GDPR系统——监管体系

欧盟各国家内有独立的监管机构，在面对跨境问题、跨国公司问题时，通过一致性机制来协调、共同决策。

1、监管机构

类比于国内网信办、工信部、四部委等监管机构，欧盟的机关单位有哪些呢？

1）欧盟数据保护委员会（European Data Protection Board，EDPB）：“最高委员会”

是欧盟GDPR下的监管机构，负责监督和执行GDPR的规定，并有权对违反GDPR的组织进行罚款和其他制裁，由DPA和EDPS组成。由GDPR设立的独立欧盟机构，负责确保各成员国数据保护法规的一致实施。

• 主要职责：
  1. 统一实施：推动各成员国在GDPR实施上的协调，确保数据保护法律在整个欧盟范围内的一致性。
  2. 指导意见：发布关于GDPR解释和实施的指导文件，帮助各国DPA和企业理解条例。
  3. 争议解决：在跨境数据处理案件中，负责协调并解决成员国DPA之间的分歧，尤其是涉及多个国家的复杂案件。
  4. 向欧盟机构提供建议：就数据保护相关议题向欧盟委员会和其他机构提供建议。
  5. 制定标准合同条款：参与制定跨境数据传输所需的标准合同条款。
• 运作机制：成员包括所有欧盟成员国的DPA代表，以及EDPS的代表，主席由选举产生。

2）欧盟数据保护监督官（European Data Protection Supervisor，EDPS）：“委员会成员”

欧盟数据保护专员（EDPS）为EDPB常设秘书处，主要包括一名主管和助理主管，并由经验丰富的律师、IT专家和管理人员组成的办公室为其提供支持。专门负责监督欧盟机构、机构和组织的数据保护合规情况的独立机构。

• 主要职责：
  1. 监督欧盟机构合规：确保欧盟机构和部门遵守GDPR及其他数据保护规定。
  2. 投诉处理：处理欧盟机构在个人数据保护方面的投诉，保障数据主体权利。
  3. 数据保护建议：在欧盟政策制定过程中提供数据保护建议，以确保数据隐私在政策中的体现。
  4. 协调作用：在EDPB中担任成员，并为其提供支持，同时代表欧盟机构参与数据保护事务。
  5. 跨境数据传输监管：确保欧盟机构的国际数据传输符合GDPR要求。
• 独立性：虽然是欧盟机构的一部分，但EDPS独立运行，不能接受其他机构或政府的指示。

3）欧盟各成员国本地数据保护机构（Data Protection Authority，DPA）：“本地监管者”

是各国设立的监管机构，负责监督和执行本国的GDPR规定，并有权对违反GDPR的组织进行罚款和其他制裁。每个欧盟成员国至少有一个DPA。

DPA是GDPR下最直接的执法实施机构，它们发布的指南更具地域性且更加精细化，EDPB主要是通过发布指导方针、建议和最佳操作等来协调不同DPA之间对于GDPR的一致性适用，而EDPS重点在于监督落实各欧盟机构内部对数据保护规则的适用并担任各欧盟机构的专家指导和特别顾问。

主要职责：

• 执行GDPR：负责在本国范围内实施和执行GDPR，包括监督本地组织的数据处理活动。
• 调查和处罚：处理个人和组织的投诉，对违反GDPR的行为展开调查，并有权实施行政处罚（如罚款）。
• 跨境合作：在跨境数据处理案件中，与其他成员国的DPA协作，通过“一站式机制”共同解决争议。
• 教育和意识提高：在本国范围内提高公众对数据保护权利的认识，并为组织提供合规指导。
• 指导企业合规：向企业和公共部门提供有关GDPR实施的建议，支持其制定合规政策和实践。
• 批准数据保护工具：负责批准数据保护影响评估（DPIA）、标准合同条款（SCCs）等合规工具。

2、一站式服务机制

当数据控制者在欧盟多个成员国都设有营业机构时，应确立一个“主监督机构”担任该控制者的数据跨境处理行为的执法主体。多用于跨境传输场景，相关条例见GDPR原文 第56条（主监管机构）、第60条（各监管机构之间的合作）。

3、具体监管机构

1）ICO，（Information Commissioner's Office）英国独立监管机构

2）CNIL，（Commission Nationale de l'Informatique et des Libertés）法国独立监管机构