64、物联网数据保护：合规要求与主体权利解析

物联网数据保护：合规要求与主体权利解析

一、合法利益基础

控制器或第三方的合法利益可能为处理个人数据提供法律依据。不过，目前并没有对“合法利益”给出明确的定义。通常来说，私人组织常见的利益追求，像营销、广告、IT和网络安全、员工监控以及欺诈预防等，都可被视为合法利益，本质上，只要是法律所认可的利益都可能符合要求。

但控制器仅宣称有合法利益是不够的，还必须证明该利益不会凌驾于数据处理所影响的个人的权利和自由之上。这就需要进行合法利益评估，也就是一种权衡测试，综合考量数据的敏感性、对个人可能产生的影响，以及为降低影响而可实施的技术和组织保障措施等因素。

在物联网环境中，合法利益作为法律依据可能存在风险。因为联网设备对个人位置、家庭等私人生活方面的监控，可能会严重影响个人的隐私和数据保护权利。不能仅以组织在处理个人数据时的经济利益，来为可能严重侵犯隐私和数据保护权利的行为进行辩解。

二、用户同意

鉴于合同和合法利益这两种数据处理法律依据在物联网环境中存在局限性，获取用户对处理其个人数据的同意，成为一种可行的替代方案，但前提是要满足《通用数据保护条例》（GDPR）的要求。GDPR对同意的要求更为严格，具体如下：
1. 自由给予 ：用户必须有真正的选择权来决定是否同意个人数据的收集和处理。不能将同意与接受通用条款和条件捆绑，也不能把同意作为提供合同或服务的前提条件。例如，地图应用不能将使用服务与用户同意将个人数据用于与服务本身无关的目的（如个性化广告）挂钩。
2. 明确具体 ：同意不能是对处理个人数据的笼统授权，而应具有细致性，让用户能够针对每个处理目