普华永道：2024欧盟法规要求下的用户同意实践白皮书（24页）.pdf

1、欧盟法规要求下的用户同意实践白皮书 欧盟法规要求下的用户同意实践白皮书1目录040220102122介绍 第1章：GDPR和ePD针对用户同意对企业的要求 第2章：在欧洲经济区建立合规横幅的最佳实践 第3章：Q&A结论联系我们欧盟法规要求下的用户同意实践白皮书欧盟法规要求下的用户同意实践白皮书2欧盟实施的通用数据保护条例(General Data Protect Regulation,GDPR)驱使全球数据保护法规更加严格，赋予了消费者更大的隐私权。随着GDPR执法模式的不断完善，在欧洲经济区（EEA）运营的公司必须遵守隐私保护法规，否则将可能面临高昂的罚款（罚款高达2000万欧元或上一个财年

2、全球营业收入的4%），并且影响企业声誉，导致企业丧失消费者的信任。因此，企业应注意加强数据保护合规能力，以降低法律风险和经济风险，保障企业的可持续发展，同时可以赢得消费者的信任，打造良好的品牌形象，间接提高消费者对企业的忠诚度。GDPR被公认为是隐私保护立法的重要里程碑，对数字广告行业产生了深远的影响。该法规限制企业收集和处理来自欧盟 IP 地址的个人数据。同样，英国脱欧后，英国通用数据保护条例（UK-GDPR）和2018年数据保护法也约束了企业作为网站或应用程序所有者必须获取和存储用户同意，即英国地区的企业也应遵守相同的要求。在处理个人数据之前，广告商和出版商必须获得用户明确的同意，而且用户

3、可以随时撤回同意。因此，企业必须清楚了解自己的义务。本白皮书全面概述了欧盟关于获得“用户同意”的监管要求，并提供了良好实践的范例。介绍欧盟法规要求下的用户同意实践白皮书 第1章对GDPR和ePrivacy Directive（电子隐私指令，ePD）有关用户同意的要求进行了介绍，其中包括与Cookie1或个性化广告等主题相关的案例研究和解释。第2章提供了制作合规横幅的实用指导。第3章列出了针对用户同意实践的常见问题以及答复。31 存储在用户本地终端上的缓存数据，由用户客户端计算机暂时或永久保存的信息，可被网站再次读取。欧盟法规要求下的用户同意实践白皮书欧盟法规要求下的用户同意实践白皮书4第1章G

4、DPR和ePD针对用户同意对企业的要求ePD规定了Cookie或类似技术的同意要求，而GDPR规定了有关个人数据处理活动同意的一般原则。欧洲数据保护委员会（EDPB）也在其关于GDPR下“同意”的指南中明确指出，GDPR下获得有效同意的条件也适用于ePD范围内的情况。因此，我们更关注GDPR的同意要求。根据GDPR的要求，处理个人数据必须具有法律依据。企业处理个人数据大多采用“获得数据主体2的同意”作为法律依据。根据GDPR的定义，个人数据是指与已识别或可识别的自然人（“数据主体”）有关的任何信息，如姓名、身份证号码、位置数据、在线标识符或与该自然人的身体、生理、遗传、心理、经济、文化或社会身

5、份有关的一个或多个特定因素。总之，如果企业采用“用户同意”作为网站或应用程序处理个人数据的法律依据，则需要遵守以下有关用户同意的要求。一 用户同意应当满足有效性用户同意应当满足有效性有效的用户同意是指，数据主体通过声明或明确肯定的行动来表示同意处理与其有关的个人数据，意思表示应当是自由给予的、具体的、知情的和明确的。应注意以下四个关键要素：自由提供：自由提供：意味着数据主体拥有真正的选择权和控制权。对数据主体施加任何不适当的压力或影响阻止数据主体自由地行使其意愿，都会导致获取的同意无效。-不能把同意作为服务条款的捆绑部分。2 GDPR将数据主体定义为“已识别或可识别的自然人”，从其处或收集关于

6、其的信息。例：某网站提供商安装了一个脚本会阻止网站内容的显示，只显示询问是否同意Cookies的请求以及正在设置哪些Cookies和出于何种目的处理数据的信息。如果不点击“接受 Cookies”按钮，就无法访问内容。由于没有向数据主体提供真正的选择，获取的同意不是被用户根据自由意愿提供的。欧盟法规要求下的用户同意实践白皮书5例：客户订阅了某时装零售商提供折扣的资讯，零售商要求客户同意收集更多有关购物偏好的数据，以便根据客户的购物记录或自愿填写的问卷，为其量身定制优惠。当顾客后来撤销同意时，仍应收到相同的折扣但不包含个性化营销资讯。例：在同意请求中，零售商要求客户同意使用其数据通过电子邮件向其发