高楚南

0 引言

隨著數據產業(yè)迅猛發(fā)展，灰色的數據鏈條也在形成。僅2016年360獵網平臺就收到網絡詐騙舉報20623例，涉及金額1.95億元，人均損失達9471元[1]。數據大量泄露和被盜的背后是控制數據的主體有意無意的疏忽，導致數據落入不法者手中。究其根本，是我國對數據控制者缺少義務規(guī)制，導致數據產業(yè)的野蠻生長，產生極高的市場負外部性。針對該問題，強調個人數據保護的歐洲在數十年間多次在立法中論及數據控制者，并對其義務進行嚴格規(guī)制。其中，最具代表性且具有時間繼承順序的法律淵源是世界經濟合作與發(fā)展組織(Organization for Economic Co-operation and Development， OECD)、 歐洲委員會以及歐盟的立法。本文挖掘以上三大法律淵源中數據控制者的源起及義務設定，總覽其變遷軌跡，歸納其變遷規(guī)律，以便于我國借鑒歐洲數據控制者義務保障體系。

1 數據控制者的源起和發(fā)展

政府出于管控需要，對國民的個人數據進行統(tǒng)計，計算機自動化技術滿足了這一需求，于是大規(guī)模的個人數據處理使政府成為數據控制者。信息網絡環(huán)境下，數據量的激增和新技術的運用使數據商業(yè)化運用成為可能，市場催生出大量新的數據控制者，其控制的數據體量遠超政府。歐洲在立法上充分考量數據發(fā)展的現(xiàn)實，將掌控和決定數據這一核心要件作為判定數據控制者的主要標準之一。

1.1 數據控制者源起于計算機自動化

1960年代，歐洲開始通過計算機自動處理技術積累個人數據，使個人數據的搜集速度和范圍發(fā)生質變，政府成為名副其實的數據控制者。隨后，數據保護立法出現(xiàn)，德國黑森州于1970年頒布第一部《數據保護法》，該法第二部分“Datenschutzbeauftragter”(數據保護官員)詳述其地位、責任及義務，但其身份只能視為數據控制者的辦事人員，而非數據控制者本身。數據控制者真正在法律文本中得以確立，是OECD于1980年發(fā)布的《隱私保護和個人數據跨境流通的指南》(以下簡稱《1980指南》)，其定義是“根據各國法律能夠決定個人數據內容和用途的主體，無論該數據是由其本人還是由其代理人收集、存儲、處理和傳播的”①。至2013年，OECD頒布了修訂后的《隱私保護和個人數據跨境流通的指南》(以下簡稱《2013指南》)，沿用了《1980指南》中數據控制者的定義。歐洲委員會與OECD在數據保護立法方面極具同步性，其1981年通過的《個人數據自動化處理中的個人保護公約》(以下簡稱《108公約》)，是計算機和信息化技術出現(xiàn)后第一部關于數據保護的國際公約。由于《108公約》使用“數據文檔”(data file)這一描述，所以相應使用了“文檔控制者”(controller of the file)這一名詞，其定義是“有權依據國內法決定自動處理數據文檔的目的、應被存儲的個人數據的類型和適用于這些個人數據的處理操作的自然人或法人，公共機構、代理機構或其他機構”②。由于此時的數據控制者多是政府等公權力機構，所以以上定義使用了“決定”“有權”等帶有權力意味的詞匯，同時強調“自動處理”，明確僅適用于計算機自動處理個人數據的情形，以區(qū)別于普通民事隱私侵權?？梢哉f，隨著計算機自動化技術的出現(xiàn)，能夠掌控大規(guī)模數據的控制者才開始出現(xiàn)，其概念也得以初步確立。

