EDPB | 《对第2016/679号条例（GDPR）下同意的解释指南v1》中文翻译（DPO社群出品）

编者按：

众所周知，无论是欧盟个人数据保护95指令还是《通用数据保护条例》GDPR，EDPB及其前身——第29条工作组，所发布的指导意见最为权威。DPO社群翻译了EDPB发布的许多指导意见。

今天和大家分享的是，EDPB《对第2016/679号条例（GDPR）下同意的解释指南（Version 1.0）》的中文翻译，译者为王新锐和罗为律师团队。

译者序言

2020年5月4日，欧洲数据保护委员会（“EDPB”）通过了《对第2016/679号条例（GDPR）下同意的解释指南（2020年5月版）》（以下简称“EDPB同意指南”），该指南是对第29条工作组（“WP29”）于2018年4月通过的对GDPR的同意指南（以下简称“WP29同意指南”）的更新版本。 

EDPB是依据《通用数据保护条例》（“GDPR”）设立的一个独立的欧洲机构，致力于确保在整个欧盟范围内一致地适用GDPR，并促进欧盟数据保护机构之间的合作。EDPB可以通过通用性指南来澄清欧洲数据保护法规的条款，从而使欧盟利益相关者对其权利和义务有一致的解释。GDPR还授权EDPB对国家监管机构做出具有约束力的决定，以确保对GDPR一致的适用。而“同意”作为数据处理活动常见的法律基础，GDPR对其作出了新的要求，同时澄清和说明了应如何获得有效同意。因此，EDPB同意指南对GDPR下“同意”的界定提供了权威的解释思路，对数据控制者进行GDPR合规有重要意义。

EDPB同意指南较为细致地阐述了对于GDPR项下“同意”的理解，并针对“自愿作出”、“具体的”、“知情的”，以及“明确的意思表示”等关于有效同意的要件，在结合相关案例后，逐一加以分析。该同意指南还讨论了GDPR中特别关注的领域中与“同意”相关的问题，如儿童的数据处理以及科学研究时对数据的处理。EDPB的此次更新是在认可WP29同意指南并保留了其整体框架的基础上进行的。相较于WP29同意指南，EDPB的更新主要针对以下两个问题进行了进一步的澄清：1. 数据主体在与所谓的“Cookie墙”进行交互时所提供的同意的有效性；2. 数据主体滚动页面操作是否为有效的同意。

针对第一点，由于GDPR强调数据主体应当自由作出同意的选择，因此数据控制者不应对“同意”设置限制条件。在使用Cookie技术的场景下，如果数据控制者在网站中放置一个脚本，该脚本阻止用户访问网站内容，只有当用户点击“接受Cookie”才能继续访问，那么在此种情况下，用户点击“接受Cookie”的行为不构成有效的同意，因为数据控制者没有提供真正的选择。

针对第二点，数据主体的同意需要其作出“明确肯定的行为”或声明。而如果仅仅是滚动或滑动网页此类操作行为，很难与用户的普通操作或交互行为区分，并不满足“明确肯定的行为”的要求。

EDPB同意指南在吸收WP29同意指南的基础上，对GDPR项下的同意做出了全面、有据的解释，有利于在实务中更好地理解、学习GDPR的规制机制，为调整数据合规路径提供更好的思路。

我们于2018年10月翻译了WP29同意指南的第一版【见：第29条工作组《对第2016/679号条例（GDPR）下同意的解释指南》中文翻译(DPO沙龙出品)】，在数据合规实务中感到对业务有非常大的指导作用，也对国内的相关立法和学术研究工作有一定参考价值。此次在原译文的基础上根据EDPB同意指南进行了更新，欢迎大家指正，并一起深入讨论。（王新锐 罗为）

---

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已近300人。关于DPO社群和沙龙更多的情况如下：

DPO社群成果

线下沙龙实录见：

人脸识别系列文章

美国联邦隐私保护立法草案研究

传染病疫情防控与个人信息保护系列文章

个人数据与域外国家安全审查系列文章

美国电信行业涉及外国参与的安全审查系列文章

中国的网络安全审查系列文章：