GDPR一周年：數據合規進程任重而道遠

　　歐盟《通用數據保護條例》（GDPR）于2018年5月頒布，無疑成為了數據保護與使用合規領域的重要里程碑。GDPR為個人隱私權益提供了法律支持，并為全球數字化經濟的可持續發展提供了最佳實踐標準。其適用于所有持有歐洲公民個人數據的企業，不僅僅局限于在歐洲具有實體的企業，因此其執法權足以覆蓋全球范圍內的企業。頒布伊始，業內將GDPR稱為“史上最嚴數據保護法”，認為其將解決存在多年的數據濫用問題。

　　影響力是否達到預期？

　　GDPR頒布前曾促使各大企業在個人數據和隱私保護方面采取了相應措施，因為當時GDPR在理論和實踐兩個維度的影響力還不明確。現在距離GDPR正式生效已過去整整一年，其是否真正發揮了作用？

　　目前在歐洲，除斯洛文尼亞以外，所有歐盟國家均已將GDPR融入了國內法律。轉向國內，在《網絡安全法》和《電信和互聯網用戶個人信息保護規定》相繼出臺后，中國立法機關已經把“個人信息保護法”和“數據安全法”列入國家五年立法規劃的第一序列，個人信息保護專門立法呼之欲出。來自立法層面的支持證明GDPR的確發揮了一定作用，目前數據泄露的上報量高達以前的5倍，Cookie墻方面也有了明顯改善。

　　然而總的看來，GDPR似乎只給企業帶來了一場“雷陣雨”，尚未完全達到預期。過去一年發生的重大事件仍是今年1月的“GDPR首罰”——法國數據保護監管機構向谷歌開出的5000萬歐元巨額罰單，理由是谷歌在向用戶定向發送廣告時缺乏透明度、信息不足，且未獲得用戶有效許可。GDPR提出的大量與“數據被遺忘權”（Right to be forgotten）相關的要求則或多或少被企業規避。同時，各企業的焦點逐漸轉向了國際貿易戰、英國脫歐等更為重大的問題。因此，對于如何在公眾焦點轉移的情況下繼續推進企業的數據合規進程，GDPR任重而道遠。

　　Commvault助力數據合規進程

　　GDPR頒布前后，大量號稱是“GDPR殺手锏”的解決方案涌入市場。事實上，企業不可能通過某一種技術解決方案的部署就能實現絕對合規。然而，Commvault Activate和Commvault Orchestrate等解決方案能夠更有效地識別、索引、分類和管理數據，使企業更容易達到“數據被遺忘權”的要求，并在數據泄露時提供及時通知和可視化管理，而這兩方面恰好是GDPR的重點。

　　例如，意大利波爾扎諾自治省因阿爾卑斯山的名勝聞名世界，共有50萬人口，但每年吸引游客多達上千萬人次，獲得經濟效益的同時也帶來了海量數據合規化管理的需求。因此，波爾扎諾自治省民事保護局選用Commvault解決方案，可以快速方便地搜索存儲在物理服務器和虛擬服務器上的個人數據以及備份文件，快速響應GDPR的要求，實現了數據合規性和透明度的管理。

　　Commvault在第一屆數據保護世界論壇上進行的民意調查顯示，大部分人對GDPR持支持態度，他們認為其有利于企業持有個人數據的透明化使用，但就達到GDPR法規要求仍有更多工作要做。

　　目前，個人信息安全成為重要的社會議題，始終牽動著公眾神經。GDPR頒布一周年并不意味著制度規范都已成熟，相反，秩序建設才剛剛拉開序幕，面臨挑戰的不僅是GDPR的適用對象，也包括GDPR本身。

　　因此，GDPR一周年給與企業的啟示是，無論規模大小，各企業都應該評估GDPR未來發展方向、復審已完成的數據合規工作，同時分析自身與GDPR標準存在的距離。企業只有不斷提升自身透明度，與消費者就如何應用其個人數據達成一致，才能最終贏得消費者信任。