欧盟GDPR条例即将生效，留给中国企业的时间真不多了

欧盟的GDPR，被大家称为是目前这个星球上最先进和最严格的隐私保护制度，将于2018年5月25日生效，注意啦，只剩百余天了！

这将影响到欧盟中所有企业及与欧盟有业务来往的企业的运营。在调查中，有高达96%的公司承认他们并不理解GDPR的规定。不了解GDPR新规，如果不小心违反了，后果将会非常严重！什么是GDPR，在数据保护方面的规定又是什么？小向将带您全面解读。

什么是GDPR？

史上最严隐私保护制度

2016年4月27日，欧盟议会通过了《一般数据保护条例》（以下简称GDPR）法律条例并将在2018年5月25日生效。该条例旨在加强对欧盟境内居民的个人数据和隐私保护。此外，它还将通过统一数据和隐私条例来简化对跨国企业的监管框架。它将取代1995年颁布的《数据保护指令》，是近三十年来数据保护立法的最大变动。

GDPR新规是在28个欧盟成员国统一实施生效的，这将使28个欧盟及欧洲经济共同体成员国的隐私保护法更具有一致性和现代性。GDPR的合规要求是相当高的，需要大多数企业投入大量的人力、财力才能得以实现。

目前，对于GDPR的正面阐释，是公司企业可通过给消费者一种自身数据被合理存储和保护的安全感，来赢得消费者的信任。GDPR不是一个负担，相反，它被视为在世界第二大贸易集团（欧盟）增加业务的好机会。

适用主体是谁？

全世界的公司

GDPR要求：
① 在欧盟成员国有法人实体的公司；
② 在欧盟没有设立实体公司，但因为业务关系而持有欧盟居民个人资料的公司。

也就是说：

全世界各地的公司，无论数据存储和处理地点在哪儿，只要在欧盟成员国境内开展业务时，必须保护欧盟成员国民众的个人资料与隐私，即使公司不在欧盟境内做生意，但只要公司有任何来自欧盟成员国的客户，也必须遵从GDPR。

在数据保护方面

主要规定是什么？

GDPR要求：

① 公司必须设立一个数据保护官（Data Protection Officer，DPO）。数据保护官必须直接汇报给最高管理层，其职责是监管和规范数据负责人和数据处理者的数据活动。
② 公司需要保留用户数据监管信息，并定期删除无关数据。
③ 公司必须部署合适的工具用以保护数据，以防数据丢失、损坏或泄露。当发生任何数据泄露相关事件，数据管控者与数据处理者需要在72小时内进行报告。
④ 公司处理个人数据必须要有合法理由，包括数据主体的同意、为了签订或履行合同需要、遵守法定义务的需要、为公共利益或行事政府授权以及为追求数据控制者的合法利益等；
⑤ 当用户不再希望个人数据被处理并且数据控制者已经没有合法理由保存该数据，用户有权要求删除数据。
⑥ 用户有权并可以无障碍的将其个人数据以及其他数据资料从一个信息服务提供者处转移至另外一个信息服务提供者处。

⑦ 公司禁止收集处理反映个人种族或民族起源、政治观点、宗教/哲学信仰、工会组织成员的数据、个人基因识别数据、生物数据、涉及健康、性生活或性取向的数据。但在例外的情况下也可以收集加工以上数据，如已获得个人的明示同意，或数据控制者因处理劳动关系、社会保险之需要在法律允许的范围内已采取了适当的保护手段等。

⑧ 公司处理16岁以下儿童的个人数据，必须获得该儿童父母或监护人的同意或授权。各成员国可对上述年龄进行调整，但是不得低于13岁。
⑨ 公司需要实现数据的“缺省保护隐私”，即这种数据保护的隐私设计需要有默认的两个原则，一是数据采集与数据使用目的的一一对应原则；二是数据采集的最小化原则。

