今天的内容是GDPR正文第4条第（3）款。
01、 法条原文
Article 4 Definitions | 第四条定义 |
For the purposes of this Regulation: | 为本条例之目的： |
(3) ‘restriction of processing’ means the marking of stored personal data with the aim of limiting their processing in the future; | （3）“处理限制”是指对存储的个人数据进行标记，以限制此后对该数据的处理行为； |
关联Recital（67）：限制个人数据处理的方法可能包括，除其他外，将选定的数据暂时移动到另一个处理系统，使选定的个人数据对用户不可用，或暂时从网站上删除已发布的数据。在自动归档系统中，原则上应通过技术手段确保个人数据不受进一步处理操作且无法更改的限制处理。个人数据处理受到限制的事实应在系统中明确说明。
02、评注大意
2.1 理论基础与政策支撑
“处理限制”旨在协调数据主体与控制者的利益，在双方就是否应该更正或删除数据主体的个人数据存在分歧时。一方面，它允许控制者在评估数据主体的请求期间保留数据。另一方面，限制确保在控制者评估数据主体的请求期间或直到争议以其他方式解决期间，有争议的个人数据不会受到任何进一步处理（存储除外）。这些目标主要在GDPR第18条中得到实现。
2.2 立法背景
2.2.1 欧盟立法
“处理限制”是GDPR首次引入的术语，但它的前身是DPD中使用的（但未定义的）“处理阻止”（“block”）概念，该概念出现在DPD的第2条(b)项和第12条(b)项中。尽管DPD最终文本中缺乏“阻止”的定义，但委员会在其初步提案中澄清，“指令中提到的阻止[指的是]通过比通常情况更严格的安全措施阻止访问数据，但不涉及删除”。然而，“阻止”这一术语仍然模糊不清，欧盟立法者决定在GDPR中用“处理限制”一词替换之。在2001年第45/2001号条例的第15条中也使用了“阻止”这一术语，该条例虽未定义此术语，但以与GDPR第18条中的“处理限制权”大致相符的方式规范了数据主体的“阻止”权。这表明“处理限制”与“处理阻止”有非常相似但不完全相同的含义。
2.2.2 国际文件
“处理限制”这一术语在《108号公约》的原始版本和现代化版本中都不存在。关于“阻止”个人数据处理的权利，情况也是如此，尽管现代化的《108号公约》赋予数据主体一项有条件的权利，“随时因与其个人情况相关的理由，反对处理与其有关的个人数据”（第9条第1款(d)项）。后者的权利与GDPR第21条更为接近，而不是GDPR第18条。
无论是OECD隐私指南（原始版本和修订版本）还是APEC隐私框架，均未特别使用“处理限制”这一术语。
2.2.3 各国立法
如上所述，“阻止”是“处理限制”的法律前身。尽管DPD中未对“阻止”进行定义，但一些国家的数据保护法律对该术语进行了定义。例如，德国旧联邦数据保护法第一部分第3节第4款（4）规定，“阻止”是指“标记存储的个人数据，以限制其进一步处理或使用”，而意大利旧数据保护法典第4条第1款（o）则声明，“阻止”是指“通过暂时中止任何其他处理操作来保持个人数据”。后者的定义似乎更好地反映了最初DPD提案中表达的“阻止”的原始概念。
2.2.4 判例
由于“处理限制”是一个新引入的术语，CJEU尚未有机会对其进行解释。
2.3 分析
从字面上解读GDPR第4条第3款，至少乍一看，似乎表明“处理限制”在于控制者存储的某些个人数据的单独标记或“专门标识”，即那些未来可能受到限制的数据处理。实际上，该条款使用了“标记”这一术语，通常指的是在某物上做标记或符号，以便与其他事物区分开来。它还指出，标记的数据的处理未来可能会受到限制。
然而，GDPR序言67条明确指出，“在自动化归档系统中，应通过技术手段确保处理限制，以使个人数据不受进一步处理且无法更改。”该序言还提供了实现“处理限制”可能采用的几种方法的示例，包括“暂时将选定数据移至另一处理系统、使选定的个人数据对用户不可用，或暂时从网站上移除已发布的数据”。
这表明，“处理限制”通常涉及对选定数据的处理进行及时（但暂时的）限制，除了对其进行单独标记或专门标识。这可能是DPD中使用的“阻止”概念与GDPR中使用的“处理限制”概念之间的主要区别。实际上，虽然前者概念可以说是指对某些个人数据（存储除外）的任何处理操作暂时停止，而后者概念还包括使被暂停处理的数据与控制者存储的其他数据明显区分开来。序言67条在声明“个人数据处理受到限制的事实应在系统中明确标示”时确认了这一点。
LED第3条第3款和EUDPR第3条第4款与GDPR第4条第3款对“处理限制”的定义相同。因此，这些法律文书中的术语应当被统一解释（见EUDPR序言5条）。
03、读后感
感觉这个概念有点像《个保法》的这一条。
法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理。
《个人信息保护法》第47条第2款
只不过限制处理的条件，不一定是存储期届满删不掉，而是其他由个人数据主体提起的其他场景。比如提起诉讼，相关个人数据要作为证据，但要控制者停止使用相关个人数据。