GDPR對(duì)企業(yè)的影響分析

與大數(shù)據(jù)或物聯(lián)網(wǎng)等熱議話(huà)題不同，《通用數(shù)據(jù)保護(hù)條例》(GDPR) 或許第一眼看上去是一項(xiàng)枯燥的歐盟法案。但是，如果我們仔細(xì)思考它可能帶來(lái)的影響，那么這項(xiàng)法規(guī)無(wú)疑將會(huì)掀起一場(chǎng)行業(yè)巨變。

GDPR將于2018年5月25日正式生效 — 現(xiàn)在已經(jīng)進(jìn)入了最后的倒計(jì)時(shí)時(shí)刻。該條例面向所有收集、存儲(chǔ)或處理歐盟境內(nèi)任何居民的個(gè)人數(shù)據(jù)的任何組織及企業(yè)，無(wú)論該企業(yè)是否位于歐盟成員國(guó)內(nèi)。這意味著，許多組織及企業(yè)現(xiàn)在都需要考慮應(yīng)對(duì)該條例的機(jī)制，如何滿(mǎn)足合規(guī)性 — 因?yàn)橐坏┻`規(guī)，企業(yè)將面臨高達(dá)2,000萬(wàn)歐元或全年總收入的4%的巨額罰款，以較高者為準(zhǔn)。

企業(yè)面臨的數(shù)據(jù)管理現(xiàn)實(shí)

為了保護(hù)所有歐盟成員國(guó)內(nèi)的個(gè)人相關(guān)信息（個(gè)人數(shù)據(jù)），GDPR要求企業(yè)對(duì)個(gè)人數(shù)據(jù)的存儲(chǔ)、傳輸、訪問(wèn)方式，以及審計(jì)進(jìn)行更大力度地監(jiān)督。簡(jiǎn)言之，GDPR 是一項(xiàng)要求企業(yè)實(shí)施適當(dāng)?shù)谋Ｗo(hù)措施和流程，從而有效保護(hù)歐盟公民的個(gè)人數(shù)據(jù)和隱私的法案。

雖然GDPR看似只影響歐盟境內(nèi)的企業(yè)，但是，實(shí)際上，該條例的影響力輻射全球，任何為歐盟公民提供商品或服務(wù)的企業(yè)都受該條例的管制。 根據(jù)Veritas 2017 GDPR報(bào)告，全球高達(dá) 47% 的企業(yè)都擔(dān)心無(wú)法趕在GDPR條例生效之前滿(mǎn)足合規(guī)要求。更令人擔(dān)憂(yōu)的是，只有31%的企業(yè)認(rèn)為他們達(dá)到了GDPR的要求。

隨著GDPR實(shí)施進(jìn)入最終倒計(jì)時(shí)，各地企業(yè)應(yīng)該比以往任何時(shí)候都嚴(yán)陣以待，否則將可能面臨巨額罰款。與此同時(shí)，全球消費(fèi)者表示，他們會(huì)對(duì)未妥善保護(hù)其個(gè)人數(shù)據(jù)的企業(yè)進(jìn)行嚴(yán)厲的處罰。根據(jù)2018年Veritas發(fā)布的《全球消費(fèi)者數(shù)據(jù)隱私報(bào)告》，90%的中國(guó)消費(fèi)者會(huì)聯(lián)合親朋好友共同抵制未能保護(hù)個(gè)人數(shù)據(jù)的企業(yè)，88%的消費(fèi)者聲稱(chēng)會(huì)向監(jiān)管機(jī)構(gòu)舉報(bào)泄漏隱私的企業(yè)。有趣的是，消費(fèi)者也會(huì)獎(jiǎng)勵(lì)妥善保護(hù)個(gè)人數(shù)據(jù)的公司，其中，91%的中國(guó)消費(fèi)者表示，他們更愿意向個(gè)人數(shù)據(jù)有保障的可靠公司購(gòu)買(mǎi)更多產(chǎn)品或服務(wù)。