1.2 數據控制者在信息網絡環(huán)境的發(fā)展

1980年代之后，信息網絡發(fā)展迅猛，數據生成量成幾何倍數增長，數據挖掘和分析技術的發(fā)展不斷突顯數據的商業(yè)價值。在市場驅動下，數據控制者開始由公權力機關轉向私人企業(yè)和社會機構，歐洲在立法上也出現(xiàn)新的變化。1995年10月24日，歐盟頒布《有關個人數據處理中的個人保護和所涉數據自由流通的第95/46/EC/號指令》(以下簡稱《95指令》)，將數據控制者定義為“單獨或者與他人共同確定個人數據處理的目的和手段的自然人或法人”③。作為《95指令》的替代者，歐盟于2016年通過并于2018年實施的《一般數據保護條例》(以下簡稱《16條例》)，并未對數據控制者的定義進行修改④。除《95指令》和《16條例》對數據控制者作出較為完善的定義外，2012年歐洲國家共同締約在《108公約》基礎上修訂的《個人數據處理中的個人保護公約》(以下簡稱《2012公約》)，則將數據控制者定義為：“獨立或與其他人共同作出數據處理決定的自然人或法人、公共機構、代表機構或任何其他組織”⑤。相較《108公約》，該定義去掉了“自動處理”的行為要件，增加了“共同”的意思聯(lián)絡要件。雖然其適用范圍排除“個人純粹從事私人或家庭活動而進行的數據處理行為”，但這一排他性的條款從側面表明，進行非計算機自動處理的主體也有可能是數據控制者。數據控制者的范圍得到擴寬，同時可能為多個主體。以上立法表明，在信息網絡環(huán)境下，數據控制者的定義呈現(xiàn)出高度概括化趨勢，核心要件不再是數據的自動處理，而是強調事實上掌控數據的能力?？傊夹g和市場的發(fā)展催生數據控制者形式的多樣化和復雜化，其范圍至少包含網絡平臺服務商、社交網絡服務商、電子商務服務商、網絡服務提供商及信息基礎設施服務商等。

2 數據控制者義務類別

數據控制者的義務規(guī)定主要源于前述三大法律淵源，三者雖然立法主體、立法宗旨和背景、邏輯結構各不相同，但仍可通過具體義務的橫向及縱向比較，歸納總結出數據控制者的12項主要義務類別，見表1。

表1 數據控制者義務類別

2.1 長期延續(xù)的義務

數據安全、告知、更正和清除等三項義務從最早的法律淵源中延續(xù)至今，并在發(fā)展過程中得以加強和細化。其中，數據安全義務在《2012公約》《16條例》中被賦予“系統(tǒng)保護(data protection by design)”這一新理念，即在數據處理程序的設計階段就充分考慮數據保護問題，如嵌入匿名化機制和數據最小化機制，將數據安全的理念貫穿于整個數據處理活動中。另外，提高告知義務的時效性，如《16條例》規(guī)定在搜集數據的同時應當告知數據主體相關信息。同時，告知也成為其他多項義務的附隨義務，如進行更正和清除操作后需告知數據主體。更正及清除義務在《1980指南》《2013指南》《108公約》《2012公約》《95指令》中均規(guī)定，要么在數據主體的異議成立時，要么在數據處理行為違反公約規(guī)定時，要么在數據不完整不準確時，數據控制者才會更正或清除數據。而在《16條例》中，強化了更正和清除義務，即使數據處理行為符合法律規(guī)定，但其存在已經失去必要的目的時，數據控制者同樣應承擔清除義務。值得注意的是，在《16條例》出臺期間，歐洲經歷了“岡薩雷斯訴谷歌被遺忘權案”，僅2014年Google就收到498737條鏈接的刪除要求，并成功移除其中的41.8%[2]?？梢?，清除義務已成為一項廣泛施行的基本義務。

2.2 后期立法增設并延續(xù)的義務

報告、損毀通知、建立內部機制(合作義務)及建立風險評估機制(風險評估義務)均是后來立法增設的義務?！?5指令》后，歐盟對數據控制者施加更為嚴格的義務，如報告義務即是由于《95指令》之后的立法均要求設立數據監(jiān)管機構，才增設的義務。該義務不僅要求數據控制者向監(jiān)管機構披露其自身信息，也要證明其數據處理行為符合法律規(guī)定。報告義務進一步衍生出損毀通知義務，該義務規(guī)定向監(jiān)管機構報告是無條件的，而只有在數據損毀可能產生較高風險時才要求通知數據主體。合作義務和風險評估義務在《2012公約》《2013指南》《16條例》中均有所體現(xiàn)。合作義務在前兩者中的體現(xiàn)是，要求數據控制者建立內部機制并與監(jiān)管機構合作，但未明確具體程序?！?6條例》規(guī)定“數據控制者經請求，應當與監(jiān)管機構合作履行其職責”，如設立風險評估機制，當評估結果顯示數據處理風險較高時，數據控制者應當咨詢監(jiān)管機構并獲取建議，從而落實與監(jiān)管機構的合作細則。增設的義務使得數據控制者義務范圍不斷擴寬，形成廣泛而緊密的義務網絡。

