GDPR對(duì)企業(yè)的影響分析

與大數(shù)據(jù)或物聯(lián)網(wǎng)等熱議話題不同，《通用數(shù)據(jù)保護(hù)條例》(GDPR) 或許第一眼看上去是一項(xiàng)枯燥的歐盟法案。但是，如果我們仔細(xì)思考它可能帶來的影響，那么這項(xiàng)法規(guī)無疑將會(huì)掀起一場行業(yè)巨變。

GDPR將于2018年5月25日正式生效 — 現(xiàn)在已經(jīng)進(jìn)入了最后的倒計(jì)時(shí)時(shí)刻。該條例面向所有收集、存儲(chǔ)或處理歐盟境內(nèi)任何居民的個(gè)人數(shù)據(jù)的任何組織及企業(yè)，無論該企業(yè)是否位于歐盟成員國內(nèi)。這意味著，許多組織及企業(yè)現(xiàn)在都需要考慮應(yīng)對(duì)該條例的機(jī)制，如何滿足合規(guī)性 — 因?yàn)橐坏┻`規(guī)，企業(yè)將面臨高達(dá)2,000萬歐元或全年總收入的4%的巨額罰款，以較高者為準(zhǔn)。

企業(yè)面臨的數(shù)據(jù)管理現(xiàn)實(shí)

為了保護(hù)所有歐盟成員國內(nèi)的個(gè)人相關(guān)信息（個(gè)人數(shù)據(jù)），GDPR要求企業(yè)對(duì)個(gè)人數(shù)據(jù)的存儲(chǔ)、傳輸、訪問方式，以及審計(jì)進(jìn)行更大力度地監(jiān)督。簡言之，GDPR 是一項(xiàng)要求企業(yè)實(shí)施適當(dāng)?shù)谋Ｗo(hù)措施和流程，從而有效保護(hù)歐盟公民的個(gè)人數(shù)據(jù)和隱私的法案。

雖然GDPR看似只影響歐盟境內(nèi)的企業(yè)，但是，實(shí)際上，該條例的影響力輻射全球，任何為歐盟公民提供商品或服務(wù)的企業(yè)都受該條例的管制。 根據(jù)Veritas 2017 GDPR報(bào)告，全球高達(dá) 47% 的企業(yè)都擔(dān)心無法趕在GDPR條例生效之前滿足合規(guī)要求。更令人擔(dān)憂的是，只有31%的企業(yè)認(rèn)為他們達(dá)到了GDPR的要求。

隨著GDPR實(shí)施進(jìn)入最終倒計(jì)時(shí)，各地企業(yè)應(yīng)該比以往任何時(shí)候都嚴(yán)陣以待，否則將可能面臨巨額罰款。與此同時(shí)，全球消費(fèi)者表示，他們會(huì)對(duì)未妥善保護(hù)其個(gè)人數(shù)據(jù)的企業(yè)進(jìn)行嚴(yán)厲的處罰。根據(jù)2018年Veritas發(fā)布的《全球消費(fèi)者數(shù)據(jù)隱私報(bào)告》，90%的中國消費(fèi)者會(huì)聯(lián)合親朋好友共同抵制未能保護(hù)個(gè)人數(shù)據(jù)的企業(yè)，88%的消費(fèi)者聲稱會(huì)向監(jiān)管機(jī)構(gòu)舉報(bào)泄漏隱私的企業(yè)。有趣的是，消費(fèi)者也會(huì)獎(jiǎng)勵(lì)妥善保護(hù)個(gè)人數(shù)據(jù)的公司，其中，91%的中國消費(fèi)者表示，他們更愿意向個(gè)人數(shù)據(jù)有保障的可靠公司購買更多產(chǎn)品或服務(wù)。

全球企業(yè)是否已經(jīng)對(duì) GDPR 做好準(zhǔn)備？

根據(jù)Veritas針對(duì)GDPR的調(diào)研表明，很多企業(yè)現(xiàn)在面臨諸多嚴(yán)峻挑戰(zhàn)，尤其在了解所擁有的數(shù)據(jù)、數(shù)據(jù)存儲(chǔ)位置，以及數(shù)據(jù)對(duì)企業(yè)的意義方面。主要研究結(jié)果顯示，很多企業(yè)同樣缺乏有效應(yīng)對(duì)條例規(guī)定的技術(shù)。針對(duì)GDPR合規(guī)性，不少企業(yè)都還有很長的路要走。Veritas推出的2017 GDPR報(bào)告顯示：

——18%的企業(yè)擔(dān)心，不滿足合規(guī)要求將最終導(dǎo)致公司破產(chǎn)

——32%的企業(yè)認(rèn)為，他們沒有合適的技術(shù)來滿足GDPR的要求

——約40%的企業(yè)無法準(zhǔn)確識(shí)別和定位相關(guān)數(shù)據(jù)，而這是GDPR條例要求企業(yè)所必須擁有的能力

——平均而言，企業(yè)將在2018年投入130萬歐元來改善GDPR合規(guī)性

GDPR對(duì)中國企業(yè)有何影響？

GDPR 將會(huì)影響到全球各地的公司，包括為歐盟公民提供服務(wù)和/或商品的中國企業(yè)，同時(shí)它也會(huì)監(jiān)控歐盟境內(nèi)數(shù)據(jù)主體的行為。例如，如果一家中國企業(yè)經(jīng)營一個(gè)可能面向歐盟消費(fèi)者，提供商品或服務(wù)的網(wǎng)站，則該企業(yè)可能屬于GDPR的管轄范圍，因?yàn)樗赡軗碛袣W盟消費(fèi)者的個(gè)人數(shù)據(jù)。

