普华永道：2024欧盟法规要求下的用户同意实践白皮书

欧盟实施的《通用数据保护条例》(General Data Protect Requlation, GDPR)驱使全球数据保护法规更加严格，赋予了消费者更大的隐私权。

随着GDPR执法模式的不断完善，在欧洲经济区(EEA)运营的公司必须遵守隐私保护法规，否则将可能面临高昂的罚款(罚款高达2000万欧元或上一个财年全球营业收入的4%)，并且影响企业声誉，导致企业丧失消费者的信任。

因此，企业应注意加强数据保护合规能力，以降低法律风险和经济风险，保障企业的可持续发展，同时可以赢得消费者的信任，打造良好的品牌形象，间接提高消费者对企业的忠诚度。

GDPR被公认为是隐私保护立法的重要里程碑，对数字广告行业产生了深远的影响。

该法规限制企业收集和处理来自欧盟 IP 地址的个人数据。

同样，英国脱欧后，《英国通用数据 保护条例》(UK-GDPR)和《2018年数据保护法》也约束了企业作为网站或应用程序所有者必须获取和存储用户同意，即英国地区的企业也应遵守相同的要求。

在处理个人数据之前，广告商和出版商必须获得用户明确的同意，而且用户可以随时撤回同意。

因此，企业必须清楚了解自己的义务。

本白皮书全面概述了欧盟关于获得“用户同意”的监管要求，并提供了良好实践的范例。

ePD规定了Cookie或类似技术的同意要求，而GDPR规定了有关个人数据处理活动同意的一般原则。

欧洲数据保护委员会(EDPB)也在其《关于GDPR下“同意”》的指南中明确指出，GDPR下获得有效同意的条件也适用于ePD范围内的情况。

因此，我们更关注GDPR的同意要求。

根据GDPR的要求，处理个人数据必须具有法律依据。

企业处理个人数据大多采用“获得数据主体2的同意”作为法律依据。

根据GDPR的定义，个人数据是指与已识别或可识别的自然人(“数据主体”)有关的任何信息，如姓名、身份证号码、位置数据、在线标识符或与该自然人的身体、生理、遗传、心理、经济、文化或社会身份有关的一个或多个特定因素。

总之，如果企业采用“用户同意”作为网站或应用程序处理个人数据的法律依据，则需要遵守以下有关用户同意的要求。

（本文转载的目的在于传递及网络分享，查阅报告原文请关注搜索“报告派”）