大数据、云计算和人工智能已经成为推动人类社会新一轮产业变革的支撑性技术,互联网、传感器和大容量存储媒介大大增加了数据量,结构化数据俨然成为这些高新技术应用的原材料。随着大数据分析与处理技术的不断发展,特别是数据挖掘技术的应用,个人数据国籍治理面临新的形势,数据隐私变成数字贸易下最严峻的问题之一。欧盟作为最先着手致力于数据隐私保护研究的地区,早在20世纪70年代,经济合作与发展组织便成立了“跨境数据障碍专家组”,并于1980年以“建议形式”通过《经合组织隐私保护和个人数据跨境流动准则》。1995年以“指令”形式通过欧洲数据保护法上具有里程碑意义的《数据保护指令》（简称95《指令》）。在吸取了以往的立法经验,2012年欧盟委员会公布了《通用数据保护条例》（简称GDPR）草案。正式条例于2016年4月14日正式获批,经过两年过渡期,于2018年5月25日正式实施,成为欧盟数据隐私保护的核心框架,并将个人数据保护提升到前所未有的高度。本文第一部分对《通用数据保护条例》做了基本概述。主要阐述了《通用数据保护条例》的出台背景和政策演化。接着针对1995年《数据保护指令》进行创新性对比,发现在个人数据权利、管辖范围、问责机制等均有较大程度的创新。最后通过微观及宏观的角度分析,《通用数据保护条例》如何对全球数字贸易发展造成影响。第二部分详细的介绍数据主体享有的权利。深处大数据环境,个人数据隐私的泄露问题已经成为数据主体担心的主要问题,欧盟委员会于95《指令》的基础上,在2012年发布了GDPR草案,着重加强了数据主体的权利。其中笔者将着重通过对立法背景、历史渊源和主要内容,对可携权和被遗忘权两点创新权利进行详细分析。同时对GDPR在数据主体权利的十点例外加以分析:第一,涉及国家安全问题;第二,涉及国家公共防卫问题;第三,涉及国家公共安全问题;第四,预防、调查、起诉、执行刑事处罚,威胁公共安全问题;第五、涉及成员国在财政、经济、健康安全等方面的公共利益问题;第六、涉及司法程序;第七,预防、调查、侦查、起诉违背职业道德问题;第八,与以上七个问题相关,政府履行职能监管的问题;第九,涉及数据主体以及相关主体权利保护问题;最后一点是涉及民事赔偿的执行问题。第三部分分别从数据处理者和数据控制者的角度阐述两者的责任及义务。首先通过对法条的详细分析,对数据处理者和数据控制的责任义务进行阐述。然后区分两者概念、区别及联系。第四部分主要论述了数据跨境转移的管辖和监管。本文从欧盟境内和境外两部分进行阐述。在欧盟境内,个人数据可以自由流动,没有限制,其中设立数据保护官和重视文档管理两项监管制度,均在不同程度对个人数据形成强有的保护。本部分的重点集中在第二块,即境外数据转移的管辖及监管。在95《指令》的基础上,对管辖范围的增加,无论是否在欧盟设立独立机构,只要涉及欧盟公民的企业均受到GDPR的管辖,这也是该条例引发全球恐慌原因之一,涉及范围空前之广,同时针对GDPR同国内法的冲突进行简单评析。其次,在监管规则上,针对95《指令》,不仅仅扩大了“充分保护”和标准合同条款的适用范围,还确定了BCR规则,一举改变了95《指令》过于严格、开放性不强等问题,多项规则条件的放宽,更好的实现了个人数据跨境流通。最后一部分,主要通过前四部分对GDPR的详细分析,立足于我国的基本国情,针对中国个人信息保护立法当前状态、不足以及漏洞提出四点建议。笔者认为,第一,制定统一的个人信息保护立法。第二,应全面保障个人对信息的控制权;第三,重新分配信息控制者和处理者的义务和责任,违法成本的增加必能导致市场的规范。第四,在“一带一路”背景下,我国应尽量消除国家之间的数据壁垒,为我国企业与境外机构之间的个人信息能合理流通,加强国际间的合作。并借鉴GDPR监管机制,构建完善跨境信息保护机制,例如“约束性条款”、“标准合同条款“。