通用数据保护条例 GDPR 是什么？欧盟严格的个人数据保护法

《通用数据保护条例》（General Data Protection Regulation，GDPR）是欧盟制定的个人数据保护法规，于 2018 年 5 月 25 日正式生效，被普遍认为是世界上最严格的隐私和数据安全法律之一。虽然它是由欧盟起草和通过的，但它的适用范围远远超出欧洲：只要一个组织向欧盟境内的个人提供商品或服务，或者收集、处理与欧盟境内个人相关的数据，无论这个组织设在哪里，都必须遵守 GDPR。

核心原则

GDPR 规定了处理个人数据必须遵循的几项原则：合法、公平和透明，处理数据要有合法的依据，并让当事人清楚知道；目的限制，收集数据要有明确的目的，不能挪作他用；数据最小化，只收集为达到目的所必需的数据；准确性，保证数据准确并及时更新；存储限制，不再需要时应删除，不能无限期保存；完整性和保密性，采取适当的安全措施保护数据；以及问责，组织要能证明自己遵守了这些原则。

个人的权利

GDPR 赋予了个人多项对自己数据的权利：知情权，知道自己的数据被如何收集和使用；访问权，可以要求查看组织保存的关于自己的数据；更正权，要求纠正不准确的数据；删除权，也就是著名的“被遗忘权”，在一定条件下要求删除自己的数据；限制处理权；数据可携带权，可以要求把自己的数据以通用的格式导出，转移给其他服务商；拒绝权，可以拒绝某些处理，比如用于直接营销；以及不受仅基于自动化处理（包括画像）的决定影响的权利，比如完全由算法决定是否批准贷款。

严厉的处罚

GDPR 之所以影响巨大，很大程度上是因为它的处罚非常严厉：严重的违规，最高可被处以 2000 万欧元或企业上一财年全球营业额的 4%，以较高者为准。Meta、亚马逊、谷歌等科技巨头都曾因违反 GDPR 被处以数亿甚至超过十亿欧元的罚款。

与 AI 的关系

GDPR 对 AI 的发展有着直接的影响：用个人数据训练 AI 模型，需要有合法的依据；用户有权要求删除自己的数据，这引出了“机器遗忘”等技术问题；自动化决策需要满足透明度的要求。欧盟此后又通过了专门监管人工智能的《人工智能法》。GDPR 也深刻影响了全球的数据保护立法，包括中国的《个人信息保护法》在内，很多国家和地区的相关法律都借鉴了它的思路。