GSMA和Connect Europe：关于简化GDPR的主要信息

核心观点与建议

1. GDPR 简化的重要性
   Connect Europe 和 GSMA 赞同欧盟委员会将简化 GDPR 作为提升欧洲竞争力、促进创新和保障公民权利的机会。当前 GDPR 实施过于复杂，需在保留核心原则基础上优化，避免全面修订。

2. 简化 GDPR 的具体建议

   • 强化风险导向方法：
     • 统一成员国风险评估标准（规模、敏感性、保护措施、伤害可能性），减少行政负担，优化资源分配，支持创新。
     • 在国际数据传输（Chapter V）中应用风险导向方法，避免过度要求，恢复法律确定性。
   • 调整个人数据定义（Recital 26）：
     • 借鉴 ECJ 判例（如 SRB 案），根据分析主体的识别能力界定个人数据，为无法合理识别个体的数据共享主体（如临床试验统计服务商）提供轻量化合规方案，鼓励强匿名化技术。
   • 优化访问权（Art. 15）：
     • 针对复杂生态系统（如电信业）中大量请求带来的操作挑战，建议明确访问权范围（细节程度、格式）、引入比例性限制（如拒绝明显不合理请求），推动标准化响应流程。
   • 新兴技术监管：
     • 避免“一刀切”将生物识别、AI 等技术视为高风险，需结合场景进行风险评估，维持高标准保护。

3. GDPR 与其他法规的协调

   • GDPR 与 AI 法：
     • 在 GDPR Recital 47 中明确 AI 训练为合法利益，需辅以保护措施（如排除敏感数据、透明度、风险评估），缓解双重合规压力。
   • 数字法规协同：
     • DSA、DMA、Data Act 等需避免冲突，欧盟需提供整合性指导，避免监管碎片化。
   • ePrivacy 框架：
     • 建议废除 2002 年的 ePrivacy 指令（未修订于 2009 年），因其与 GDPR 重叠且限制创新。替代方案为将通信保密原则整合至统一框架（如 DNA），或由 GDPR 全面覆盖电子通信数据处理规则。

4. 关键结论

   • GDPR 简化需在保障数据主体权利前提下，通过风险导向、技术适应性调整和法规协同，实现法律确定性、降低行政成本，并促进数据创新。
   • ePrivacy 框架的改革是关键，需解决监管重叠和技术滞后问题。