2.3《95指令》《16條例》獨有的義務

數據處理記錄、事先咨詢(預先審查)以及設置數據保護專員是《95指令》《16條例》中獨有的義務，限制處理則是《16條例》獨有的義務?！?5指令》規(guī)定，數據處理操作記錄由監(jiān)管機構保存，并向任何人公開查詢。這不僅加重了監(jiān)管機構的負擔，也使得個人數據存在被第三方盜取的可能性。因此，《16條例》規(guī)定，由數據控制者保存數據處理記錄，并應監(jiān)管機構要求而提供，不再向社會公開?！?5指令》中，監(jiān)管機構需要對特殊風險的數據處理行為進行預先審查，但特殊風險并沒有確切的標準。而《16條例》并沒有采取預審的辦法，而是結合風險評估機制，當評估結果顯示數據處理風險較高時，數據控制者才向監(jiān)管機構咨詢。這兩項義務內容的修改既明確了標準，也節(jié)約了成本，提升了效率。而數據保護專員則負責以上各類事項的具體落實，最終構成以合作為前提，以評估為參考，進而咨詢監(jiān)管機構這一完整的義務體系?？梢哉f，這三項義務的創(chuàng)設，將數據控制者的各項義務有機結合，形成有序的義務規(guī)程。

3 數據控制者的義務變遷路徑

馬克思提出“沒有無義務的權利，也沒有無權利的義務”，說的是一種價值判斷，而非事實判斷[3]?，F(xiàn)實中，權利與義務的聯(lián)系并不總是直接且一對一的[4]。無論是《1980指南》《2013指南》中大量的原則性規(guī)定，還是《108公約》《2012公約》中開始出現(xiàn)的具體義務規(guī)則，數據控制者的義務并非與數據主體的權利相對應。直到出臺《16條例》時，才分設“數據主體的權利”和“數據控制者和處理者”兩個章節(jié)，構建權利義務相對應的立法體例。從立法的變化可看出，數據控制者的義務逐漸從原則性規(guī)定朝具體規(guī)則方向演進。在具體規(guī)則的構建中，又從數據主體的權利要求朝數據控制者具體義務承擔的方向逐步細化和發(fā)展?？傊瑪祿刂普吡x務的立法變化逐步接近馬克思所說的理想狀態(tài)，體現(xiàn)出法律制定從實然到應然的理性變遷過程。

3.1 原則性義務向規(guī)則性義務過渡

法律的現(xiàn)實意義在于適用，規(guī)則天然優(yōu)先于原則適用。在變遷過程中，數據控制者的義務逐漸以具體規(guī)則的形式予以確定?！?980指南》并沒有明文規(guī)定數據控制者的義務，只是抽象出數據保護和使用的八項原則：收集限制、數據質量、目的特定化、使用限制、安全保護、公開、個人參與以及責任原則。其中，“責任原則”是指“數據控制者將對是否有效實施上述所有原則承擔責任”，可見數據控制者將負責前述各項原則的具體落實。之后的《108公約》乃至《95指令》，吸收了《1980指南》的眾多原則，設置了相應的義務規(guī)則，如限制處理義務源自使用限制原則，更正和清除義務、透明度義務源自個人參與原則，報告和通知義務源自公開原則?！?013指南》在前述八項原則的基礎上增設“實施責任”，列明數據控制者的具體義務：一是實施隱私管理規(guī)劃制度的義務(包括建立內部機制、建立風險評估機制等)；二是證明隱私管理規(guī)劃適當的義務；三是個人數據重大安全損毀事故告知(數據主體)和報告(監(jiān)管機構)的義務?！?012公約》雖然在第二章使用“數據保護基本原則”這一措辭，但其內容大多是具體規(guī)則設置?！?6條例》則不再強調原則性義務，而是直接進行大量的規(guī)則性設計，并明確了操作流程以便施行?？梢?，后續(xù)的立法不僅僅局限于原則性義務的制定，更注重具體規(guī)則的構建，從而有效地將原則精神引導和落實于具體規(guī)則之上。

