继续学习数据主体权利部分的条文变迁。今天涉及被遗忘权、拒绝权、自动化决策、限制处理权（P160-162）。
1.被遗忘权
GDPR Proposal的第17条提供了“被遗忘权和数据擦除权”。该条款在征求意见时已经被进行一定程度的限制。在最初的表述中，将数据公布的控制者有义务确保互联网中的任何链接和副本被删除。该责任随后被限制于告知处理数据的第三方数据主体要求相关数据被擦除，同时，相关责任被限制于可能的情况，并且不涉及不成比例的努力（即不能以巨大代价实现）。第17条第（3）款规定了一些不适用于被遗忘权的情况，即为了行使言论自由权、公共卫生领域的公共利益、出于历史、统计和科学研究目的。
Alvrechet议员的报告将被遗忘权延伸至抹除或修改数据。该报告限制了权利的范围，若个人同意公开其个人数据，则该权利既不合法也不现实。因此，若数据控制者最初公开数据是基于数据主体同意或其他合法性基础，则控制者无须采取必要措施联系第三方并要求第三方擦除数据。然而，若数据的传递或公开没有合法性基础，则原始控制者有义务通知此类第三方，并确保删除数据。该报告将言论自由作为被遗忘权利的潜在例外，强调了在“任何删除已发布个人数据的措施”中平衡这两项权利的重要性。
欧盟委员会的文本与议会的文本类似，并根据第17条要求控制者在某些情况删除个人数据，不得无故拖延。最终在GDPR中也得到保留。
《个保法》第47条删除权的规定，与GDPR的规定基本类似。但在表述上有一个逻辑区别，GDPR是用户要求才删除，而《个保法》是应该主动删除，不删除用户发现了还可以要求删除。此外，言论自由等并没有成为《个保法》中删除权的豁免事由，这个也是非常符合国情的。
GDPR：Art. 17 Right to erasure (‘right to be forgotten’)
第17条删除权（被遗忘权）
1.The data subject shall have the right to obtain from the controller the erasure of personal data concerning him or her without undue delay and the controller shall have the obligation to erase personal data without undue delay where one of the following grounds applies:
1.在以下情形中，数据主体有权请求数据控制者立即清除与其相关的个人数据，同时数据控制者有义务立即清除相关个人数据：
(a)the personal data are no longer necessary in relation to the purposes for which they were collected or otherwise processed;
(a)数据对于收集或处理时的目的已经不再必要;
(b)the data subject withdraws consent on which the processing is based according to point (a) of Article 6(1), or point (a) of Article 9(2), and where there is no other legal ground for the processing;
(b)数据主体撤销对本条例第6 条第1 款（ a ）项或第9 条第2 款（ a) 项规定的个人数据处理的同意，并且没有其他支持个人数据处理的法律依据时；
(c)the data subject objects to the processing pursuant to Article 21(1) and there are no overriding legitimate grounds for the processing, or the data subject objects to the processing pursuant to Article 21(2);
(c)数据主体依据第21 条第1 款的规定行使拒绝权且数据处理没有其他更优法律依据时，或者数据主体依据第21 条第2 款的规定行使拒绝权；
(d)the personal data have been unlawfully processed;
(d)个人数据被非法处理;
(e)the personal data have to be erased for compliance with a legal obligation in Union or Member State law to which the controller is subject;
(e)数据主体依据第21 条第1 款的规定行使拒绝权且数据处理没有其他更优法律依据时，或者数据主体依据第21 条第2 款的规定行使拒绝权；
(f)the personal data have been collected in relation to the offer of information society services referred to in Article 8(1).
(f)个人数据的收集涉及第8 条第1 款规定的提供社会服务信息时。
2.Where the controller has made the personal data public and is obliged pursuant to paragraph 1 to erase the personal data, the controller, taking account of available technology and the cost of implementation, shall take reasonable steps, including technical measures, to inform controllers which are processing the personal data that the data subject has requested the erasure by such controllers of any links to, or copy or replication of, those personal data.
