GDPR

GDPR เข้ามาแทนที่ Data Protection Directive ปี 1995 และมีผลบังคับใช้กับองค์กรใดก็ตามที่ประมวลผลข้อมูลส่วนบุคคลของผู้คนในสหภาพยุโรปและเขตเศรษฐกิจยุโรป ไม่ว่าองค์กรนั้นจะตั้งอยู่ที่ใดก็ตาม การมีผลบังคับข้ามเขตแดนนี้หมายความว่าบริษัทที่อยู่ที่ใดก็ตามในโลกอาจตกอยู่ภายใต้กฎระเบียบนี้ได้ หากบริษัทมุ่งเป้าไปที่หรือเฝ้าติดตามผู้ที่พำนักอยู่ในสหภาพยุโรป

โดยแก่นแท้แล้ว กฎระเบียบนี้กำหนดให้การประมวลผลข้อมูลส่วนบุคคลทุกครั้งต้องตั้งอยู่บนหนึ่งในหกฐานทางกฎหมาย ได้แก่ ความยินยอม สัญญา ภาระผูกพันทางกฎหมาย ประโยชน์สำคัญต่อชีวิต ภารกิจเพื่อประโยชน์สาธารณะ หรือประโยชน์อันชอบธรรม นอกจากนี้ยังบัญญัติหลักการต่าง ๆ เช่น การจำกัดวัตถุประสงค์ การเก็บข้อมูลเท่าที่จำเป็น การจำกัดระยะเวลาจัดเก็บ ความถูกต้อง และความรับผิดชอบตรวจสอบได้ และให้สิทธิแก่บุคคลซึ่งรวมถึงการเข้าถึง การแก้ไขให้ถูกต้อง การลบ การโอนย้ายข้อมูล และการคัดค้าน

การบังคับใช้ดำเนินการโดยหน่วยงานกำกับดูแลระดับชาติ (หน่วยงานคุ้มครองข้อมูล) ซึ่งประสานงานกันผ่าน European Data Protection Board บทลงโทษสำหรับการฝ่าฝืนร้ายแรงอาจสูงถึง 20 ล้านยูโร หรือ 4 เปอร์เซ็นต์ของรายได้รวมต่อปีทั่วโลกของบริษัท แล้วแต่จำนวนใดจะสูงกว่า ด้วยเหตุนี้การปฏิบัติตามข้อกำหนดจึงกลายเป็นเรื่องระดับคณะกรรมการบริษัทสำหรับธุรกิจระดับโลก

สำหรับเทคนิคอย่างการทำ device fingerprinting และการวิเคราะห์ข้อมูล GDPR ทำงานร่วมกับ ePrivacy Directive (ที่เรียกกันว่า "กฎหมายคุกกี้") การอ่านหรือเขียนข้อมูลลงในอุปกรณ์ของผู้ใช้โดยทั่วไปต้องได้รับความยินยอม เว้นแต่จะมีความจำเป็นอย่างยิ่งต่อบริการที่ผู้ใช้ร้องขอ ในขณะที่การประมวลผลต่อเนื่องของข้อมูลส่วนบุคคลใด ๆ ที่ได้มายังคงต้องเป็นไปตามข้อกำหนดด้านฐานทางกฎหมายและความโปร่งใสของ GDPR