关于自然人个人数据处理保护与此类数据自由流动并废止指令 95/46/EC 的条例（EU）2016/679
欧洲议会与欧盟理事会 · Regulation (EU) 2016/679
欧盟个人数据保护的横向基础法。围绕合法性基础、透明度、目的限制、数据最小化、准确性、存储限制、完整性与保密性、问责七项原则展开，规定控制者与处理者义务（处理活动记录、数据保护设计与默认、安全措施、处理者合同、数据保护影响评估、数据保护官、欧盟代表）、数据主体权利（知情、访问、更正、删除、限制、可携、反对、免受完全自动化决策）、个人数据泄露通报，以及第五章跨境传输机制（充分性决定、标准合同条款、有约束力的公司规则、认证与行为准则、特定情形减损）。对 AI 企业而言，模型训练数据的合法性基础、训练数据中个人数据的可删除性、以及自动化决策的解释与人工干预是三大高频风险点。
两条独立的适用路径：其一，若企业在欧盟设有机构（子公司、分支、常设办事处）且处理在该机构活动脉络中进行，无论处理行为发生在何地均适用（第 3(1) 条）；其二，即使在欧盟无任何机构，只要向身处欧盟的数据主体提供商品或服务（无需付费），或监测其在欧盟境内的行为，即适用（第 3(2) 条）。对中国 AI 企业的具体触发动作包括：面向欧盟用户开放注册的 App 或 Web 产品；为欧盟企业客户提供包含最终用户个人数据的 SaaS 或 API（此时通常为处理者）；用 cookie、SDK 或设备指纹跟踪欧盟访客行为；抓取包含欧盟居民个人数据的网页用于模型训练；在欧盟招聘或管理员工。仅仅"网站可被欧盟访问"通常不足以触发，需有面向欧盟市场的意图（如欧盟语言、欧元定价、欧盟配送）。
重点行业：通用、大模型 / 生成式 AI、企业软件 SaaS、计算机视觉、金融科技 AI、医疗 AI、AI 智能体
2016-05-24
条例生效
生效但设两年过渡期，义务自 2018-05-25 起适用。
2018-05-25
全面适用
全部实体义务、数据主体权利与罚则制度开始适用，并废止指令 95/46/EC。
每条都写明触发条件、需要留存的证据与条款出处
依第 3(2) 条适用 GDPR 但未在欧盟设立的控制者或处理者，须书面指定一名欧盟代表，设立于其数据主体所在的成员国之一。代表须被授权在处理相关的所有事项上，代替或同时与控制者/处理者一起接受监管机构与数据主体的联络。豁免仅限于：处理属偶发、不涉及大规模处理第 9(1) 条特殊类别数据或第 10 条犯罪记录数据、且不太可能对自然人权利自由造成风险；或主体为公共机关。
首次达标投入估算：3–10 人日（估算，非承诺）
在三种情形下必须指定 DPO：处理由公共机关或机构进行（司法职能中的法院除外）；控制者或处理者的核心活动由于其性质、范围或目的而需要对数据主体进行大规模的定期与系统性监测；或核心活动为大规模处理第 9 条特殊类别数据或第 10 条犯罪记录数据。DPO 须基于专业素质尤其是数据保护法律与实务专长指定，可为雇员或依服务合同履职；企业集团可指定单一 DPO，但须确保各机构均能便捷联系。
首次达标投入估算：5–15 人日（估算，非承诺）
控制者（及其代表）须维护其职责下的处理活动记录，至少包含控制者/共同控制者/代表/DPO 的名称与联系方式、处理目的、数据主体类别与个人数据类别、接收方类别（含第三国接收方）、跨境传输的第三国识别与保障措施、各类数据的预定删除期限、以及第 32(1) 条技术与组织安全措施的一般性描述。第 30(5) 条的 250 人以下豁免适用范围极窄：只要处理可能对数据主体权利自由造成风险、处理非偶发、或涉及特殊类别或犯罪记录数据，豁免即不适用。
首次达标投入估算：8–20 人日（估算，非承诺）
每一项处理活动（含用用户数据训练或微调模型）须确定并记录第 6 条合法性基础；涉及第 9(1) 条特殊类别数据的须另行满足第 9(2) 条例外。依赖同意的，须符合第 4(11) 与第 7 条的有效同意要件（自由作出、具体、知情、明确，可随时撤回且撤回与给予同样容易）；依赖合法利益的，须完成并留存三步利益权衡测试。向数据主体的告知须按第 13、14 条提供全部要素，其中第 14(3) 条要求间接获取个人数据时在合理期限内（最迟一个月）告知。
首次达标投入估算：10–25 人日（估算，非承诺）
建立可举证的响应流程，覆盖访问、更正、删除、限制处理、可携、反对以及与自动化决策相关的权利。依第 12(3) 条，须在收到请求后无不当延迟且不迟于一个月内告知处理结果；考虑请求复杂性与数量，可再延长两个月，但须在首个月内告知延期及理由。响应须免费提供（明显无依据或过度的请求除外）。对 AI 企业而言，难点在于识别并处理已进入训练集与向量索引的个人数据，以及说明模型输出中是否仍可复现该个人数据。
