经不起GDPR重罚，如何安全守护裸奔”数据？

如果你对当前网络上的数据保护话题不感兴趣，那么接下来的内容可能会引起你的注意。自2018年5月25日起，任何在欧洲收集或处理的公司，若不遵守新出台的GDPR隐私条例，将面临高达2000万欧元的巨额罚款。

这笔巨额罚金不仅等同于企业全球营业额的4%，更可能对小型企业造成毁灭性打击。回想2016年4月14日，《通用数据保护条例》（GDPR）正式通过，给予了企业两年的合规窗口期。如今，这一法案已生效一年多，各企业对数据保护的关注度也日益提升。

一、了解你的数据

在GDPR的框架下，每一家在线运营的企业都被定义为数据处理者或数据控制者。数据控制者被定义为决定处理个人数据的目的、条件和方法的实体，特别是在处理欧洲网络用户信息时，这主要涉及到大多数零售商和电子商务企业。而数据处理者则是处理这些数据的实体。

在1998年的《数据保护法》中，数据处理包括组织、修改、检索、咨询、使用、传输、传播等行为。企业需明确自己正在收集哪些数据，以及如何收集这些数据。这些数据可以大致分为个人信息和敏感个人信息两大类。

个人信息包括常见的如姓名、电子邮件地址、照片、视频、音频文件等识别信息。而敏感的个人信息则更为私密，如种族、宗教信仰、健康状况等。GDPR对敏感信息的收集和处理有更严格的规定。

关于获取用户同意的两种主要方式——点击协议和浏览协议，企业也需有清晰的认识。点击协议要求用户在同意相关条款后才能进行后续操作，而浏览协议则默认访问网站即表示同意。随着法律环境的变化，点击协议成为更安全、更合规的选择。

二、强化隐私政策

GDPR立法的核心可以归结为透明度。企业需要让用户清楚了解他们的数据是如何被收集和使用的。强化隐私政策，确保条款和策略的透明度，是实现合规性的重要一步。

如果企业当前的隐私政策不够友好，难以让用户理解，那么就需要进行改进。让用户真正理解正在发生的事情是避免潜在诉讼的关键。企业还应熟悉GDPR规定的新强制性更改，以确保政策内容符合新规定。

三、数据泄露应对措施

数据安全是每一个企业的责任。一旦发生数据泄露，企业必须迅速采取行动。例如，2017年Equifax公司的数据泄露事件就警示了企业必须对可能的数据泄露风险做好准备。根据相关法规，企业必须在发现数据泄露后的72小时内通知监管部门。

一旦公司发现违反规定的情况，应立即采取措施，包括描述受影响的人数和存在的风险、提供资料保护官员的联络资料、强调正在采取的主要步骤以及详细说明对用户造成的潜在后果等。

四、结语

在数据保护这场长久战中，电子商务企业和所有在线运营的企业都必须做好准备。遵循上述四点建议，不仅可以避免巨额罚款和潜在的法律风险，还可以为用户提供更好的服务，实现企业的长期发展。

（图源：/gdpr/ ）

（编译/风口星网 编辑部）

（注：本文内容未经许可不得复制、转载或以其他方式使用。如有需要，）