文|本刊記者 張莉

5月25日，歐盟《通用數據保護條例》(GDPR)實施，GDPR被認為是歐盟有史以來最為嚴格的網絡數據管理法規，其最大的特點在于限制企業對個人用戶數據的使用權，違規企業最高可能受到2000萬歐元或全球營業額4%的罰款。換言之，未來大企業，尤其是互聯網公司在使用用戶個人數據前必須先征得用戶的同意。

歐盟史上最嚴網絡數據管理法規“嚴”在哪？

GDPR是一套針對互聯網公司在歐洲行為規范的新規定，主要關注數據和隱私保護，意在保護歐盟消費者免受身份盜用，侵犯隱私和個人數據泄漏到網上不法分子之手。GDPR對在線收集，轉移或處理消費者信息的組織或企業進行管理規范，尤其是敏感信息，如姓名、地址、信用卡號碼等。

GDPR規定通過網絡處理個人信息的企業或組織對確保消費者的數據安全應承擔法律責任，如企業應保存處理數據方式的記錄，并對導致數據泄露的機構實施嚴厲的法律處罰。據了解，GDPR早在2016年就完成立法程序，經過兩年的過渡期后于5月25日正式生效，并取代1995年的《數據保護指令》。

新實施的GDPR拓展了有關網絡用戶數據的定義范圍，除了姓名、證件號碼、地址和網絡IP地址等常規個人信息，還將反映種族、宗教信仰甚至性取向的信息都納入了保護范圍。條例賦予了用戶“被遺忘權”、數據“可攜帶權”等權利，大幅增強了對個人數據的保護。GDPR還要求企業必須以合法、公平和透明的方式收集處理信息，必須用通俗的語言向用戶解釋收集數據的方式，且企業有義務采取一切合理措施刪除或糾正不正確的個人數據。

根據GDPR中的要求，每個歐盟成員國都必須設立一個監管機構，這些機構將進行跨國合作，以確保企業遵守數據保護新規。歐洲數據保護委員會的主要職責是，保障GDPR在所有歐盟成員國的一致執行，同時促進各成員國監管機構之間的合作，協助調解各國監管機構之間的爭議，并提出指導方針和建議。歐洲數據保護委員會的成員包括歐盟各成員國國家數據保護機構的負責人，以及歐洲數據保護主管。

德國從2017年年初就開始對其國內的數據保護法進行修正，以更好地與歐盟《通用數據保護條例》對接。盡管新條例在歐盟成員國境內統一實施，但各成員國還是保留了一定的特別立法空間。因此，在德國，一方面，歐盟GDPR將取代目前實施中的《德國聯邦數據保護法》；另一方面，同樣于5月25日生效的《德國數據保護調整和實施法》將作為對現行《德國聯邦數據保護法》的修正，對歐盟GDPR進行符合本國國情的更細化補充，包括擴大歐盟新條例下數據保護委托的適用范圍，以及對企業員工的信息保護﹑視頻監控、檔案設置，還有受影響人權利方面等設置特別規定。

中企不可大意

為保障新規的推行，歐盟增設的獨立監管機構—歐洲數據保護委員會也于同一天正式成立。根據GDPR中的要求，每個歐盟成員國都必須設立一個監管機構，這些機構將進行跨國合作，以確保企業遵守數據保護新規。歐洲數據保護委員會的主要職責是，保障GDPR在所有歐盟成員國的一致執行，同時促進各成員國監管機構之間的合作，協助調解各國監管機構之間的爭議，并提出指導方針和建議。歐洲數據保護委員會的成員包括歐盟各成員國國家數據保護機構的負責人，以及歐洲數據保護主管。

許多人可能認為，如果公司是在中國處理數據，就不用遵守歐盟新條例。但事實上不是這么回事，條例將不僅對位于歐盟內的企業發生效力，對于歐盟域外企業，無論企業在歐盟境內有無分支機構，只要它們存儲、處理、交換任何歐盟個人的數據，也在這一條例的管轄范圍之內。

“任何公司，在任何地方，不論規模大小，如果數據庫里含有歐盟公民的信息，不論該歐洲公民身處何處，該公司均受GDPR的約束。”Ecovis北京創始人、德國律師霍毅在國際商會中國國家委員會數字經濟委員會日前舉辦的中國企業應對GDPR研討會上指出，對于臉書、推特這類美國社交網絡公司，由于它們在歐盟內有大批用戶，至少在保存、處理歐盟用戶數據時，必須符合這一條例的規定。也就是說，今后只要涉及到使用歐盟個人數據，中國公司就一定要遵守歐盟新規。

德國資深法律顧問羅伯特·費希納認為，歐盟《通用數據保護條例》會讓企業有很強的危機感，而且基本上所有的企業都會被牽涉其中。他說：“歐盟之所以推行《通用數據保護條例》，主要是為了保護公民或者個人用戶的數據與隱私權，所以該條例對企業應如何處理以及更好地保障隱私數據作出了嚴格規定。至于說哪些企業會受到該條例的約束，答案是所有在歐洲運營業務的公司，不論業務范圍是什么領域或者是以什么樣的形式。中國企業當然也會被涉及，比如那些賣東西到歐洲的網站都需要收集和處理用戶的一些基本信息?！?/p>

中央財經大學副教授劉權也表示：“比如說一個中國企業沒有在歐盟有任何分支機構，但是歐盟用戶上這個中國的網站，他注冊購買商品、購買服務。這個時候，這個中國企業如果不當收集他的信息，那么歐盟監管當局就可能對中國企業處以巨額罰款?！?/p>

對于中國公司，波蘭個人數據保護專家斯瓦沃米爾·科瓦爾斯基建議：“GDPR非常復雜，中國的規定和歐盟的有很大的不同，因此，請咨詢數據隱私領域的律師，因為在歐盟處理個人數據有很大的風險，你需要做好充分準備，而在準備之前，要明確哪些不能做，哪些能做，你需要進行識別?！?/p>

霍毅建議，企業應令員工接受相關培訓、在收集數據環節取得提供數據的客戶或者合作伙伴的同意、處理數據時要合法合規，必要時委任數據保護專員進行處理。

風險和機遇并存

人工智能企業、電子商務企業、互聯網金融企業以及新興的分享經濟企業，只要與網絡相關，與互聯網相關的這些企業，他們在開展業務的時候不可避免地要收集一些個人的信息。

GDPR的生效除了給企業帶來更多的法定義務之外，也可能帶來機遇。據凱捷數字化轉型研究院日前發布的最新報告顯示，GDPR正式生效，但85%的歐美企業未能在生效日期前按時完成數據合規工作。此外，25%的企業將無法在今年年底實現全面合規。報告指出，那些在生效日前達成合規，并重視合規以及消費者數據透明投資的企業已初見回報。對能夠保護消費者個人數據并獲得其信任的企業，39%的消費者增加了在該企業的消費，購買該企業更多產品。40%的消費者增加了與該企業的交易頻次，多達數次甚至形成了定期交易。

“在GDPR出臺前，微軟、Facebook受到的相關處罰已超過1000萬歐元。由此可見，歐盟對數據保護都非常重視，執法嚴格，并非虛張聲勢。我國企業應高度關注，并做好投入一定成本的準備。”畢馬威管理咨詢服務總監肖騰飛認為，在此大趨勢下，企業做好數據保護，可以把握增收良機，創造更多的商業價值。