3.2 數據主體權利要求向數據控制者義務承擔過渡

數據主體權利需要數據控制者的義務來進行保障，伴隨著規(guī)則性義務不斷增設，保障方式逐漸由權利指向朝著義務承擔的方向過渡?！?08公約》《2012公約》均在第二章“數據保護基本原則”通過“數據安全”“數據主體的額外保障(權利)”兩個方面從側面規(guī)定數據控制者的義務規(guī)范?！?012公約》更進一步，在上述兩方面以插入性條款直接列明數據控制者的義務，要求數據控制者建立內部風控管理和數據處理風險評估機制，但仍然沒有單獨章節(jié)對數據控制者義務進行規(guī)制?？傊?，《108公約》《2012公約》主要以數據主體的權利為導向，指向數據控制者的義務承擔，如反對數據擅自處理權、數據知情權、數據更正清除權、獲得救濟權，分別對應安全義務、告知義務、更正和清除義務、賠償義務。

《95指令》規(guī)定數據主體更正和清除數據的權利請求，此處的清除權僅具雛形，只有當數據不完整或者不準確時，數據主體才具備更正和清除的請求，同時沒有明確數據控制者對應的義務，這都是當時清除權并未能有效落實的原因?！?6條例》規(guī)定“數據控制者有義務立即清除相關個人數據”⑥，并直接以義務的形式對其進行要求，從而形成完整的權利請求與義務對應關系?！?6條例》總體上通過單獨設置“數據主體的權利”“數據控制者和處理者”兩個章節(jié)，分別從“數據主體權利要求”“數據控制者義務承擔”兩方面對數據控制者的義務進行詳細規(guī)定，真正以數據控制者為視角列明其所應承擔的義務規(guī)范。相比之前的立法，數據控制者的義務得到強化，增設數據泄露報告義務、系統(tǒng)默認保護義務、數據影響評估義務及限制處理義務等?？梢哉f，《16條例》是迄今為止數據控制者義務不斷演進中所達成最為完善的立法實踐，充分體現(xiàn)了從完全的數據主體權利導向，到由數據主體權利要求為輔，數據控制者義務承擔為主的立法過渡。

4 數據控制者義務變遷的特點

4.1 義務種類隨時間變化逐漸增多

數據控制者的義務種類隨年代變化而變化。年代越久遠的法律文本，規(guī)定的義務種類越少；年代越近的法律文本，規(guī)定的義務種類越多。《1980指南》《108公約》只規(guī)定3項義務種類；《95指令》增加至7項，《2012公約》《2013指南》保持該數量；《16條例》則達到12項，逐步增加的有數據處理記錄、事先咨詢(預先審查)、設置數據保護專員、報告(監(jiān)管機構)、透明度、風險評估、合作、損毀通知、限制處理等義務。數據控制者的不同義務間，呈現(xiàn)出互相縱橫交錯的趨勢，這與逐年增設的義務種類緊密相關。

4.2 核心義務得以繼承并強化

最早立法所確立的數據安全、告知、更正和清除這三項義務在之后的立法中不斷強化，成為數據控制者的核心義務。數據安全義務在新技術背景下得到增強和細化，強調“系統(tǒng)保護”策略，通過法律和技術兩個層面來確保數據安全；告知義務的要求也在提升，明確告知的時限、范圍及內容，除獲取數據時需向數據主體告知數據控制者的身份信息、聯(lián)系方式和處理目的，還需在每一項數據處理過程中(如限制處理、更正及清除的情況下)告知數據主體相應信息，最大限度地確保數據處理的透明度，形成了完整的告知體系；更正和清除義務則去除了附加條件，便于數據主體決定自身數據的存留與否，數據控制者的數據處理行為已經開始充分尊重數據主體的意志。

4.3 義務體系具有同一淵源性

《1980指南》是最早對數據控制者義務進行規(guī)范的法律淵源，數據控制者的多項義務都能夠在其規(guī)定的原則中得到印證，呈現(xiàn)出義務規(guī)范法律淵源的高度一致性。例如，透明度義務源于其中的“公開原則”，要求數據控制者在收集和處理數據的過程中公開必要信息以及有效途徑，使數據主體充分知情；限制處理則源于“使用限制原則”；更正及清除發(fā)展自“個人參與原則”；數據安全所強調的系統(tǒng)保護和默認保護則是“安全保護原則”的發(fā)展與創(chuàng)新。后期的立法正是基于《1980指南》中歷久彌新的古老原則，增加可操作性，對這些原則進行了發(fā)展與完善[5]。

