数据合规的主要国际标准

表2-3：数据合规的主要国际标准

发布时间

制订国家

名称

主要内容

适用范围

2018年

欧盟

《通用数据保护条例》（GDPR）

是欧盟法律中关于欧盟和欧洲经济区数据保护和隐私的法规。它包括一套标准，企业必须确保合法收集个人数据并充分保护其免遭滥用和利用

适用于在欧盟境内运营并收集公民数据的所有企业，以及在欧盟以外向欧盟客户或企业提供商品或服务的组织

1996年

美国

《健康保险流通与责任法案》（HIPAA）

在涉及保护患者的医疗记录和其他健康信息时，它规定了医疗保健行业的隐私和安全标准。这些标准使患者能够更好地控制其个人健康信息的使用和披露方式

包括医疗保健提供者（即医生、牙医、医院）、健康计划（即保险公司）和医疗保健票据交换所（与保险相关）

2006年

美国

《支付卡行业数据安全标准》（PCI-DSS）

对于所有涉及信用卡信息机构的安全方面作出标准的要求，其中包括安全管理、策略、过程、网络体系结构、软件设计的要求的列表等，全面保障交易安全

适用于所有涉及支付卡处理的实体，包括商户、处理机构、购买者、发行商和服务提供商及储存、处理或传输持卡人资料的所有其他实体

2002年

美国

《萨班斯-奥克斯利法案》（SOX）

是一项数据合规法，旨在保护股东、员工和公众免受公司欺诈。它侧重于公司流程的会计和透明度，并提高公司披露的准确性。它涉及全面的审计和财务法规，旨在防止会计欺诈

适用于在美国的所有上市公司，以及在美国上市并开展业务的全资子公司和外国公司

2018年

美国

《加利福尼亚消费者隐私法》（CCPA）

是美国首部关于数据隐私的全面立法。该法案要求接受CCPA监管的企业只能收集他们提供的服务或产品所需的个人数据，提高了消费者对其个人信息的控制能力，并详细规定消费者的相关权利，这些权利主要包括“知情权与访问权”“删除权”“请求信息披露权”“公平交易权”“选择退出权和选择加入权”

不仅适用于加利福尼亚州的企业；它们适用于在该州开展业务的所有公司

2000年

加拿大

《个人信息保护和电子文件法》（PIPEDA）

企业必须基于十项公平信息原则，在收集数据之前征得客户的同意；必须坚持透明的个人数据政策，并将数据收集限制在明确和特定的目的；要求组织对数据丢失或被盗负责。该法案要求受PIPEDA约束的组织有义务向加拿大隐私专员和受违规影响的个人披露个人信息安全漏洞

适用于任何在商业活动过程中收集消费者数据的加拿大私营企业，以及针对加拿大客户的国际公司

2020年

巴西

《巴西通用数据保护法》（LGPD）

为应用巴西居民个人数据信息的公司设置了数据保护义务，为应用数据信息明确了法律基础，并列举了巴西居民的数据权利

适用于任何收集巴西人个人信息的组织，无论是小型企业还是跨国公司