瑞典IMY就GDPR第10条犯罪数据保护范围请求EDPB出具意见：聚焦未启动刑事程序的情形，成员国解释分歧须在欧盟层面统一

【问题本身】

《通用数据保护条例》（GDPR）对有关违法犯罪行为（lagöverträdelser）的个人信息给予了较强保护。但究竟什么构成「有关违法犯罪行为的个人信息」，在各成员国之间存在差异。

IMY所提问题具体指向：**第10条是否覆盖尚未启动刑事程序情形下的犯罪相关数据**。

【背景】

2025年12月，IMY启动对其关于违法犯罪行为个人信息（即「犯罪数据」）法律立场的审查。作为该审查工作的一环，IMY现向EDPB提交了出具意见的请求，目的是弄清哪些数据落入GDPR第10条的保护范围。

请求的背景在于：IMY已向公众征求意见并咨询了欧盟其他数据保护监管机构。通过这一过程发现，各成员国在此问题上存在不同看法，因而第10条缺少统一解释与适用。IMY认为，为实现欧盟范围内对个人信息的同等保护，有必要使该条的解释得到协调统一。

【IMY负责人的表述】

IMY局长Eric Leijonram表示：「我们看到该条的解释在不同成员国之间并不一致。为实现统一的解释，需要在欧盟层面作出澄清。因此我们发起了这一行动。EDPB的澄清可能会影响IMY关于哪些犯罪数据落入第10条保护范围的理解。」

【时限】

EDPB应在收到该问题后八周内通过意见，但该期限可再延长六周。

【对出海企业的实务含义】

①GDPR第10条是出海业务中极易被忽视的条款，其要求「有关刑事定罪与犯罪的数据」的处理须在官方机关控制之下，或经欧盟或成员国法律授权并附有适当保障。本次争议的核心——**未启动刑事程序时的犯罪相关数据是否受第10条保护**——直接决定了哪些业务场景构成违规；

②典型受影响场景包括：背景调查与员工入职筛查、反欺诈与风控名单、失信被执行人名单、以及媒体、征信、保险与信贷行业掌握的涉案信息。若第10条被解释为涵盖「尚未启动程序」的情形，则企业自行收集涉案线索的行为边界将显著收紧；

③这是首个由成员国主动向EDPB请求第10条解释的案例，EDPB意见出台后将成为全欧统一口径（预计2026年11月前后），建议在欧盟有雇佣、信贷或风控业务的中国企业把该意见列入合规日历。