号称是史上最严格的“一般数据保护条例”本月25日即将生效，身为大马商家会受到波及吗？

今年5月25日，已经实施了二十多年的《欧洲数据保护指导》将被欧盟《一般数据保护条例》（General Data Protection Regulation，简称GDPR）取代，此新条例旨在规范欧盟各国的商业行为以保护欧盟居民的个人资料，并将通过罚款、制裁和受害方赔偿来执法。

虽然实际身在欧盟区的企业和政府将需要遵守GDPR，它也可能实行于那些拥有重要欧盟客户或客户群的公司。

以下5点让你快速掌握要点： 

1.设置双重选择：

从2018年5月起，新规定将不再允许公司向互联网用户发送“不请自来”的电子邮件。

他们需要为其电子邮件广告系列设置双重选择并加入发送系统，以清楚明确地告知用户其收集的数据并获得他们的同意。

第一次选择将在个人填写表格时给与介绍收集电子邮件的原因。一旦客户通过在框中打勾接受了此步骤，第二次选择将加入电子邮件进行确认。在该确认中，该人员同意接收他们在第一次选择加入期间同意的信息。

在通过此项之后，信息会被添加到数据库中。对于已经保存在你公司的数据库中的客户，则需要向其发送个性化电子邮件以获得对方许可，以继续与他们联系。

2.调整Cookies：

作为网站所有者，你必须告诉用户什么时候Cookies会收集他们浏览的信息（例如：“该网站使用第三方Cookie 来获取浏览的统计信息，如果你继续使用该网站，我们会假设您已接受此类使用。”）

但是，目前即使用户访问网站上的其他页面时未点击“确定”或“我了解”按钮，Cookie也会被下载到浏览器中。通过这一新规定，Cookies程式将通过安装新的更详细的接受按钮被加强。因此，用户将能够控制他们所有的Cookie，并且如果没有通过点击“允许或拒绝”按钮来接受Cookie，用户将不能再访问该站点。

3.数据管理：

对于不希望收集其数据的用户，公司将被要求将其加密。用化名替换用户名，以便确保个人的信息保密。此外，到访网站的访问者也有权要求彻底清除你的平台上收集的客户数据（如果需要的话），以保证对自己数据的完全控制。

4.在特定条件下通过电子邮件寻找潜在客户：

在此条款中，如果公司没有得到其客户的明确同意，这些公司将不再允许向他们的客户发送营销类邮件（无论是B2C还是B2B）。此明确授意规定也适用于在展会期间收集的邮寄名单或名片上的信息。

5.与“合规”公司合作：

这个规定不仅适用于公司本身。你的公司还将对与你合作的供应商滥用您的数据负责。因此，与“合规”的商业伙伴合作以确保正确应用此条款至关重要。

首当其冲3行业:
零售业：

最有可能处理GDPR相关个人身分资料（PII）数据的零售业，包括跨境电子商务运营、多场所零售连锁店、礼遇接待、旅游和餐饮业务。为欧盟客户提供服务的实体公司也会发现自己有责任采取GDPR PII保护措施。使用信用卡或借账卡来支付、提供送货地址信息以及参与顾客忠诚计划，这些都属于GDPR的保护范围。

医疗保健：

GDPR将其覆盖范围，扩展到存储或处理欧盟人员医疗信息的非欧盟组织。GDPR为处理特定类型的PII医疗信息，提供了特别严格的保护和流程。一般而言，只有在需要患者治疗和诊断时，以及在患者明确同意的情况下，组织才可以收集和处理个人医疗信息。GDPR也提到基因数据是一个值得关注的领域。

金融服务：

金融机构经常为帐户持有人保存庞大的PII数据库存。他们还消费并生产大量极高端个人化的营销数据，以支持销售金融服务和评估商业及个人客户的信誉。

为GDPR作好准备

尽管大限将至，但大部分服务于欧盟市场或需要获取个人身分信息以进行重大交易的亚太地区企业，仍未做好充分准备。

根据安永会计师事务所举办的第三届双年度安永全球法医数据分析调查显示，亚太地区只有12%的企业制定了GDPR合规计划。

为GDPR作好准备的组织，必须着重于重新配置其业务流程和资讯科技架构，以及减少PII数据的曝。Fortinet建议亚太地区企业组织采取以下步骤，以加快GDPR合规性：

1.聘请第三方公司来评估数据保护措施以及对GDPR规则的曝露程度；

2.进行全面的数据审计，以了解数据来源，收集和处理。这应包括记录那些受GDPR影响的数据的存储位置、域内系统间的通信方式，以及任何外部云或第三方数据保管人。

3.确定数据泄漏检测和缓解所需的时间，以及为了符合GDPR要求而改进这些流程的必要条件。行动计划的这一部分还应包括详细的安全评估。

罗永良总指出，GDPR看起来似乎很繁琐，但也标志着在恢复公众对“企业带来社会福祉的能力”的信心，同时遏制社会风险上迈出重大的一步。

报道·郑美励 图片·受访者提供

报道·郑美励 图片·受访者提供

报道·郑美励 图片·受访者提供

报道·郑美励 图片·受访者提供