全球企業(yè)是否已經(jīng)對(duì) GDPR 做好準(zhǔn)備？

根據(jù)Veritas針對(duì)GDPR的調(diào)研表明，很多企業(yè)現(xiàn)在面臨諸多嚴(yán)峻挑戰(zhàn)，尤其在了解所擁有的數(shù)據(jù)、數(shù)據(jù)存儲(chǔ)位置，以及數(shù)據(jù)對(duì)企業(yè)的意義方面。主要研究結(jié)果顯示，很多企業(yè)同樣缺乏有效應(yīng)對(duì)條例規(guī)定的技術(shù)。針對(duì)GDPR合規(guī)性，不少企業(yè)都還有很長(zhǎng)的路要走。Veritas推出的2017 GDPR報(bào)告顯示：

——18%的企業(yè)擔(dān)心，不滿(mǎn)足合規(guī)要求將最終導(dǎo)致公司破產(chǎn)

——32%的企業(yè)認(rèn)為，他們沒(méi)有合適的技術(shù)來(lái)滿(mǎn)足GDPR的要求

——約40%的企業(yè)無(wú)法準(zhǔn)確識(shí)別和定位相關(guān)數(shù)據(jù)，而這是GDPR條例要求企業(yè)所必須擁有的能力

——平均而言，企業(yè)將在2018年投入130萬(wàn)歐元來(lái)改善GDPR合規(guī)性

GDPR對(duì)中國(guó)企業(yè)有何影響？

GDPR 將會(huì)影響到全球各地的公司，包括為歐盟公民提供服務(wù)和/或商品的中國(guó)企業(yè)，同時(shí)它也會(huì)監(jiān)控歐盟境內(nèi)數(shù)據(jù)主體的行為。例如，如果一家中國(guó)企業(yè)經(jīng)營(yíng)一個(gè)可能面向歐盟消費(fèi)者，提供商品或服務(wù)的網(wǎng)站，則該企業(yè)可能屬于GDPR的管轄范圍，因?yàn)樗赡軗碛袣W盟消費(fèi)者的個(gè)人數(shù)據(jù)。

作為全球發(fā)展最快的經(jīng)濟(jì)體之一，中國(guó)企業(yè)的業(yè)務(wù)范圍已經(jīng)迅速擴(kuò)展到全球各地，這當(dāng)然包括歐盟成員國(guó)。大型中國(guó)跨國(guó)企業(yè)，例如阿里巴巴、騰訊和海航等等，小米、摩拜、ofo、大疆等越來(lái)越多的后起之秀也開(kāi)始將觸角伸往歐洲。毫無(wú)疑問(wèn)，GDPR 法規(guī)也適用于這些企業(yè)。

應(yīng)該由哪個(gè)部門(mén)負(fù)責(zé)GDPR？

很多企業(yè)并不是十分了解企業(yè)內(nèi)部數(shù)據(jù)的管理權(quán)歸屬。高管常常認(rèn)為CIO是負(fù)責(zé)GDPR的關(guān)鍵人物，而CIO又認(rèn)為這是高管的職責(zé)。公平地說(shuō)，這需要多個(gè)職能部門(mén)的配合。這種跨職能性意味著，企業(yè)需要在創(chuàng)建合規(guī)和數(shù)據(jù)治理文化時(shí)，徹底改變思維模式。確保GDPR合規(guī)性不再只是CIO一個(gè)人的職責(zé)，而是需要所有部門(mén)的共同努力。

GDPR對(duì)企業(yè)有何好處？

雖然GDPR帶來(lái)了嚴(yán)苛的規(guī)章制度，但也為企業(yè)提供了戰(zhàn)勝競(jìng)爭(zhēng)對(duì)手的機(jī)遇。很多客戶(hù)經(jīng)常在發(fā)生數(shù)據(jù)泄露登上頭條時(shí)，才會(huì)認(rèn)真檢討公司的數(shù)據(jù)政策。