作為全球發(fā)展最快的經(jīng)濟(jì)體之一，中國企業(yè)的業(yè)務(wù)范圍已經(jīng)迅速擴(kuò)展到全球各地，這當(dāng)然包括歐盟成員國。大型中國跨國企業(yè)，例如阿里巴巴、騰訊和海航等等，小米、摩拜、ofo、大疆等越來越多的后起之秀也開始將觸角伸往歐洲。毫無疑問，GDPR 法規(guī)也適用于這些企業(yè)。

應(yīng)該由哪個(gè)部門負(fù)責(zé)GDPR？

很多企業(yè)并不是十分了解企業(yè)內(nèi)部數(shù)據(jù)的管理權(quán)歸屬。高管常常認(rèn)為CIO是負(fù)責(zé)GDPR的關(guān)鍵人物，而CIO又認(rèn)為這是高管的職責(zé)。公平地說，這需要多個(gè)職能部門的配合。這種跨職能性意味著，企業(yè)需要在創(chuàng)建合規(guī)和數(shù)據(jù)治理文化時(shí)，徹底改變思維模式。確保GDPR合規(guī)性不再只是CIO一個(gè)人的職責(zé)，而是需要所有部門的共同努力。

GDPR對(duì)企業(yè)有何好處？

雖然GDPR帶來了嚴(yán)苛的規(guī)章制度，但也為企業(yè)提供了戰(zhàn)勝競爭對(duì)手的機(jī)遇。很多客戶經(jīng)常在發(fā)生數(shù)據(jù)泄露登上頭條時(shí)，才會(huì)認(rèn)真檢討公司的數(shù)據(jù)政策。

隨著GDPR的實(shí)施，企業(yè)將能夠重新思考現(xiàn)有的流程，更高效地查找、分類和過濾信息，從而最終讓數(shù)據(jù)變得更易于管理和更清晰，使企業(yè)收獲更多更高的信任。此外，遵守GDPR的企業(yè)將能夠通過有效的數(shù)據(jù)管理，更好地為客戶提供以信息為中心的解決方案，獲得更高的品牌知名度和客戶忠誠度。

Veritas的企業(yè)合規(guī)性檢查清單：

a)定位

滿足GDPR要求的關(guān)鍵的第一步是要全面了解公司擁有的所有個(gè)人數(shù)據(jù)位于何處。制定有關(guān)信息存儲(chǔ)位置、數(shù)據(jù)訪問權(quán)限所有者、數(shù)據(jù)保存時(shí)間以及數(shù)據(jù)傳輸位置的數(shù)據(jù)地圖，這對(duì)了解企業(yè)如何處理和管理個(gè)人數(shù)據(jù)至關(guān)重要。

b)搜索

目前歐盟居民可以通過提交一份“主體訪問申請(qǐng)表 (SAR)”來申請(qǐng)查看相關(guān)公司持有的所有個(gè)人數(shù)據(jù)。他們有權(quán)要求企業(yè)糾正（如有錯(cuò)誤）、導(dǎo)出（以合適的導(dǎo)出格式）或刪除其數(shù)據(jù)。企業(yè)需要有能力及時(shí)滿足這些需求，避免GDPR的罰款風(fēng)險(xiǎn)。企業(yè)應(yīng)該部署相關(guān)技術(shù)，建立針對(duì)所有用數(shù)據(jù)的實(shí)時(shí)查看能力，通過基于自動(dòng)化策略的方法來發(fā)現(xiàn)、分類和管理信息。

c)最小化

數(shù)據(jù)最小化是GDPR的主要原則之一，這是為了確保企業(yè)減少所存儲(chǔ)的個(gè)人數(shù)據(jù)的體量。這可以通過僅在一段時(shí)期內(nèi)保存與原始目標(biāo)直接相關(guān)的個(gè)人數(shù)據(jù)，來實(shí)現(xiàn)這一目標(biāo)。企業(yè)應(yīng)該部署和執(zhí)行能夠隨著時(shí)間演進(jìn)自動(dòng)讓數(shù)據(jù)失效的數(shù)據(jù)保存政策。

d)保護(hù)

根據(jù)GDPR條例，企業(yè)有責(zé)任實(shí)施技術(shù)及企業(yè)相關(guān)措施，來展示他們已經(jīng)將數(shù)據(jù)保護(hù)集成到了所有數(shù)據(jù)收集和處理活動(dòng)中。

e)監(jiān)控

GDPR 規(guī)定，所有企業(yè)都有責(zé)任在出現(xiàn)特定類型的數(shù)據(jù)泄漏時(shí)上報(bào)給相關(guān)監(jiān)管機(jī)構(gòu)，并在某些情況下通知受影響的個(gè)人。企業(yè)應(yīng)該確保自身有能力監(jiān)控可能的泄漏事件（比如意外或不尋常的文件訪問模式），并快速啟動(dòng)報(bào)告流程。

總而言之，企業(yè)應(yīng)該將GDPR視為一種新機(jī)制——負(fù)責(zé)地使用和管理企業(yè)數(shù)據(jù)，負(fù)責(zé)地對(duì)待客戶和供應(yīng)商。GDPR不僅能夠促進(jìn)企業(yè)建立遵守?cái)?shù)據(jù)隱私法規(guī)的責(zé)任文化，還能夠幫助企業(yè)贏取更多信任，提高品牌知名度，增強(qiáng)消費(fèi)者關(guān)系。