ADGM《2021年数据保护规章》

第1条

本规章在个人数据处理方面保护自然人，并在维持高水平且一致保护的同时保障个人数据在ADGM内自由流动。

第2条

本规章适用于自动化处理及构成档案系统一部分的非自动化处理，并规定纯个人或家庭活动等例外。

第3条

地域适用范围涵盖ADGM机构业务活动中的处理，以及与向ADGM内个人提供商品或服务或监测其行为有关的特定处理。

第4条

个人数据须以合法、公平、透明方式处理，为特定目的收集，保持最少、准确、不过度保存并受安全保护；控制者须证明合规。

第5条

处理须具有合法依据，包括同意、合同、法律义务、重大生命利益、公共任务或合法利益，并符合规章要求的条件及权衡。

第6条

控制者须证明已取得同意；同意请求应独立、清晰、易于获取，同意须自愿作出且撤回应与给予同样容易。

第7条

原则上禁止处理特殊类别个人数据，除非适用明确条件，如明确同意、劳动法或社会保障法、重大生命利益、法律主张、重大公共利益、医疗或具备适当保障的研究。

第8条

若处理目的无需识别个人，控制者无须仅为合规而保存或获取额外身份资料，但无法识别数据主体时应予告知。

第9条

档案、科学或历史研究及统计处理须采取适当保障，包括数据最小化及在可行时采用假名化。

第10条

信息与沟通须简明、透明、易懂且易获取；控制者须便利权利请求并在规定期限内回复，通常不得收费。

第11条

直接向数据主体收集时，控制者须告知身份、目的、合法依据、接收方、跨境传输、保存期、权利、投诉及自动化决策等信息。

第12条

数据并非直接取得时，控制者须在适用期限内提供类似通知，并说明数据类别及来源，除非适用规定的例外。

第13条

数据主体有权确认是否处理、访问个人数据及规定的背景信息，并取得副本，但须保障他人权利。

第14条

数据主体有权要求及时更正不准确数据，并通过补充声明等方式补全不完整数据。

第15条

出现规定事由时应删除数据，但表达自由、法律要求、公共利益、医疗、档案、研究或法律主张等情形除外。

第16条

在准确性争议、非法处理、法律主张需要或异议待决时，数据主体可要求限制处理；受限数据仅可基于有限理由使用。

第17条

除非不可能或显失比例，控制者须将更正、删除或限制通知接收方，并应请求向数据主体说明接收方。

第18条

对于基于同意或合同的合格自动化处理，数据主体可取得结构化、常用、机器可读格式的数据并传输给其他控制者。

第19条

数据主体可反对基于公共任务或合法利益的处理（含画像）；直接营销在异议后须停止，研究处理则受公共利益例外约束。

第20条

个人受到保护，不受产生法律或类似重大影响的纯自动化决策约束；有限例外须提供人工干预及质疑决定等保障。

第21条

为保护特定公共利益、调查、法院、专业职责或他人权利，可通过相称立法措施限制部分义务和权利，但须设置必要保障。

第22条

控制者须根据风险、背景、范围及目的实施并审查相称的技术与组织措施及政策，以确保并证明合规。

第23条

须将数据保护原则与保障嵌入系统及处理，并确保默认设置仅处理各目的所需的数据量、范围、保存期及可访问性。

第24条

控制者须登记、缴纳数据保护费及续期费，并按适用规则和豁免向专员维持所需资料。