5 數據控制者義務變遷的緣由

5.1 技術發(fā)展的變遷需要

科技是第一生產力，隨著生產力的進步，生產關系需要調整。法律是生產力與生產關系的有效調整措施，而信息技術直接影響著法律的現(xiàn)在與未來[6]。20世紀八九十年代，計算機技術進入高速發(fā)展時期，小型臺式計算機開始普及，自動化數據處理在政府部門也得以普及。但直至《95指令》施行時，互聯(lián)網主要起到信息傳輸的作用，在歐洲范圍內還未得到廣泛應用。1993年歐洲互聯(lián)網存儲的個人數據僅占整個電子通訊信息的1%，而現(xiàn)在占比高達97%[7]。跨過千禧年，互聯(lián)網技術突飛猛進，網站流量激增，新興信息技術的發(fā)展催生出更為先進和復雜的產品，如電子監(jiān)控系統(tǒng)、生物技術識別系統(tǒng)。伴隨信息技術應用產生的云計算、移動互聯(lián)網、社交網絡以及各類智能終端，無時無刻不在記錄和收集個人數據。信息技術使得觀察、儲存和分析人們的大多數日?；顒映蔀榭赡埽腋杆俸碗[秘，除非有完善的數據保護標準廣泛有效地實施，否則將損害民眾的基本自由和人權[8]。因此，在《2012公約》《16條例》中，采取“系統(tǒng)保護”理念，要求數據控制者在設計新型處理技術、產品或服務過程中使用一系列隱私強化措施，以應對計算機自動化技術的發(fā)展對個人數據收集和使用進行的限制，確保個人數據保持有限訪問的狀態(tài)；增加透明度義務并強化告知義務，幫助數據主體清晰了解數據控制者的數據收集過程，避免因技術鴻溝引發(fā)信息不對稱問題，保證數據主體充分知情。這些義務在之前的立法中并未出現(xiàn)，受制于技術水平也難以實現(xiàn)?？梢?，隨著科技的發(fā)展，個人數據難以遁形，“數據畫像”越發(fā)常見，需要通過不斷更新的制度設計，采取技術手段設置保護壁壘，規(guī)避技術發(fā)展對個人隱私造成的威脅。而數據控制者的義務設置充分呼應了技術的發(fā)展需要，為適配技術的更迭而不斷變遷。

5.2 數據主體的權利博弈

權利與義務具有對應關系，伴隨數據主體權利意識的覺醒，對數據控制者的義務承擔也提出了更高要求。近30年來，隨著信息技術的快速發(fā)展，大部分歐洲人認可個人數據披露逐漸成為現(xiàn)代生活的一部分，也有高達72%網絡用戶擔心其個人數據被過度收集，他們對個人數據如何使用和傳播均無從知曉，同時也不知道如何行使自己的權利[9]。這直接導致歐洲人對新型互聯(lián)網服務的接受度下降，阻礙了歐洲在互聯(lián)網技術領域的科技創(chuàng)新。可以說，數據主體的權利化困境已經開始成為歐洲數據產業(yè)發(fā)展的障礙之一。

伴隨著對技術的警惕審視，歐洲民眾對數據的權利意識開始提升，并對個人數據提出了相應的權利要求?！皩_雷斯訴谷歌被遺忘權一案”確立了數據主體的刪除權，而與數據主體的權利要求相對應的便是數據控制者的義務，由此進一步強化數據控制者應履行的刪除義務。歐洲立法機構為應對歐洲民眾對于數據權利要求的呼聲，開始對數據控制者的各項義務進行立法完善。比如，《16條例》中獨有的限制處理義務，即是為了保障數據主體對個人數據的自決權；損毀通知義務的創(chuàng)設和告知義務的強化，則是為保障數據主體知情權及其有效落實。雖然歐盟于2000年發(fā)布的《歐盟基本人權憲章》第8條明確規(guī)定“人人有權保護涉及他或她的數據”，表現(xiàn)出將個人數據作為獨立人權保護的趨勢，但從各大法律淵源看，仍然傾向于從控制個人數據主體處理數據行為的角度對個人數據進行保護，并且將數據主體的各項權利視為對數據控制者義務履行的請求權。同時，義務變遷的總體理念是暫且擱置這些請求權的合理性基礎，通過立法對數據控制者的義務進行不斷完善和細化，從而呼應數據主體不斷強化的權利意識。

