史上最严数据保护法GDPR来袭，你需要知道什么？

据CNN报道，《通用数据保护条例》(GDPR)已经于5月25日正式开始在欧盟生效，它将改变世界各地公司收集和处理个人数据的方式。这部新法案将影响任何在欧盟地区拥有或使用个人数据的组织，不管它的总部设在哪里。为在欧洲销售产品的公司提供客户服务的印度呼叫中心，或者追踪欧洲人浏览历史的美国网站，都将受到影响。


一、大型科技公司

在过去的几天里，大小公司都在制定新的数据隐私政策。如果不遵守新规，将面临最高2000万欧元或相当于其全球年销售额4%的罚款。咨询公司Capgemini的研究显示，85%的公司表示，他们还没有准备好应对新法律生效。1/4的公司宣称，可能要在年底前才会准备好。

欧洲数据监管机构表示，他们将认真对待合规问题。欧洲最高司法官员维拉·朱罗瓦(Vera Jourova)周四表示:“从我们的数据中赚钱的公司，也将承担起更多的责任。”隐私拥护者已经准备起诉Facebook、Whatsapp、Instagram和谷歌，声称他们违反了新规定。

企业仍然可以为客户服务，给他们发送电子邮件，收集和存储他们的数据。他们只需要确保，他们有这样做的“合法基础”，并且尊重那些想要删除他们的数据的人的个人愿望。如果这些公司不能证明他们已经正确处理了数据，没有在72小时内报告安全漏洞，或者保存数据的时间超过必要时限，都将面临处罚。

5月25日当天，包括微信海外版、新浪微博国际版、阿里巴巴旗下的全球速卖通（aliexpress）等多家中国互联网巨头，已纷纷向欧洲区用户更新隐私政策、请求重新授权。海尔、华为等在欧洲有较大市场份额、并有意进军物联网的制造业领军者，也早已雇请专门团队应对GDPR。在早前的4月份，腾讯甚至曾通知其国际版用户，QQ将在5月停止向欧洲区用户的服务。有开发者/公号拥有者收到了微信团队的邮件，要求删除部分微信用户的个人数据有开发者/公号拥有者收到了微信团队的邮件，要求删除部分微信用户的个人数据。


过去，欧洲监管机构对大型科技公司不遵守规则采取了强硬立场。欧盟对谷歌处以24亿欧元(约合27亿美元)的反垄断罚款，并对Facebook处以1.1亿欧元(约合1.22亿美元)的罚款，原因是该公司在收购WhatsApp时存在误导行为。

专家表示，那些认真对待隐私问题的公司应该发现，新规定很容易遵守。数据保护专家理查德·麦里戈尔德(Richard Merrygold)称：“总的来说，如果你总是擅长数据保护，可能很容易适应GDPR的规定。而我担心的是那些从来没有考虑过这个问题的公司，它们现在正在仓促行动。”

但是对有些公司来说，确保他们遵守新规定的代价似乎太高了。有几家公司已经宣布，它们正从欧洲撤出，或削减为欧洲客户提供的服务。律师事务所Moye White的合伙人克里斯·艾伦(Chris L. Allyn)说：“在习惯和继续遵守新法规的过程中，可能面临潜在的巨额罚款和巨大努力，显然着将成为对欧洲投资的巨大障碍。最终，许多公司可能认为这得不偿失。”

二、游戏公司

多家视频游戏公司也在阻止欧盟公民访问其老款产品，在某些情况下，有些游戏已经完全脱机，其中包括多人射击游戏《Loadout》。该公司通过Steam应用店网站解释道：“我们没有足够的资源来更新Loadout，以便遵守GDPR的规定，而大量的玩家来自欧盟。可悲的是，虽然大公司有资源去遵守GDPR，但小企业的情况并不总是如此。”高达数十万美元的服务器升级等成本，对于独立游戏开发商来说难以承受。

其他的例子还包括：竞技场射击游戏《Super Monday Night Combat》本周早些时候因担心GDPR生效而关闭。韩国大型MMORPG《Ragnarok Online（仙境传说）》宣布从周五开始，阻止所有来自欧洲的玩家，除了俄罗斯和独联体的其他8个成员国玩家。允许玩家把个人电脑连接起来、在本地网络上玩游戏的Tunngle已经于4月份关闭，称缺乏资金来进行必要的改变。

对于玩家而言，GDPR最直观的影响就是未成年用户必须在家长的同意下才能使用相关平台的账号进行游戏。（未包含实体游戏）《英雄联盟》开发商Riot公司就在不久前宣布所有欧洲地区所有16岁以下的《英雄联盟》游戏账号持有人，必须在家长许可的情况下才能进行游戏。与此同时，有网友在Steam的控制后台发现了一段代码更新，加入了“家长同意”、“家长邮件”等信息。虽然V社还没有就“一般数据保护条例”的实施发布相关的公告，但估计欧洲的未成年Steam玩家可能在5月25日之后玩Steam游戏时会受到限制了。

三、GDPR不仅仅局限在欧盟境内

竞天公诚律师事务所上海办公室合伙人、上海市律师协会互联网业务研究委员会委员冯坚坚表示，适用GDPR的中国企业主要有两种情形：

一，在欧盟境内设有机构的中国企业，如其通过该机构开展业务的过程中涉及对个人数据的处理，不管该处理是否发生在欧盟境内，都应适用GDPR；

二，尚未在欧盟境内设有机构的中国企业，如其向欧盟境内的个人提供商品或服务的过程中（无论是否收费），涉及对个人数据的处理，也应适用于GDPR。

换言之，只要开发者的产品涉及到欧盟成员国用户的信息，就必须遵守GDPR。如果违反GDPR，将面临2000万欧元或者公司全球年收入的4%的罚款。

GDPR相关条例直指广告数据收集和推广，其生效后面临最大挑战的将是广告技术企业。上海段和段律师事务所合伙人刘春泉表示，“现在广告公司提出大数据应用的精准推荐，与用户隐私保护的规则相矛盾。”

其他被认为将成为GDPR监管重灾区的领域是大数据、云计算领域。大数据企业从事包括数据采集、数据处理、数据分析以及数据呈现，因此很容易“触雷”；云计算方面，GDPR对云服务商及使用云服务的企业均提出数据保护方面的要求，意味着两者需同时遵守包括数据授权、数据处理等规定。

文章综合自界面、36氪、21经济网