2.当数据控制者已经公开个人数据的情况并且有义务根据本条第1 款的规定清除个人数据时。考虑到现有技术和实施成本，数据控制者应当采取包括技术手段在内的合理措施，将数据主体要求清除的有关个人数据的链接、副本和备份等告知正在处理该个人数据的数据控制者。
- Paragraphs 1 and 2 shall not apply to the extent that processing is necessary:
3.第1 款和第2 款的规定不适用于处理确有必要的情况：
(a)for exercising the right of freedom of expression and information;
(a)行使言论和信息自由权;
(b)for compliance with a legal obligation which requires processing by Union or Member State law to which the controller is subject or for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller;
(b)当数据控制者基于遵守欧盟或成员国法定义务而处理个人数据，或数据控制者为公共利益而履行义务或者为行使其职务权限进行的数据处理；
(c)for reasons of public interest in the area of public health in accordance with points (h) and (i) of Article 9(2) as well as Article 9(3);
(c)为了遵守第9 条第2 款(h)(i)项和第9 条第3 款规定的公共健康领域的公共利益进行的数据处理；
(d)for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes in accordance with Article 89(1) in so far as the right referred to in paragraph 1 is likely to render impossible or seriously impair the achievement of the objectives of that processing; or
(d)根据第1 款规定为了实现公共利益存档目的、科学研究或历史研究目的或统计目的而进行的数据处理，并且对于本条第1 款规定的权利的行使会使这些处理的目的变得不可能或被严重损害；
(e) for the establishment, exercise or defence of legal claims.
(e)为提起诉讼或应诉所必要的数据处理。
《个保法》：第47条有下列情形之一的，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除：
（一）处理目的已实现、无法实现或者为实现处理目的不再必要；
（二）个人信息处理者停止提供产品或者服务，或者保存期限已届满；
（三）个人撤回同意；
（四）个人信息处理者违反法律、行政法规或者违反约定处理个人信息；
（五）法律、行政法规规定的其他情形。
法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理。
2. 拒绝、限制处理权
DPD已经规定了笼统的拒绝处理权，但由于各国在适用DPD时拥有广泛的自主裁定权，所以该项权利在实践中被削弱了。GDPR Proposal第19条因此加强了这项权利。Albrecht议员报告中进一步扩大并强化了这项权利。
DPD第13条规定，成员国可以采取“立法措施”来限制某些条款中规定的义务和权利的范围。GDPR Proposal指出，数据保护不是一项绝对权利，但必须结合其在社会中的功能加以考虑，并且必须与其他基本权利相平衡（序言139）。根据第21条，一些权利和义务（包括信息权、访问权、纠正权、删除权、数据可携权和拒绝权；拒绝用户画像；以及告知个人数据泄露）可能受限于保障特定的公共利益（如公共安全、重要经济或金融利益、各种监管职能）。
GDPR和《个保法》一比较，就觉得我们的立法说的太抽象、太笼统了，只有“有权限制或者拒绝他人对其个人信息进行处理”。然后还留了个口子，“法律、行政法规另有规定的除外”，也为未来的立法留了个口子。其他的你就慢慢体会吧。而GDPR的相关规定就细致很多，个人信息自决权和公共利益如何权衡，哪些情况应该让位，在法条里都明确规定了。
GDPR：Art. 18 Right to restriction of processing 第18条限制处理权
1.The data subject shall have the right to obtain from the controller restriction of processing where one of the following applies:
1.发生以下情形时，数据主体有权限制数据控制者的处理行为：
(a)the accuracy of the personal data is contested by the data subject, for a period enabling the controller to verify the accuracy of the personal data;
(a)当数据主体对个人数据的准确性提出质疑，数据控制者需要一段时间核实数据的准确性；
(b)the processing is unlawful and the data subject opposes the erasure of the personal data and requests the restriction of their use instead;
(b)数据处理违法、数据主体仅要求限制数据使用而反对清除个人数据；
(c)the controller no longer needs the personal data for the purposes of the processing, but they are required by the data subject for the establishment, exercise or defence of legal claims;
(c)当数据控制者基于处理目的不再需要个人数据，但这些个人数据是数据主体提起诉讼或应诉所必要的；
(d)the data subject has objected to processing pursuant to Article 21(1) pending the verification whether the legitimate grounds of the controller override those of the data subject.