5.3 數據主權的制度保障

美國是數據強國，始終秉持對數據充分利用的態(tài)勢。歐洲為保護區(qū)域內的數據安全，通過制度構建，對美國在歐洲范圍的數據收集行為進行制約。由于歐洲長期以來對個人數據利用所持的保守態(tài)度，在數據開始成為國際競爭焦點的時代，互聯(lián)網技術先進的美國在數據競爭中占盡優(yōu)勢，并培育出IT界八大金剛(思科、IBM、谷歌、高通、英特爾、蘋果、甲骨文、微軟)，這些企業(yè)的產品涵蓋教育、醫(yī)療、體育、金融、交通、軍警等領域，小到智能手機，大到服務器集群，均遍布其身影，成為名副其實的數據控制者。歐洲的互聯(lián)網企業(yè)無論體量還是規(guī)模，都難以與上述企業(yè)比肩，技術上更是如此。“棱鏡門”事件暴露出美國企業(yè)長期將世界范圍內搜集到的數據輸送給美國政府，單純靠給Google開出巨額罰單也并非長久之計?！鞍踩蹍f(xié)議”的廢除表明歐洲已經意識到，必須通過有效手段遏制他國行為，避免對本國數據的無盡獲取，同時應促使他國企業(yè)承擔更多的社會責任。

在技術落后于美國的情形下，歐洲通過制度構建進行彌補。自《108公約》開始，歐洲便期望統(tǒng)一數據保護立法，但歷經十年，收效甚微，直至1991年底《108公約》只獲得12個歐洲委員會成員國的批準[10]。在此背景下，更為直接的立法模式應運而生，從《95指令》的國內轉化立法，到《16條例》的直接適用，都在促使整個歐洲能夠適用統(tǒng)一的數據保護規(guī)則，確保“數字單一市場”的構建，促使數據控制者的義務得以全面落實。

歐洲在具體制度設計當中，對數據控制者的義務要求越為嚴格和規(guī)范?！?5指令》后，各國開始設立數據監(jiān)管機構，進一步強化數據控制者的報告義務，要求數據控制者與數據監(jiān)管機構充分合作，合作項目包括風險評估、審查咨詢、損毀通知等，形成事前評估，事中咨詢，事后報告的義務網絡，構建出較為穩(wěn)定和完善的義務保障體系。設置數據保護專員，促成切實有效的監(jiān)管機制，落實數據控制者的義務承擔。歐洲試圖通過制度構建，保障區(qū)域內個人數據安全乃至國家安全，對數據控制者義務不斷強化和增設?？梢哉f，歐洲與美國在數據問題上的長期博弈是促成數據控制者義務變遷的重要緣由之一。

6 結語

數據控制者是隨著計算機信息技術而發(fā)展衍生出的主體，也是推動技術進步和數據產業(yè)發(fā)展的驅動主體。在此前提下，歐盟數據控制者義務的變遷隨技術發(fā)展體現(xiàn)出極強的時代特征。隨著數據主體對個人數據保護需求的不斷提高，義務規(guī)范也不斷復雜化和多樣化。歐洲區(qū)域內“數字單一市場”的構建也促成了數據控制者更為嚴格和完善的義務體系。當前我國尚未對個人數據形成體系化保護，并且事后救濟途徑匱乏，也沒有完全將個人數據保護從民事侵權行為中區(qū)分開來。在此背景下，借鑒歐盟的立法經驗，通過強化數據控制者的義務設定，構建個人數據事前保障措施，從源頭避免個人數據的過度開發(fā)及泄露，可促進數據這一新興產業(yè)朝著平衡利用、合理開發(fā)的方向蓬勃發(fā)展。

注 釋

①OECD Guidelines on the Protection of the Privacy and Transborder Flows of Personal Data，ⅠArt1（a）.

②Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data，CE TS108，Art2（d）.

③DIRECTIVE 95/46/EC OF THE EUROPEAN PARL IAMENT AND OFTHECOUNCIL， Art2（d）.

④General Data Protection Regulation，Art4（7）.

⑤Convention for the Protection of Individuals with regard to Processing of Personal Data（2012），Art 2（c）.

⑥General Data Protection Regulation，Art17（1）.