在人工智能和大数据时代，人们常常会问如下问题：对企业疯狂采集个人数据的行为，作为公民个人，可以说“不”吗？企业采集的公民个人数据到底属于谁，企业还是个人？面对企业基于营销而完成的用户画像，个人可以说“不”吗？

　　Facebook的数据“泄漏”事件为世人瞩目，扎克伯格也正急着四处灭火。恰逢此时，《欧盟通用数据保护条例》（GDPR）于2018年5月25日正式生效，《欧盟通用数据保护条例》针对这一系列的问题给出了答案，对于我国完善数据立法具有重要的借鉴意义。

　　个人数据与隐私不是相同概念

　　《欧盟通用数据保护条例》关注“自然人享有的个人数据保护的权利”的保护，并为企业在收集和利用个人数据方面制定了“严格”的规则。

　　《欧盟通用数据保护条例》还尽可能把更多的企业纳入到自己的管辖范畴，至少以下二类企业需要受该法律调整：设在欧盟内部的企业（即使其服务器设在欧盟之外）会受该法律的调整；数据处理商没有设在欧盟，比如美国的企业，但如果它对欧盟内的自然人提供商品或服务（哪怕是免费的商品或服务），同样受该法律的调整。

　　根据《欧盟通用数据保护条例》的规定，这里的个人数据与民法中的“隐私”并非是同一概念。隐私是一个民法学上的概念，它着重强调自然人私密的、不愿意公开的信息。个人数据的范畴较为广泛，包括姓名、身份编号、地址数据、网上标识或者自然人所特有的一项或多项的身体性、生理性、遗传性、精神性、经济性、文化性或社会性身份信息等，可以说，凡是能够识别自然人主体相关的信息，都可以称为个人数据。个人数据当中的绝大多数信息，包括姓名、网上标识等恰恰又是需要公开的，不属于隐私的范畴。

　　用户个人数据虽然不能等同于民法上的“隐私”，但借助个人数据所完成的用户画像，又可以完整地呈现一个人的工作表现、经济状况、健康、个人偏好、兴趣、可靠性、行为方式、位置或行踪。从这一意义上讲，在大数据和人工智能时代，用户个人数据又会将用户隐私带入一个全新的领域。

　　个人数据利用的规定

　　个人数据使用原则

　　在涉及个人数据利用问题上，《欧盟通用数据保护条例》明确规定了数据利用的基本原则，包括：

　　1、合法、合理、透明原则。用户个人数据抓取、存储、用户画像等使用过程中，需要严格按照规定，并且还要遵守合理和透明的原则。

　　2、目的限制原则。如果企业违反初始目的即视为对协议的违反。当然，基于公共利益、科学或历史研究或统计目的，不视为违反初始目的。

　　3、最小化使用原则。只需要采集能够实现初始目的相关和最小化数据。

　　4、准确使用原则。当用户数据被错误利用时，用户享有请求纠正的权利。

　　5、重要数据的期限存储原则。这里的“重要数据”是指能够识别用户的个人数据，比如姓名、身份证号码等数据。上述数据的存储时间不得超过实现目的的必要时间。

　　6、安全使用原则。用户企业应当安全使用数据，要防止被黑客非法利用。安全使用原则还要求“不得毁损和灭失”。

　　个人数据合法使用的基础

　　《欧盟通用数据保护条例》回答了企业利用用户个人数据合法性的基础。如果企业要证明自己采集、使用、管理用户个人数据合法，至少需要证明存在以下任何一项事由：

　　1、同意。同意即意味着双方的契约。

　　2、为了实现用户的合同目的。比如在金融管理中，需要存储和使用用户个人数据，以实现为用户提供金融管理服务合同目的。

　　3、履行其法定义务所必须。如保险公司基于保险法之义务，收集和记录用户个人数据信息。

　　4、为了用户的核心利益所必要。如银行为客户打印存款单的行为，即为了准确记录用户余额而使用用户数据。

　　5、基于公共利益或官方权威。比如为配合司法调查，采集和使用用户的个人数据。

　　6、对于企业或第三方所追求的正当利益是必要的。企业需要证明其利用数据是为了追求自己的正当利益，何为正当利益，这为数据使用留下了些许的自由裁量权。

　　数据主体所作出的同意是可以撤销的。企业应当在对数据处理前就告知用户有这种撤销权。该法还进一步明确，用户作出撤销的意思表示应当像作出同意那样的意思表示一样“简单”。

　　特殊类型数据的禁用原则

　　特殊类型的个人数据应当被禁止使用，这里所谓“特殊类型的个人数据”，是指那些显示种族或民族背景、政治观念、宗教或哲学信仰或工会成员、基因数据、为了特定识别自然人的生物性识别数据以及和自然人健康、个人性生活或性取向相关的数据。