本书对欧盟《一般数据保护条例》（GDPR）的具体适用做了全面、系统的介绍和评述，包括GDPR的适用范围、个人数据的隐私权内涵、个人数据处理的主要原则和法律基础，数据主体的权利、数据控制者的义务和数据保护官的职责，以及诸如广告营销、刑事案件、雇佣关系、产品设计保护、数据跨境流动等特殊场景的个人数据保护问题。
对从事欧盟个人数据保护实务和研究的企业、律师和学者而言，本书及时地提供了欧洲数据保护机构多年来针对个人数据保护问题的众多判例法、指南和最新实践。我国理论界和实务界也可以借之更好地理解GDPR相关规则的历史源流和具体适用，确定适当的数据合规策略，或开展对应的研究。

张韬略，中国政法大学法学学士，北京大学法学硕士，同济大学管理学博士。同济大学法学院副教授，博士研究生导师。德国联邦总理奖学金获得者，曾访学于美国芝加哥肯特法学院、德国慕尼黑马普知识产权与竞争法研究所、美国洛杉矶洛约拉法学院等国外学府。目前担任同济大学法学院互联网与人工智能法律研究中心主任、知识产权与竞争法中心副主任，上海市人工智能社会治理协同创新中心研究员。主要研究方向为知识产权法、软件法、互联网法。

第一章 《一般数据保护条例》的主题、目标及其所引发变化的本质；条例的直接适用性
第一节 《一般数据保护条例》的主题、目标及其所引发变化的本质
第二节 《一般数据保护条例》的直接适用性
第二章 隐私权的定义；作为隐私权内容之一的个人数据保护；欧盟隐私权的法律基础；欧盟判例法中隐私权的范围
第一节 隐私权的定义，作为隐私权内容之一的个人数据保护
第二节 欧盟隐私权的法律基础
第三节 欧盟判例法中隐私权的范围
第四节 个人数据保护对隐私权的重要意义
第三章 《一般数据保护条例》和个人数据保护的范围；关键概念
第一节 覆盖的实体范围
第二节 适用范围
第三节 《一般数据保护条例》适用范围的除外情形
第四节 为个人或家庭目的处理数据不落人《一般数据保护条例》的适用范围
第五节 地域范围
第六节 关键概念
第四章 个人数据处理的主要原则
第一节 个人数据处理原则的主导地位
第二节 合法、公平和透明度原则
第三节 目的限制原则
第四节 数据最小化原则
第五节 准确性原则
第六节 存储限制原则
第七节 删除备份副本的数据
第五章 个人数据处理的法律基础
第一节 概述
第二节 基于数据主体同意的数据处理
第三节 为订立或履行合同的数据处理
第四节 为履行法律义务的数据处理
第五节 为保护重要利益的数据处理
第六节 涉及公共利益的数据处理
第七节 为数据控制者合法权益的数据处理
第六章 直接营销、电子营销、cookies和在线行为广告
第一节 直接营销和电子营销的范围和定义
第二节 不接受直接营销的权利
第三节 《第2002/58/EC号指令》中的电子营销
第四节 Cookies和在线行为广告
第七章 雇员个人数据的处理
第一节 在雇佣关系中处理雇员个人数据的依据：雇员的同意
第二节 监视雇员的活动
第三节 雇佣环境下的数据最小化原则
第八章 敏感数据和犯罪记录
第一节 敏感数据
第二节 与犯罪定罪或违法行为有关的个人数据
第九章 提供数据处理相关信息的义务及隐私声明
第一节 信息提供义务的基础及隐私声明的范围
第二节 数据处理的信息和数据处理合法性之间的关系
第三节 要求提供的信息的范围
第四节 产生信息提供义务的情形
第五节 信息提供义务的豁免
第六节 履行信息提供义务的方式及透明度原则
第十章 数据主体的权利
第一节 不需要身份验证的数据处理——对数据主体权利的影响
第二节 数据主体权利的法律基础和范围
第三节 数据访问权
第四节 数据更正权
第五节 数据删除权（被遗忘权）
第六节 限制数据处理的权利
第七节 数据可携带权
第八节 涉及数据主体特定情形的反对数据处理权，或涉及直接营销和用户数据画像目的的反对数据处理权
第九节 个人数据画像或者风险评估以及其他自动决策
第十节 为了公共利益而限制数据主体的权利
第十一章 数据控制者和共同控制者；数据处理者及其挑选标准和合同条款
第一节 概述
第二节 数据控制者
第三节 共同控制者
第四节 数据处理者及其挑选标准和合同条款
第十二章 数据的设计保护和默认保护；风险路径下数据安全措施的适当性；个人数据处理活动的记录；数据处理的授权；向监管部门和数据主体通报个人数据泄露；数据保护影响评估；向监管机构咨询有关数据保护的影响；行为准则和认证
第一节 数据的设计保护和默认保护
第二节 风险路径下数据安全措施的适当性
第三节 个人数据处理活动的记录
第四节 数据处理的授权
第五节 向监管部门和数据主体通报个人数据泄露
第六节 数据保护影响评估
第七节 行为准则和认证
第十三章 数据保护官
第一节 指定数据保护官的义务的标准，数据控制者或处理者的核心业务，大规模的数据处理
第二节 企业集团的数据保护官
第三节 数据保护官的职业素养
第四节 数据保护官的身份、在组织中的地位和自治权
第五节 数据保护官的职责
第十四章 向非欧盟/非欧洲经济区成员国传输个人数据
第一节 规制从欧盟/欧洲经济区向第三国传输个人数据的法律基础和规则
第二节 从欧盟传输个人数据的要求：充分的保护水平
第三节 禁止向不确保充分保护水平的第三国传输个人数据的例外规则
第四节 禁止向不确保充分保护水平的第三国传输个人数据的克减规则
第五节 由监管部门授权，向没有确保充分保护水平的第三国传输个人数据
第六节 从欧盟向美国传输个人数据
第七节 旅客姓名记录数据
第八节 2018年《加州消费者隐私法》和美国的拼凑型隐私体系
第十五章 互联网和监视时代的隐私；技术对隐私的威胁
第一节 技术对隐私保护的挑战
第二节 为了换取服务的安全性和可得性而牺牲隐私
第三节 结论
索引

