欧盟委员会发布关于GDPR实施的第二份报告
报告指出，GDPR已成为欧盟数字转型的关键组成部分，其基本原则——公平、安全和透明处理个人数据——支撑着所有涉及个人数据处理的欧盟政策。尽管存在一些挑战，但大多数利益相关者、数据保护机构和成员国认为GDPR已经为个人和企业带来了重要的成果。
报告主要内容包括GDPR的执行情况、成员国的实施情况、数据主体权利、组织面临的机遇和挑战、GDPR对欧盟数字政策的影响、国际转移和全球合作等方面，具体总结如下：
1、GDPR的执行与合作机制的运作：
处理跨境案件的效率提升：欧盟委员会于2023年7月通过了关于程序规则的提案，以更高效和统一地处理跨境案件，该提案目前正在欧洲议会和理事会进行谈判。
数据保护当局之间的合作与一致性机制的使用增加：近年来跨境案件数量显著增加，数据保护当局更愿意使用GDPR提供的合作工具，一致性机制也越来越多地被使用。
更有力的执行：数据保护当局的执法活动显著增加，包括对“大型科技”跨国公司处以巨额罚款，但一些数据保护当局认为他们缺乏足够的资源和技术专业知识。
欧洲数据保护委员会（Board）：大多数数据保护当局认为Board在加强合作方面发挥了积极作用，但也认为其流程效率有待提高，且指南的质量和交付速度需要改善。
数据保护当局：数据保护当局的独立性得到了保障，但仍缺乏足够的人力资源，在处理大量投诉方面存在困难，对GDPR的解释也存在分歧，同时与控制者和处理者的互动也需要加强。
2、成员国对GDPR的实施情况：
国家应用中的碎片化：成员国在立法时可能导致规则的碎片化，主要涉及儿童同意的最低年龄、基因数据等的处理以及刑事定罪和犯罪相关数据的处理等方面，但许多利益相关者认为问题主要源于数据保护当局对GDPR的解释分歧，而不是成员国的具体规定。
委员会的监测：委员会通过启动侵权程序、要求数据保护当局提供信息、使用GDPR成员国专家小组以及参与法院的大量案件等方式来监测GDPR的实施情况。
3、数据主体权利：
个体对GDPR和数据保护当局的认知：大多数欧盟受访者听说过GDPR，部分知道其具体内容，许多人也听说过负责保护其数据保护权利的国家机构。
数据主体权利的行使：数据主体越来越熟悉并积极行使其在GDPR下的权利，控制器报告称访问权是数据主体最常援引的权利，委员会还致力于探索促进个人更多地使用数据可携带权的实际方法，人们对向数据保护当局投诉的权利也有广泛的认识，同时儿童的个人数据保护也受到关注。
4、组织面临的机遇和挑战，特别是中小企业：
企业工具包：GDPR为企业提供了行为准则、认证机制和标准合同条款等工具来管理和证明其合规性，但这些工具的使用存在一些问题，如行为准则的发展有限，认证过程缓慢且复杂。
中小企业和小运营商的具体挑战：中小企业强调了来自当地数据保护当局的定制支持的好处，但某些成员国的数据保护当局在提高意识和提供指导方面的不同方法使中小企业认为合规很复杂，数据保护当局应努力解决这些挑战。
数据保护官员：数据保护官员在确保组织遵守GDPR方面发挥着重要作用，但仍面临一些挑战，如难以任命具有所需专业知识的官员、缺乏欧盟范围内的教育和培训标准等。
5、GDPR作为欧盟数字领域政策的基石：
基于GDPR的数字政策：欧盟通过一系列举措来补充或具体规定GDPR在特定领域的应用，以追求特定目标，如《数字服务法》《数字市场法》《人工智能法》《平台工作指令》《政治广告条例》《欧洲数字身份条例》等。
增强数据共享的法律框架：GDPR为欧盟增强数据自由流动的所有举措提供了框架，《数据治理法》和《数据法》是数据战略的支柱，《欧洲健康数据空间》也反映了健康数据部门的特定需求。
新数字规则的治理：数字法规的发展需要跨监管领域的密切合作，数据保护当局正在采取措施确保其行动与其他监管领域互补和连贯，但需要更结构化和高效的合作方式。
6、国际转移和全球合作：
GDPR转移工具箱：GDPR第五章提供的转移工具箱不断发展，包括充分性决定、提供适当保障的工具（如标准合同条款、约束性企业规则等）以及确保与其他政策互补性的措施。充分性决定在促进数据传输和合作方面发挥了关键作用，欧盟正在与巴西、肯尼亚和一些国际组织进行充分性谈判，并不断监测现有决定。
数据保护的国际合作：欧盟委员会通过与各国和国际组织对话、创建“数据保护学院”、参与国际论坛等方式促进数据保护的国际合作，包括双边和多边层面，还将寻求授权与相关第三国缔结执法合作协议。
为了充分实现GDPR的目标，需要关注强有力地执行GDPR、数据保护当局积极支持利益相关者合规、欧盟范围内对GDPR的一致解释和应用、监管机构之间的有效合作以及推进欧盟的数据保护国际战略等方面。为了支持GDPR的有效应用，需要采取一些行动，包括制定有效的合作结构、实施和完善法律框架、支持利益相关者以及进一步发展数据转移工具包和国际合作等。
来源：数据安全合规