首次达标投入估算：10–25 人日（估算，非承诺）
当某类处理（尤其是使用新技术，并结合处理的性质、范围、背景与目的）可能对自然人权利自由造成高风险时，控制者须在处理前开展 DPIA。第 35(3) 条列明三类必须开展的情形：基于自动化处理（含画像）对个人方面进行系统全面的评估，并据以作出对该人产生法律效果或类似重大影响的决定；大规模处理第 9(1) 条特殊类别数据或第 10 条犯罪记录数据；大规模系统性监测公共可进入区域。已指定 DPO 的，须征询 DPO 意见。若 DPIA 表明在无缓释措施时存在高风险，须在处理前咨询监管机构（第 36 条）。
首次达标投入估算：8–20 人日（估算，非承诺）
数据主体有权不受仅基于自动化处理（含画像）、对其产生法律效果或类似重大影响的决定约束。例外仅三种：该决定对于订立或履行数据主体与控制者之间的合同是必要的；经欧盟或成员国法律授权且该法律规定了适当的保障措施；或基于数据主体的明确同意。在合同必要性与明确同意两种情形下，控制者须实施适当保障措施，至少包括数据主体获得人工干预、表达自身观点与对该决定提出异议的权利。此外，此类决定不得基于第 9(1) 条特殊类别数据，除非适用第 9(2)(a) 或 (g) 项且已有适当保障。
首次达标投入估算：8–20 人日（估算，非承诺）
发生个人数据泄露时，控制者须无不当延迟，并在可行情况下自知悉起不迟于 72 小时向主管监督机构通报，除非该泄露不太可能对自然人权利自由造成风险；超过 72 小时的须附延迟理由。通报至少包含泄露性质（含涉及的数据主体与记录的类别与大致数量）、DPO 或其他联络点、可能后果、已采取或拟采取的措施。信息可分阶段提供。处理者在知悉后须无不当延迟通知控制者。若泄露可能对自然人权利自由造成高风险，还须无不当延迟以清晰通俗的语言告知数据主体。控制者须记录所有泄露事件的事实、影响与补救措施以备监管核查。
首次达标投入估算：5–15 人日（估算，非承诺）
控制者只能选用能提供充分保证、实施适当技术与组织措施的处理者，且处理须以合同或其他具约束力的法律行为为依据，约定处理的标的、期限、性质与目的、个人数据类型与数据主体类别，以及控制者的权利与义务。处理者未经控制者的特定或一般书面授权不得再委托其他处理者；一般授权情形下，处理者须就增删再处理者告知控制者，使其有机会反对。
首次达标投入估算：5–15 人日（估算，非承诺）
控制者与处理者须考虑最新技术水平、实施成本、处理的性质范围背景目的以及对自然人权利自由的风险，实施适当的技术与组织措施以确保与风险相称的安全水平，措施可包括假名化与加密、保障系统与服务持续保密性完整性可用性与韧性的能力、事故后及时恢复可用性与访问的能力、以及定期测试评估与评价措施有效性的流程。同时须在确定处理方式时与处理进行中落实设计与默认的数据保护（第 25 条）。
首次达标投入估算：15–40 人日（估算，非承诺）
向第三国或国际组织传输个人数据，仅在满足第五章条件时方可进行：存在委员会作出的充分性决定（第 45 条）；或已提供适当保障（第 46 条，包括委员会通过的标准数据保护条款、有约束力的公司规则、经批准的行为准则或认证机制，并配套可执行的数据主体权利与有效救济）；或适用第 49 条的特定情形减损。中国目前不在欧盟充分性决定名单内，因此中国 AI 企业的默认路径是签署标准合同条款并完成传输影响评估，识别目的地法律对条款有效性的影响并采取补充措施。
首次达标投入估算：10–30 人日（估算，非承诺）
两档行政罚款（第 83 条）：违反第 8、11、25 至 39、42、43 条的控制者与处理者义务、认证机构义务或监督机构义务，最高 1,000 万欧元或上一财年全球年营业额的 2%，以高者为准；违反处理基本原则与同意条件（第 5、6、7、9 条）、数据主体权利（第 12 至 22 条）、第五章跨境传输规定（第 44 至 49 条）、成员国依第九章制定的义务，或不遵守监管机构的处理限制、暂停数据流动命令或拒绝配合检查，最高 2,000 万欧元或全球年营业额的 4%。不遵守监管机构依第 58(2) 条作出的命令同样适用 2,000 万欧元/4% 档。罚款之外，监管机构还可下令暂停处理或禁止向第三国传输数据，这对跨境业务的杀伤力通常大于罚款本身。
本条目仅依据条例正式文本编写，未纳入欧洲数据保护委员会指南与成员国监管机构的具体执法口径（例如"大规模"的判定、合法利益用于模型训练的边界、AI 模型是否构成个人数据等争议问题），这些口径在个案中可能实质影响结论。此外，欧盟层面关于数据规则简化的立法讨论仍在进行，若后续对 GDPR 作出修订，本条目须重新核实。
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。