在个人数据保护方面，印度、巴西等国紧跟欧盟《通用数据保护条例》（简称GDPR）实施步伐制定数据保护法，进一步完善本国数据保护制度，强化数据保护。自GDPR于5月25日正式实施后，印度、巴西均在本季度完成个人数据保护法制定。其中，印度在7 月27 日正式发布《2018年个人数据保护法案（草案）》，巴西总统在8月14日批准了《通用数据保护法》。对比来看，印度、巴西两部个人数据保护法律（草案）在域外管辖、数据保护原则、数据主体权利以及行政处罚额度等方面与欧盟GDPR相似，但在数据跨境、数据权属等方面又结合本国情况进行规定。印度、巴西数据保护法律与之前实施的欧盟GDPR、美国《2018加州消费者隐私法案》（CCPA）一起，共同呈现出增强公民对个人数据控制这一不可逆转的全球大趋势。

一、在立法形式方面，采取统一数据保护立法

从印度《2018年个人数据保护法案（草案）》第2条、巴西《通用数据保护法》第3条可以看出，印度、巴西的数据保护立法均追随欧盟GDPR，采用统一立法模式。这种统一模式主要体现在三个方面：一是不区分公共部门与私营部门，统一制定适用于所有机构的法律规范。从适用范围看，印度和巴西的数据保护立法以数据处理活动和涉及数据主体所在地理位置、数据处理者国籍等要素作为依据；从适用主体看，印度数据保护法草案将邦、印度公司、印度公民或者根据印度法律成立或者创建的个人或者团体等并列，并未区分政府等公共部门与公司企业等私营部门而分设不同规定。二是不细分具体领域，确立适用各领域的统一规则和框架。与GDPR相似，印度、巴西两部数据保护法紧扣信息处理合法、对信息主体救助、透明公开与信息控制者责任四大核心框架，法律内容适用于各个领域。三是授予数据主体统一的信息权益和信息处理标准。通过立法统一界定个人信息、数据主体、数据控制者等核心概念，统一授予数据主体知情权、可携带权、被遗忘权、纠错权等权利，保障数据主体对本人信息流转的控制。

二、在立法目的方面，以保护数据主体基本权利为核心

数据保护立法以保护自由和基本权利为核心，但兼顾其他不同目标。与欧盟GDPR旨在解决保护欧洲公民的基本权利与促进数据流通两个核心目标不同，印度数据保护法草案提出了保护公民利益、贸易和工业利益、国家利益三重目的，希望实现以公民利益为重点，并与保持贸易和工业利益以及国家利益的完整达成微妙平衡的综合目的状态。巴西《通用数据保护法》则将立法目的明确为保护自由和隐私的基本权利以及自然人人格的自由发展。就强化数据主体基本权利的共同目标看，数据保护法主要从提升个人数据主体控制力和加强数据控制者的义务责任两方面进加以规定，例如，强化个人数据收集和处理的“知情同意原则”，完善细化数据主体的知情权、访问权等，并将数据控制者内部的数据保护官制度升格为一般性机制，并对数据保护官的地位、职能等进行了细致规定。

三、在立法内容方面，趋势共性和国别个性同时显现

从数据保护立法内容上看，除增强数据主体权利外，在域外管辖、数据保护原则、行政处罚等方面趋同，体现出国际数据保护立法的大势所趋。在域外管辖方面，巴西、印度也效仿欧盟，采取了激进的扩张态度，规定了宽泛的涉外管辖范围，只要涉及收集和处理本国居民的个人数据，则不论企业是否在境内有实体，都要适用数据保护相关规范要求。在数据保护原则方面，明确目的限制、知情同意和透明度等系列原则，提出需要数据最小化，准确性，存储限制和安全等数据采集存储要求，使数据保护原则呈现出高度趋同态势。此外，在行政处罚方面，采取威慑性的行政惩罚。欧盟GDPR大幅增加了处罚标准，规定了企业发生重大违规事件的罚款高达2000万欧元或前一财年全球收入的4%。印度、巴西的数据保护法采取的行政处罚额度确定方式均与GDPR高度相似。但各国亦从本国国情出发，在数据权属、数据出境设计等方面注入本国元素。在数据权属方面，与欧盟GDPR和巴西《通用数据保护法》规定数据主体对其个人数据享有所有权不同，印度数据保护法将数据设计为信托而非财产。在数据出境方面，印度、巴西对数据出境进行了限制，但是与欧盟相比较，两个国家赋予了政府在数据出境方面更多的自由裁量权。此外，印度还设置了数据本地化规定，草案提出个人数据跨境传输须在境内留有副本。

四、在立法背景方面，法律制定深受GDPR影响

印度、巴西两部法律都与GDPR存在很大程度相似性，明显受到欧盟GDPR的影响，立法灵感甚至部分内容直接来源于GDPR，这主要因为：一方面，欧盟GDPR拓展个人数据保护法适用范围、促进数据流通、保障个人主体权利的内容体现了国际数据保护立法的主流趋势，使GDPR本身产生鲜明的旗帜效应；另一方面，欧盟强大的影响力促使一些国家希望通过与欧盟的趋同性立法，证明其在欧盟数据传输标准下的“充分性”，使本国更好融入国际数据保护的发展潮流之中，提升数据国际博弈中的话语权。从当前趋势看，GDPR 俨然成为个人数据保护立法范式。在GDPR立法模式影响人口数量上，欧盟区、印度和巴西人口总数达到约20亿，加上此前效仿欧盟95 指令的国家和地区，影响范围已不容小觑。而欧盟GDPR模式并非个人数据保护立法的唯一范式，美国在个人数据保护方面，仍然坚持公平信息实践原则，采取分散立法模式，也未设立统一的个人信息保护机构。预计未来大部分国家将继续受到欧美两种模式的影响，既跟随数据保护国际趋势，又兼顾本国国情，开展个人数据保护的立法与实践。我国亦应继续密切关注个人数据保护立法国际动态，为我国个人信息保护立法提供宝贵借鉴。

（作者：中国信息通信研究院安全研究所 李晓伟）

声明：本文来自互联网新技术新业务安全评估中心，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。