(d)数据主体可以根据第21 条第1 款规定行使拒绝权直到确认了控制者的合法理由优于数据主体。
2.Where processing has been restricted under paragraph 1, such personal data shall, with the exception of storage, only be processed with the data subject’s consent or for the establishment, exercise or defence of legal claims or for the protection of the rights of another natural or legal person or for reasons of important public interest of the Union or of a Member State.
2.除存储外，在本条第1 款规定的数据处理受限制的情况下，仅得在经数据主体同意后处理数据，或为提起诉讼或应诉，或为保护其他自然人、法人权利，或为欧盟或成员国重要公共利益而处理数据。
3.A data subject who has obtained restriction of processing pursuant to paragraph 1 shall be informed by the controller before the restriction of processing is lifted
3.在本条第1 款规定的个人数据处理受到限制的情况下，数据控制者应当在限制处理落实前通知数据主体。
Art. 21 Right to object 第21条
1.The data subject shall have the right to object, on grounds relating to his or her particular situation, at any time to processing of personal data concerning him or her which is based on point (e) or (f) of Article 6(1), including profiling based on those provisions. The controller shall no longer process the personal data unless the controller demonstrates compelling legitimate grounds for the processing which override the interests, rights and freedoms of the data subject or for the establishment, exercise or defence of legal claims.
1.数据主体有权基于其自身特殊情况随时拒绝依据本法第6 条第1 款(e)和(f)项规定而实施的涉及其个人的数据的处理行为，其中包括识别分析行为。除非数据控制者能够证明处理数据的合法依据优先于数据主体的利益、权利与自由或数据处理为提起诉讼或应诉所必要，数据控制者不得继续处理个人数据。
2.Where personal data are processed for direct marketing purposes, the data subject shall have the right to object at any time to processing of personal data concerning him or her for such marketing, which includes profiling to the extent that it is related to such direct marketing.
2.若个人数据处理是用于直销（direct marketing）的目的，数据主体有权随时拒绝为此类营销目的而处理其个人数据的行为，包括一定程度上关联到这种直销的分析行为。
3.Where the data subject objects to processing for direct marketing purposes, the personal data shall no longer be processed for such purposes.
3.当数据主体拒绝为直销目的而处理其个人数据时，该个人数据不应再因这种目的而被处理。
4.At the latest at the time of the first communication with the data subject, the right referred to in paragraphs 1 and 2 shall be explicitly brought to the attention of the data subject and shall be presented clearly and separately from any other information.
4.在第一次告知数据主体的时候，明确提请数据主体注意本条第1款和第2款所述权利，同时应当将此信息与其他信息分开列明提供给数据主体。
5.In the context of the use of information society services, and notwithstanding Directive 2002/58/EC, the data subject may exercise his or her right to object by automated means using technical specifications.
5.无论《电子通信中的隐私保护指令》（Directive 2002/58/EC）如何规定，在使用信息社会服务的背景下，数据主体可以通过使用技术规范的自动化方式来行使拒绝权。
6.Where personal data are processed for scientific or historical research purposes or statistical purposes pursuant to Article 89(1), the data subject, on grounds relating to his or her particular situation, shall have the right to object to processing of personal data concerning him or her, unless the processing is necessary for the performance of a task carried out for reasons of public interest.