违反GDPR

将受到什么惩处？

GDPR的处罚规则是：

对于违反GDPR的行为，严重违规者罚金将会是上限2000万欧元或该企业全球年营业额的4%（以两者较高者为准）；一般违规者罚金将会是上限1000万欧元或该企业全球年营业额的2%（以两者较高者为准）。

毫无疑问，对利润微薄的企业来说，巨额罚金简直是一个噩梦。大家可能对4%的总收入没什么概念，举个简单的例子：苹果公司最近两年的年收入都超过了2000亿美元，如果苹果公司严重违反了GDPR的规定，那么罚金就有可能高达80亿美元。

我的企业应做

哪些准备工作？

① 了解企业拥有的数据及存储位置

企业应弄清楚自己掌握的是欧盟公民的什么数据，提前做好准备，主动关注用户敏感数据的走向。在 GDPR 明年开始实施的时候，对数据泄露的相关知识了解的越多，也就会越有准备。

② 确保供应链安全

大多数企业的供应链都很长。比如一级金融机构有15000家供应商/合作伙伴，而这些合作伙伴大多都拥有金融机构中的个人信息。在 GDPR 的实施下，数据拥有者和流通者都有义务保护欧盟公民的隐私。企业应确保供应商也有足够的安全防范意识和控制措施。

③ 完善措施及响应计划

为满足 GDPR 合规要求，企业可能需要在内部部署和云基础设施环境中部署一种或多种不同的加密方法，在数据安全专家中科同向团队看来，可从以下方面着手：

✓ 服务器：包括对文件、应用、数据库和全磁盘虚拟机加密。
✓ 存储：包括通过网络连接存储和存储区域网络加密。
✓ 介质：通过磁盘加密。
✓ 网络：例如通过高速网络加密。

另外，还需要强密钥管理以保护加密的数据，以及保证删除文件和满足用户被遗忘权。企业还需要一种方式来验证用户身份和交易的合法性，以及证明合规性。所以当前使用的安全控制措施一定要是可以证明和可以审计的。

④ 即刻制定符合 GDPR 法规的安全流程

企业需要提前建立好安全流程，在事件发生的时候才知道具体应该怎么做。因为 GDPR 留给大多数企业的时间只有72小时，并且还要注意 GDPR 中还谈到的公民数据的其他权利，包括数据提供权，删除权，转移通知权和用户知情权。必要时可任命一名数据保护专员。

为实现合规，数据安全专家

中科同向能帮您做些什么？

在数据保护领域具有10年经验的中科同向，能够确保您的企业提供合规的一体化数据安全解决方案，全方位保护和管理数据并符合GDPR规则要求。

① 数据存储位置可控：

中科同向数据存储以云计算架构部署，同样，企业也可选择两地三中心的部署方式，是在欧盟还是本地由企业决定。

② 允许数据修改：

中科同向可为企业开放其存储的个人数据，以便消费者进行修改，同时，能保证不会有因进行任何修改从而导致数据本身无法使用的风险。

③ 数据加密：

中科同向所进行的数据存储都是经过自动的加密技术处理，且内置管理密钥，最大程度保障数据安全。

④ 防范勒索病毒：

中科同向高性价比的数据保护产品提供多种备份方式，并对操作系统不可见，即使被病毒感染的文件也不会感染到备份数据。

⑤ 数据恢复简便、快速：

中科同向具有业内领先的数据恢复技术CDP，高性能的容灾额可做到恢复时间目标和恢复点目标均为零（即RTO =0，RPO=0），保障业务的连续性。

⑥ 基于区块链的存储技术：

中科同向分布式数据存储融合区块链技术，由于分布式的特性，保证数据其他分布片段的数据不被修改，为数据安全多添一层防护。

★ ★ 结语：
在GDPR合规之路上，如您遇到问题，可随时联系中科同向技术团队。为您的企业早日顺利进军欧洲市场，我们将全力支持直到完成合规流程！