个人数据保护已经成为
理解当前世界体系的核心问
题之一。欧盟在个人数据保
护领域创建了一个复杂的制
度，其集大成者即目前正在
实施的《一般数据保护条例
》（General Data
Protection Regulation，
GDPR）。《一般数据保护
条例》的主要目标是保护自
然人的基本权利和自由，特
别是保护其个人数据权利（
该权利是隐私权的具体表述
，而隐私权是人的权利和基
本自由，是人的一项基本权
利）和个人数据在欧盟内的
自由流动，同时确保尊重成
员国公民保护其个人数据的
权利。借助该条例，欧盟内
部建立了统一的数据保护标
准。
环顾全球，类似《一般
数据保护条例》的立法模式
，或者至少欧盟委员会认定
达到了欧盟保护水平的数据
保护制度，也已被许多非欧
盟国家（包括亚洲和环太平
洋地区）所采用。
曾经有一段时间，作为
两个主要的全球参与者，中
国和美国并没有采取欧盟这
种立法模式。但是，自
2021年11月1日起施行的中
国《个人信息保护法》
（PIPL）建立了一个全面的
数据保护框架，用以规制在
中国的个人的数据处理，并
具有域外效力，即可适用于
不在中国但向位于中国的个
人提供商品或服务或分析或
评估活动的企业，该法在许
多方面与《一般数据保护条
例》有着明显相似之处。中
国《个人信息保护法》改变
了游戏规则，该法不仅影响
了中国的企业和公民，而且
——由于中国是世界上人口
最多的国家以及在全球经济
中的地位——也影响了国际
的数据流动。
同样地，美国在联邦层
面由参议院起草了《建立确
保数据访问、透明度和问责
制的美国框架法》（SAFE
DATA Act）立法草案，引
发了关于联邦消费者数据隐
私标准的辩论。美国加州通
过了《加州消费者隐私法》
（CCPA），该法案将由《
加州隐私权法》（CPRA）
做进一步修订。
国家之间围绕个人数据
保护法律的这种协调有助于
消除国际经济合作的障碍。
同时，它确保参与全球活动
的大多数国家（包含了全球
大多数的人口）的公民保护
其个人数据的权利能够得到
尊重。
信息技术在全球范围的
大量应用和演进改变了数据
处理环境，带来了新的挑战
。这种变革与下述现象尤其
相关：大量数据在网络上处
理，可访问互联网的设备无
处不在，社交网络服务、在
线购物和在线银行的普遍使
用，跨国公司内部数据的大
规模传输，以及数据处理硬
件和软件容量的增长。大量
收集可用以开发用户画像的
数据，企业的监控，向广告
商出售用户行为数据，移动
电话运营商收集地理定位数
据，互联网用户画像，面向
服务的架构，云数据处理，
公共场所无处不在的闭路摄
像机，购买或卡交易信息的
获取等做法，在加剧隐私侵
犯可能性的同时，也给现有
秩序带来了严重的挑战，进
而呼唤数据隐私保护时代的
来临。
在这种时代背景之下，
我的书能面向中国读者在中
国出版，我感到非常荣幸。
对于在该领域进行研究或向
客户提供建议的企业、客户
、承包商、律师和学者而言
，本书提供了欧洲数据保护
机构多年来所通过的众多判
例法、指南和最佳实践。
更令我高兴的是，这本
书的出版发生在中国《个人
信息保护法》施行之后不久
。由于欧盟《一般数据保护
条例》和中国《个人信息保
护法》有很多相似之处，所
以本书中的很多评论可能有
更广泛的适用性。中国读者
会发现，虽然它们主要用于
《一般数据保护条例》分析
，但在一定程度上也可以适
用于中国《个人信息保护法
》，以及适用于许多受到该
条例影响并采用同等制度或
类似法规的非欧盟司法管辖
区。
非常感谢上海同济大学
法学院张韬略教授对本书的
精彩翻译，这是我的荣幸。
我为这次学术合作过程中双
方的专业精神和友好沟通感
到由衷的高兴，对此我非常
感谢译者。我还要感谢商务
印书馆和威科出版社的通力
合作，以及两家出版社法律
编辑团队的精心投入，没有
这些努力，本书无法在中国
出版。
马里厄斯·克里奇斯托弗
克
2022年3月