6.除了为执行公众利益任务所必要的数据处理，数据主体有权基于其自身特殊情况随时拒绝根据第89条第1款的规定为科学研究或历史研究目的、统计目的而进行的处理行为。
《个保法》：第44条个人对其个人信息的处理享有知情权、决定权，有权限制或者拒绝他人对其个人信息进行处理；法律、行政法规另有规定的除外。
3. 自动化决策（含识别分析）
GDPR Proposal和欧盟委员会的版本中均未定义“识别分析”（profiling）。然而在欧盟议会的版本中，添加了这一定义，最终在GDPR中其定义为：对个人数据采取的任何自动化处理的方式，包括评估某个自然人特定方面的情况 ，尤其是为了分析和预测该自然人的工作表现、经济状况、健康、个人喜好、兴趣、可信度、行为举止、所在位置或行迹。GDPR Proposal的第20条限制了“识别分析”的使用，仅在基于个人明确同意或立法明确允许的情况下，在允许进行产生法律效力或严重影响个人权益的自动化决策。
Albrecht报告限缩了识别分析可以运用的法律场景，并采用了更严格的规则。如，识别分析必需是订立或履行合同所必需的，受到某些限制（而非仅在合同履行过程中实施），并且禁止涉及敏感数据和儿童数据的识别分析。
LIBE委员会的折衷文本同样限制了营利活动。然而，该文本为数据假名后进行识别分析提供了一定的灵活性，因为其认为这样不会影响数据主体权利。得出这一结论的前提是，控制者无法基于单一来源或聚合的假名数据识别出特定个人。这种灵活性为在线数据分析留有余地。
欧盟理事会的文本并未采纳议会为去标识化的识别分析留有余地。然而，理事会的文本通过举几个例子明确处理“显著影响个人利益、权利和自由”的含义：比如在没有任何人为干预的情况下自动拒绝在线信用卡申请或在线招聘。虽然议会的文本一律禁止基于敏感数据的识别分析，但欧盟理事会的文本运行在取得个人同意的情况下进行分析识别。
同样在自动化决策方面，GDPR的规定也更为细致。规定了有权拒绝自动化决策但也规定了例外，对基于敏感数据的自动化决策还作出了额外的要求。而《个保法》则是针对社会现有问题关注“价格歧视”等问题。
总得来看，GDPR还是非常重视个人数据权利保障的，但是同时也注意到了个人信息自决权并非在所有时候都是优位适用的，保障的同时也要做好限制，厘清边界。
GDPR：Art. 22 Automated individual decision-making, including profiling 第22条自动化的个人自决，包括识别分析
1.The data subject shall have the right not to be subject to a decision based solely on automated processing, including profiling, which produces legal effects concerning him or her or similarly significantly affects him or her.
数据主体有权不受仅基于自动化处理行为得出的决定的制约，以避免对个人产生法律影响或与之相类似的显著影响，该自动化处理包括识别分析。
2.Paragraph 1 shall not apply if the decision:
2.第1 款的规定不适用以下决定：
(a)is necessary for entering into, or performance of, a contract between the data subject and a data controller;
(a)为缔结、履行以数据主体和数据控制者为当事人的合同所必要;
(b)is authorised by Union or Member State law to which the controller is subject and which also lays down suitable measures to safeguard the data subject’s rights and freedoms and legitimate interests; or
(b)经数据控制者遵守的欧盟或成员国法律授权，且该法律规定了适当
的措施以保障数据主体的权利、自由和合法利益；
(c)is based on the data subject’s explicit consent.
(c)基于数据主体的明确同意。
3.In the cases referred to in points (a) and (c) of paragraph 2, the data controller shall implement suitable measures to safeguard the data subject’s rights and freedoms and legitimate interests, at least the right to obtain human intervention on the part of the controller, to express his or her point of view and to contest the decision.
3.在本条第2 款(a)和 (c)项规定的情况下，数据控制者应当采取适当的措施以保障数据主体的权利、自由和合法利益，至少应保障数据主体对数据控制者的决定进行人为干预来表达其观点以及对决定提出质疑的权利。
4.Decisions referred to in paragraph 2 shall not be based on special categories of personal data referred to in Article 9(1), unless point (a) or (g) of Article 9(2) applies and suitable measures to safeguard the data subject’s rights and freedoms and legitimate interests are in place.
本条第2 款所述决定非 以第9 条第1 款规定的特殊类型的个人数据为基础，除非适用第9 条第2 款（a）或（g）项规定以及采取适当的措施以保障数据主体的权利、自由和合法利益。
《个保法》：第二十四条个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。
通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。
通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。