ADGM《2021年数据保护规章》

Subject-matter and objectives

Part I · General provisions

本规章在个人数据处理方面保护自然人，并在维持高水平且一致保护的同时保障个人数据在ADGM内自由流动。

Material scope

Part I · General provisions

本规章适用于自动化处理及构成档案系统一部分的非自动化处理，并规定纯个人或家庭活动等例外。

Territorial scope

Part I · General provisions

地域适用范围涵盖ADGM机构业务活动中的处理，以及与向ADGM内个人提供商品或服务或监测其行为有关的特定处理。

Principles relating to processing

Part II · Principles

个人数据须以合法、公平、透明方式处理，为特定目的收集，保持最少、准确、不过度保存并受安全保护；控制者须证明合规。

Lawfulness of processing

Part II · Principles

处理须具有合法依据，包括同意、合同、法律义务、重大生命利益、公共任务或合法利益，并符合规章要求的条件及权衡。

Conditions for consent

Part II · Principles

控制者须证明已取得同意；同意请求应独立、清晰、易于获取，同意须自愿作出且撤回应与给予同样容易。

Special categories of personal data

Part II · Principles

原则上禁止处理特殊类别个人数据，除非适用明确条件，如明确同意、劳动法或社会保障法、重大生命利益、法律主张、重大公共利益、医疗或具备适当保障的研究。

Processing not requiring identification

Part II · Principles

若处理目的无需识别个人，控制者无须仅为合规而保存或获取额外身份资料，但无法识别数据主体时应予告知。

Archiving and research purposes

Part II · Principles

档案、科学或历史研究及统计处理须采取适当保障，包括数据最小化及在可行时采用假名化。

Transparency and exercise of rights

Part III · Rights of the Data Subject

信息与沟通须简明、透明、易懂且易获取；控制者须便利权利请求并在规定期限内回复，通常不得收费。

Information collected from the Data Subject

Part III · Rights of the Data Subject

直接向数据主体收集时，控制者须告知身份、目的、合法依据、接收方、跨境传输、保存期、权利、投诉及自动化决策等信息。

Information not obtained from the Data Subject

Part III · Rights of the Data Subject

数据并非直接取得时，控制者须在适用期限内提供类似通知，并说明数据类别及来源，除非适用规定的例外。

Right of access

Part III · Rights of the Data Subject

数据主体有权确认是否处理、访问个人数据及规定的背景信息，并取得副本，但须保障他人权利。

Right to rectification

Part III · Rights of the Data Subject

数据主体有权要求及时更正不准确数据，并通过补充声明等方式补全不完整数据。

Right to erasure

Part III · Rights of the Data Subject

出现规定事由时应删除数据，但表达自由、法律要求、公共利益、医疗、档案、研究或法律主张等情形除外。

Right to restriction of processing

Part III · Rights of the Data Subject

在准确性争议、非法处理、法律主张需要或异议待决时，数据主体可要求限制处理；受限数据仅可基于有限理由使用。

Notification after rectification, erasure or restriction

Part III · Rights of the Data Subject

除非不可能或显失比例，控制者须将更正、删除或限制通知接收方，并应请求向数据主体说明接收方。

Right to data portability

Part III · Rights of the Data Subject

对于基于同意或合同的合格自动化处理，数据主体可取得结构化、常用、机器可读格式的数据并传输给其他控制者。

Right to object

Part III · Rights of the Data Subject

数据主体可反对基于公共任务或合法利益的处理（含画像）；直接营销在异议后须停止，研究处理则受公共利益例外约束。

Automated decision-making and profiling

Part III · Rights of the Data Subject

个人受到保护，不受产生法律或类似重大影响的纯自动化决策约束；有限例外须提供人工干预及质疑决定等保障。

Restrictions

Part III · Rights of the Data Subject

为保护特定公共利益、调查、法院、专业职责或他人权利，可通过相称立法措施限制部分义务和权利，但须设置必要保障。

Responsibility of the Controller

Part IV · Controller and Processor

控制者须根据风险、背景、范围及目的实施并审查相称的技术与组织措施及政策，以确保并证明合规。

Data protection by design and by default

Part IV · Controller and Processor

须将数据保护原则与保障嵌入系统及处理，并确保默认设置仅处理各目的所需的数据量、范围、保存期及可访问性。

Data Protection Fee

Part IV · Controller and Processor

控制者须登记、缴纳数据保护费及续期费，并按适用规则和豁免向专员维持所需资料。