随着欧洲新隐私保护法《通用数据保护条例》(GDPR)上周五（5月25日）已开始生效并实施。这项新法案初步实施，已经在全球互联网领域掀起了轩然大波：Facebook和谷歌等美国企业成为GDPR法案下第一批被告；许多网站由于来不及做到合规，干脆暂时在欧盟地区下架；很多欧洲人收到软件服务商的邮件，恳请他们重新同意清晰版本的用户协议等。

按照GDPR的规定，无论是万事达卡和安联保险公司这样的跨国企业，还是小型制造商甚至是餐馆，成千上万家公司都须改变收集和处理欧洲个人信息的方式，即便这些公司在欧洲并没有实体存在。

何为GDPR？

什么是GDPR？GDPR即通用数据保护条例（General data protection regulation），是一项新法律，规定了企业如何收集，使用和处理欧盟公民的个人数据。它脱胎于 98 年的 Data Protection Act （ 数据保护法案 ），不过由于时代发展，98 年的那些旧条例有好多都过时了，现在人们的个人数据被滥用现象严重，也就催生了 GDPR。GDPR不仅适用于欧盟的组织，也适用于在欧盟拥有客户和联系人的组织，它的推出和应用将对全球各地的企业产生影响。

GDPR对中国互联网环境的影响

如果你是中国的开发者，需要遵守GDPR吗？只要你搜集和处理欧盟成员国的用户信息，就需要遵守GDPR。

在中国，互联网普及率逐年增高，这样的大背景下，作为消费者的我们经常会遇到下载一个APP后便会要求填写个人信息的情况，随之而来的便是大量的垃圾消息及电话，严重影响个人生活。

根据中国互联网协会发布的《中国网民权益保护调查报告2016》，我国网民一年间因为垃圾信息、诈骗信息、个人信息泄露等遭受的经济损失达915亿元，人均损失123元。虽然在这个大数据时代，网民隐私被互联网企业侵犯甚至牟利使用已在全球各地成了家常便饭，但是以前各国立法并没有完全跟上互联网的发展速度。由此可见，GDPR的推出将有效改变中国网民个人数据受侵犯的现状。

GDPR效力仅次于宪法

如不遵守GDPR，则后果很严重。GDPR对获取和管理个人信息提出了新的、更严格的要求。它赋予个人明确的权利，给高科技企业通过人工、流程和技术进行客户数据管理带来了重要影响。不仅如此，GDPR还对客户信任产生影响。根据调查，83%的受访者坚信，信任是数字化经济的基石。达到GDPR所要求的数据隐私和安全要求，是维系消费者信任和保护企业品牌的根本。同时，违规将被严令禁止。GDPR大大增加了数据保护的强制性和责任性，对违规的处罚金额提高到2000万欧元或企业全球年营业额的4%（二者取较高值）。

据统计，目前在28个欧盟国家中，有12个国家已经正式更新了其国内法，将GDPR嵌入其中，同时还有8个国家告知欧盟委员会它们将在近期尽快完成其立法程序。5月25日之后，仍有8个欧盟国家在GDPR同其国内法融合方面毫无作为，包括保加利亚、比利时、塞浦路斯、希腊、捷克、匈牙利、立陶宛和斯洛文尼亚，大多是中东欧国家。欧盟方面表示，已经对上述国家做出了警告，请它们尽快更新法律系统，否则将把它们告上欧洲法院。

新法突如其来 企业措手不及

要想全面落实GDPR，企业必须掌握所存储和处理数据的特征，从而可以全面保护数据。目前，领先企业能够成功追溯70%—80%的数据来源，但仍有许多企业尚不具备这一能力。甚至许多领先企业也表示难以探寻剩余20%相关数据的下落。

2015年，全球有十亿条客户记录遭到泄露。2016年，仅一次泄露事件就造成了十亿账户被黑客入侵。GDPR规定，如果数据遭到泄露，用户有权快速获取相关信息，这就要求企业必须在72小时内向数据保护机构报告数据泄露事件。现阶段只有1%的云服务供应商能够在24小时内向客户发出数据安全事故通知。

目前，GDPR的规定虽然强调了用户的知情权、访问权和被遗忘权，用户可以要求被告知公司掌握了自己的哪些数据并要求对其进行删除，然而，大多数企业在修改GDPR的用户隐私政策时，措辞仍然比较宽泛模糊。

根据数据分析公司SAS上个月的一份调研报告，只有7%的企业完成了合规，近半数的受访企业表示这一新规将对公司的人工智能相关项目产生重大影响。全球仅有不到一半的企业（49%）表示它们能按期达到GDPR的合规要求。不少小公司由于缺乏资源和指导，仍然处于观望状态。

值得注意的是，不光是企业，政府也受到GDPR的管辖。政府作为处理欧盟地区个人数据的“公共当局”，属于GDPR规范的行为主体之一。对于企业而言，面对如此具有威慑力的GDPR，只有三种选择，要么退出欧洲市场；要么努力合规；还有一种就是承担被罚款的风险。显然，最后一个选项不是任何一家负责任的公司愿意选择的，所以企业必须立刻敲响警钟，做好充分准备，加强对数据安全和用户隐私的保护工作。