《通用数据保护条例》规范对位于欧盟境内人员个人数据的使用。
涉及谁
- 任何设立在欧盟的企业，只要使用个人数据，即使数据在别处处理（第3条第1款）。
- 在欧洲没有机构的亚洲企业，只要它向身在欧盟的人提供商品或服务（无论是否收费），或在网上跟踪他们的行为（第3条第2款）。
与亚洲有关的要点：代表
适用第3条第2款的企业，必须在其客户所在的一个欧盟国家以书面形式指定一名代表（第27条第1款和第3款）。主管机关和个人可以联系该代表。例外：偶尔的处理，不涉及大规模敏感数据，且对个人没有风险（第27条第2款）。
需要做什么
- 每一种用途都要有法律依据：同意只是六种依据之一（合同、法定义务、正当利益……）（第6条）。
- 清楚地告知当事人（隐私政策）。
- 在一个月内答复请求（查阅、更正、删除……）；如请求复杂，可延长两个月，但须在第一个月内告知当事人（第12条第3款）。
- 发生数据泄露时：毫不拖延地通知主管机关（在法国为CNIL），可能的话最迟72小时内，除非泄露对个人没有风险；超过72小时须说明延迟原因（第33条）。
向中国、泰国或越南传送数据
欧洲企业向欧盟以外传送个人数据（客户档案、联系方式）必须满足条件（第44条）：欧盟委员会对该国作出的充分性认定（第45条），或保障措施，例如欧盟委员会通过的标准合同条款（第46条第2款c项），否则只能依据例外情况，例如当事人在被告知风险后作出的明确同意（第49条第1款a项）。
日期
- 自2018年5月25日起适用（第99条）。
官方来源 (阅读日期：2026年11月1日) : Règlement (UE) 2016/679 (RGPD) — EUR-Lex · CNIL — le règlement européen
一般信息，不构成法律意见。做决定前请核对官方来源。