與大數據或物聯網等熱議話題不同，《通用數據保護條例》(GDPR) 或許第一眼看上去是一項枯燥的歐盟法案。但是，如果我們仔細思考它可能帶來的影響，那么這項法規無疑將會掀起一場行業巨變。

GDPR將于2018年5月25日正式生效 — 現在已經進入了最后的倒計時時刻。該條例面向所有收集、存儲或處理歐盟境內任何居民的個人數據的任何組織及企業，無論該企業是否位于歐盟成員國內。這意味著，許多組織及企業現在都需要考慮應對該條例的機制，如何滿足合規性 — 因為一旦違規，企業將面臨高達2,000萬歐元或全年總收入的4%的巨額罰款，以較高者為準。

企業面臨的數據管理現實

為了保護所有歐盟成員國內的個人相關信息（個人數據），GDPR要求企業對個人數據的存儲、傳輸、訪問方式，以及審計進行更大力度地監督。簡言之，GDPR 是一項要求企業實施適當的保護措施和流程，從而有效保護歐盟公民的個人數據和隱私的法案。

雖然GDPR看似只影響歐盟境內的企業，但是，實際上，該條例的影響力輻射全球，任何為歐盟公民提供商品或服務的企業都受該條例的管制。 根據Veritas 2017 GDPR報告，全球高達 47% 的企業都擔心無法趕在GDPR條例生效之前滿足合規要求。更令人擔憂的是，只有31%的企業認為他們達到了GDPR的要求。

隨著GDPR實施進入最終倒計時，各地企業應該比以往任何時候都嚴陣以待，否則將可能面臨巨額罰款。與此同時，全球消費者表示，他們會對未妥善保護其個人數據的企業進行嚴厲的處罰。根據2018年Veritas發布的《全球消費者數據隱私報告》，90%的中國消費者會聯合親朋好友共同抵制未能保護個人數據的企業，88%的消費者聲稱會向監管機構舉報泄漏隱私的企業。有趣的是，消費者也會獎勵妥善保護個人數據的公司，其中，91%的中國消費者表示，他們更愿意向個人數據有保障的可靠公司購買更多產品或服務。

全球企業是否已經對 GDPR 做好準備？

根據Veritas針對GDPR的調研表明，很多企業現在面臨諸多嚴峻挑戰，尤其在了解所擁有的數據、數據存儲位置，以及數據對企業的意義方面。主要研究結果顯示，很多企業同樣缺乏有效應對條例規定的技術。針對GDPR合規性，不少企業都還有很長的路要走。Veritas推出的2017 GDPR報告顯示：

——18%的企業擔心，不滿足合規要求將最終導致公司破產

——32%的企業認為，他們沒有合適的技術來滿足GDPR的要求

——約40%的企業無法準確識別和定位相關數據，而這是GDPR條例要求企業所必須擁有的能力

——平均而言，企業將在2018年投入130萬歐元來改善GDPR合規性

GDPR對中國企業有何影響？

GDPR 將會影響到全球各地的公司，包括為歐盟公民提供服務和/或商品的中國企業，同時它也會監控歐盟境內數據主體的行為。例如，如果一家中國企業經營一個可能面向歐盟消費者，提供商品或服務的網站，則該企業可能屬于GDPR的管轄范圍，因為它可能擁有歐盟消費者的個人數據。

作為全球發展最快的經濟體之一，中國企業的業務范圍已經迅速擴展到全球各地，這當然包括歐盟成員國。大型中國跨國企業，例如阿里巴巴、騰訊和海航等等，小米、摩拜、ofo、大疆等越來越多的后起之秀也開始將觸角伸往歐洲。毫無疑問，GDPR 法規也適用于這些企業。

應該由哪個部門負責GDPR？

很多企業并不是十分了解企業內部數據的管理權歸屬。高管常常認為CIO是負責GDPR的關鍵人物，而CIO又認為這是高管的職責。公平地說，這需要多個職能部門的配合。這種跨職能性意味著，企業需要在創建合規和數據治理文化時，徹底改變思維模式。確保GDPR合規性不再只是CIO一個人的職責，而是需要所有部門的共同努力。

GDPR對企業有何好處？

雖然GDPR帶來了嚴苛的規章制度，但也為企業提供了戰勝競爭對手的機遇。很多客戶經常在發生數據泄露登上頭條時，才會認真檢討公司的數據政策。

隨著GDPR的實施，企業將能夠重新思考現有的流程，更高效地查找、分類和過濾信息，從而最終讓數據變得更易于管理和更清晰，使企業收獲更多更高的信任。此外，遵守GDPR的企業將能夠通過有效的數據管理，更好地為客戶提供以信息為中心的解決方案，獲得更高的品牌知名度和客戶忠誠度。

Veritas的企業合規性檢查清單：

a)定位

滿足GDPR要求的關鍵的第一步是要全面了解公司擁有的所有個人數據位于何處。制定有關信息存儲位置、數據訪問權限所有者、數據保存時間以及數據傳輸位置的數據地圖，這對了解企業如何處理和管理個人數據至關重要。

b)搜索

目前歐盟居民可以通過提交一份“主體訪問申請表 (SAR)”來申請查看相關公司持有的所有個人數據。他們有權要求企業糾正（如有錯誤）、導出（以合適的導出格式）或刪除其數據。企業需要有能力及時滿足這些需求，避免GDPR的罰款風險。企業應該部署相關技術，建立針對所有用數據的實時查看能力，通過基于自動化策略的方法來發現、分類和管理信息。

c)最小化

數據最小化是GDPR的主要原則之一，這是為了確保企業減少所存儲的個人數據的體量。這可以通過僅在一段時期內保存與原始目標直接相關的個人數據，來實現這一目標。企業應該部署和執行能夠隨著時間演進自動讓數據失效的數據保存政策。

d)保護

根據GDPR條例，企業有責任實施技術及企業相關措施，來展示他們已經將數據保護集成到了所有數據收集和處理活動中。

e)監控

GDPR 規定，所有企業都有責任在出現特定類型的數據泄漏時上報給相關監管機構，并在某些情況下通知受影響的個人。企業應該確保自身有能力監控可能的泄漏事件（比如意外或不尋常的文件訪問模式），并快速啟動報告流程。

總而言之，企業應該將GDPR視為一種新機制——負責地使用和管理企業數據，負責地對待客戶和供應商。GDPR不僅能夠促進企業建立遵守數據隱私法規的責任文化，還能夠幫助企業贏取更多信任，提高品牌知名度，增強消費者關系。