隨著GDPR的實(shí)施，企業(yè)將能夠重新思考現(xiàn)有的流程，更高效地查找、分類(lèi)和過(guò)濾信息，從而最終讓數(shù)據(jù)變得更易于管理和更清晰，使企業(yè)收獲更多更高的信任。此外，遵守GDPR的企業(yè)將能夠通過(guò)有效的數(shù)據(jù)管理，更好地為客戶(hù)提供以信息為中心的解決方案，獲得更高的品牌知名度和客戶(hù)忠誠(chéng)度。

Veritas的企業(yè)合規(guī)性檢查清單：

a)定位

滿(mǎn)足GDPR要求的關(guān)鍵的第一步是要全面了解公司擁有的所有個(gè)人數(shù)據(jù)位于何處。制定有關(guān)信息存儲(chǔ)位置、數(shù)據(jù)訪問(wèn)權(quán)限所有者、數(shù)據(jù)保存時(shí)間以及數(shù)據(jù)傳輸位置的數(shù)據(jù)地圖，這對(duì)了解企業(yè)如何處理和管理個(gè)人數(shù)據(jù)至關(guān)重要。

b)搜索

目前歐盟居民可以通過(guò)提交一份“主體訪問(wèn)申請(qǐng)表 (SAR)”來(lái)申請(qǐng)查看相關(guān)公司持有的所有個(gè)人數(shù)據(jù)。他們有權(quán)要求企業(yè)糾正（如有錯(cuò)誤）、導(dǎo)出（以合適的導(dǎo)出格式）或刪除其數(shù)據(jù)。企業(yè)需要有能力及時(shí)滿(mǎn)足這些需求，避免GDPR的罰款風(fēng)險(xiǎn)。企業(yè)應(yīng)該部署相關(guān)技術(shù)，建立針對(duì)所有用數(shù)據(jù)的實(shí)時(shí)查看能力，通過(guò)基于自動(dòng)化策略的方法來(lái)發(fā)現(xiàn)、分類(lèi)和管理信息。

c)最小化

數(shù)據(jù)最小化是GDPR的主要原則之一，這是為了確保企業(yè)減少所存儲(chǔ)的個(gè)人數(shù)據(jù)的體量。這可以通過(guò)僅在一段時(shí)期內(nèi)保存與原始目標(biāo)直接相關(guān)的個(gè)人數(shù)據(jù)，來(lái)實(shí)現(xiàn)這一目標(biāo)。企業(yè)應(yīng)該部署和執(zhí)行能夠隨著時(shí)間演進(jìn)自動(dòng)讓數(shù)據(jù)失效的數(shù)據(jù)保存政策。

d)保護(hù)

根據(jù)GDPR條例，企業(yè)有責(zé)任實(shí)施技術(shù)及企業(yè)相關(guān)措施，來(lái)展示他們已經(jīng)將數(shù)據(jù)保護(hù)集成到了所有數(shù)據(jù)收集和處理活動(dòng)中。

e)監(jiān)控

GDPR 規(guī)定，所有企業(yè)都有責(zé)任在出現(xiàn)特定類(lèi)型的數(shù)據(jù)泄漏時(shí)上報(bào)給相關(guān)監(jiān)管機(jī)構(gòu)，并在某些情況下通知受影響的個(gè)人。企業(yè)應(yīng)該確保自身有能力監(jiān)控可能的泄漏事件（比如意外或不尋常的文件訪問(wèn)模式），并快速啟動(dòng)報(bào)告流程。

總而言之，企業(yè)應(yīng)該將GDPR視為一種新機(jī)制——負(fù)責(zé)地使用和管理企業(yè)數(shù)據(jù)，負(fù)責(zé)地對(duì)待客戶(hù)和供應(yīng)商。GDPR不僅能夠促進(jìn)企業(yè)建立遵守?cái)?shù)據(jù)隱私法規(guī)的責(zé)任文化，還能夠幫助企業(yè)贏取更多信任，提高品牌知名度，增強(qiáng)消費(fèi)者關(guān)系。