一群来自于高校、政府智库、企业、律所等方面的专家在中国信息通信研究院安全研究所提供的平台上齐聚一堂，根据自己的研究和实践经验，并经过长达半年的准备、讨论、撰写、修改、审校，集体创作出这份《GDPR 合规指引》。

这份指引共分四章，分别包括 GDPR 概述、合规体系、疑难点及合规建议，以及 GDPR 与我国法律的比较及冲突应对。我们希望能为有合规需求的企业指明方向，更希望能为关心个人信息保护的同仁提供一份针对 GDPR 准确、客观、扎实的介绍，进而为我国开展个人信息保护工作贡献绵薄之力。

目录

一、 GDPR 概述.......................................................................................................................................... 1
（一） GDPR 立法背景及进程 ......................................................................................................... 1
（二） GDPR 制度要点概述.............................................................................................................. 1
（三） GDPR 执法行动及评估 ......................................................................................................... 5
二、 GDPR 合规体系 .............................................................................................................................. 11
（一）风险评估 .................................................................................................................................. 11
（二）组织架构保障......................................................................................................................... 17
（三）合规体系设立与执行 ........................................................................................................... 21
（四）合规培训及宣讲..................................................................................................................... 29
（五）合规体系执行的监督和审计.............................................................................................. 31
三、 GDPR 疑难点及合规建议............................................................................................................ 34
（一） GDPR 的域外适用................................................................................................................. 34
（二）个人数据的范围..................................................................................................................... 34
（三）如何理解数据处理的 6 个合法事由？ ...........................................................................35
（四）如何理解数据主体的几个权利？ ..................................................................................... 37
（五）数据控制者和数据处理者的区别..................................................................................... 38
（六）数据控制者和数据处理者的责任..................................................................................... 39
（七）个人数据出境的合法事由 .................................................................................................. 42
（八）主监管机构的理解................................................................................................................ 42
四、 GDPR 与我国法律的比较及冲突应对..................................................................................... 45
（一）中国个人信息保护法律规则与 GDPR 的比较................................................................45
（二）中国个人信息保护规则与 GDPR 的区别 ......................................................................50
（三） GDPR 与我国法的实质性矛盾.......................................................................................... 55
附件一 隐私声明政策示例 .................................................................................................................. 59