律还规定了较为完善的监督与救济机制，设定了严厉的数据处理法律责任。