域外動態
一、英國政府宣布英美數據橋將于10月12日生效
【預警資訊】
當地時間9月21日,英國科學、創新和技術部 (DSIT) 公布《2023年數據保護(充分性)(美利堅合眾國)條例》,確認了英美數據橋(U.K. - U.S. Data Bridge)的效力。自10月12日起,英國企業可以開始根據《英國通用數據保護條例》 (UKGDPR)第45條將個人數據傳輸至獲得《歐盟-美國數據隱私框架英國擴展》(UK Extension)認證的美國組織,而無需采取進一步的保障措施。“英美數據橋”,是指在無需采取其他安全保障措施,即允許數據從英國跨境傳輸至美國的官方許可。“數據橋”類似于《歐盟通用數據保護調理》(EUGDPR)下的充分性決定(Adequate Decision),有利于在兩個地域之間實現自由且安全的數據跨境傳輸。數據橋的建立意味著個人和企業能夠以更便捷的方式、更低的成本、更自由地實現數據從英國流向美國,對于促進跨大西洋數據流動有著重要的作用。(資訊來源:英國政府官網)
【預警提示】
建議在英美兩國之間存在數據傳輸需求的企業提前做好認證準備工作。一是企業內部應當明確數據隱私框架下的執行原則與要求,包括數據完整性、安全性等基本原則和開展盡職調查、審計等補充原則;二是及時申請合規性認證。在數據隱私框架計劃官方網站上開展自我認證,創建賬戶和文件夾,同時申請加入《歐盟-美國數據隱私框架》和《歐盟-美國數據隱私框架英國拓展》,并且繳納相應的年費,以盡早通過數據橋實現數據共享、釋放數據價值。
二、加拿大郵政公司出于營銷目的收集和使用個人信息違法
【預警資訊】
當地時間9月19日,加拿大隱私專員辦公室(OPC)公布對加拿大郵政公司(CPC)的調查結果,認為該公司出于營銷目的收集和使用個人信息的行為,違反了《隱私法案》第5條。加拿大隱私專員辦公室建議該公司停止目前未經個人授權,從信封外部間接收集個人信息并進行營銷活動的做法;建議該公司采取更符合《隱私法案》要求的措施,并重新考慮可行的補救方案。(資訊來源:加拿大隱私專員辦公室)
【預警提示】
建議企業將個人信息的收集環節作為數據合規工作的重中之重,確保個人信息后續處理應用和商業化開發的合法性。一是直接收集個人信息的企業應當將具備合法性基礎作為數據收集的必要前提。除取得個人同意之外,企業可以適用“履行合同所必須”“履行法定職責或法定義務”“維護公共利益”“處理已公開的個人信息”等其他合法性基礎,但其他合法性基礎的適用具有嚴格的限制性,企業必須堅持客觀合理的標準,仔細識別具體的數據收集場景是否滿足不同合法性基礎的適用要求;二是通過第三方間接收集個人信息的企業應該進行必要的盡職調查,要求數據提供方出具合法性基礎的證明材料,確保數據提供方的數據來源合法,并在合同中明確雙方的權利和義務,要求數據提供方采取必要的技術安全措施,以保障數據傳輸安全;三是應當主動向信息主體告知與其個人信息處理相關重要事項信息,包括:個人信息處理者的名稱和聯系方式、個人信息的處理目的和處理方式、處理的個人信息的種類和保存期限等。在處理個人信息的過程中,如果前款事項發生變更,企業應當將及時將變更部分告知個人,保障個人信息主體的知情權。
【聲明】
1.本期信息內容由深圳市司法局編輯發布,由深圳市鵬城法律合規研究院提供技術支持,轉載請注明以上信息;
2.本期信息僅做分享與交流之用,不構成任何法律意見或建議;
3.任何主體均不應當以本期信息及所載內容作為分析和判斷的基礎;
4.企業在做出任何可能影響經營管理的決定前,建議咨詢合規專業人士。