中國版“GDPR”正呼之欲出。
在今年五月下旬結束的“兩會”上，全國人大常委會工作報告在下一步主要工作安排中提出，將圍繞國家安全和社會治理，制定生物安全法、個人信息保護法、數據安全法等相關法規。這是自去年網信辦發布《數據安全管理辦法》征求意見稿之后，我國在數據安全法規領域的又一項重磅動向。
法律專家指出，目前計劃出臺的兩部法律各有側重。《個人信息保護法》更多的是從保護公民隱私的角度來看待數據安全問題，該法規有望最終確定“個人信息”這一概念的內核及外延，理順各個信息主體之間的關系，并針對個人信息的收集、存儲、使用、共享等多個方面做出規定[1]。而《數據安全管理辦法》則有望從國家安全、公共安全的角度出發，對先前法規中，一些尚不明確的部分進行限定，比如在此前的征求意見稿中，就首次劃定“爬蟲”紅線、確定網絡運營者提供隱性政策，并將數據安全責任人法定化[2]。
隨著數字經濟在全球范圍內的蓬勃發展，許多國家及地區近兩年來均陸續出臺了數據保護及安全領域的相關規則條例，諸如歐盟通用數據保護條例（GDPR）、加州消費者隱私法（CCPA）、新加坡個人信息保密條款（PDPA）和日本個人信息保護法（PIPA）等，不一而足。其中，引起最多討論的要數今年1月1日起生效的CCPA和剛剛度過兩周年紀念日的GDPR，從這兩部法律的具體條文和實施現狀入手，或可窺見未來企業在我國數據合規方面的一般趨勢。
就今年生效的CCPA來看，作為扎根于消費者立場的法規，CCPA的具體貢獻在于規范了數據的商業化利用，并對“個人信息”進行了較為寬泛的定義，將家庭、身份關聯的信息和設備信息均納入“個人信息”的范疇[3]，這無疑提高了美國隱私保護的標準。
對企業而言，作為地區性法規，CCPA卻并不“止于”加州。舉一個電商相關的例子，即使電商網站不設立在加州，電商也需遵循CCPA的規定，因為該法案可以用于在其網站上購物的加州居民。這樣一來，CCPA所影響的范疇大大拓寬，跨州、跨國企業均需將其納入合規考量。
另一方面，就剛在5月度過兩周年紀念日的GDPR來看，企業面臨的情況或許更為棘手。數據顯示，僅2019年，歐盟對違反GDPR的企業及機構就開出了逾4.28億歐元的罰單[4]。公開報道顯示，在GDPR生效的第一年，與其相關的投訴就達14萬次之多，截止今年3月，當局針對GDPR違規行為則進行了231次罰款及制裁[5]。罰單以外，不少企業也在兩年間真實地體會到理想與現實的差距。在GDPR正式生效之前，78%的公司自信地表示他們已做好合規準備，但凱捷咨詢的調研結果卻顯示，在法規實施后，僅28%的公司成功遵守GDPR[6]。
在Veritas看來，無論是CCPA還是GDPR，企業失守“數據合規”，關鍵原因可以歸結于以下五點：
- 存在合規分歧——企業或組織中的各部門對合規存在分歧，往往是合規失效的前兆。成功的數據合規仰賴法務部門，IT部門、管理層及數據安全責任人的通力協作。關鍵利益相關者需對公司或組織的合規情況達成共識，方能正確評估潛在風險，采取相應措施。
- 缺乏領導層支持——在業務執行中，毋庸置疑，如果領導層對一個項目不予重視，那項目相應地也很難獲得資金及人力支持。推及合規項目，道理亦然。合規項目的負責人應向企業領導層充分解釋數據泄露的風險所在，并強調其可能產生的財務罰款及聲譽成本，對客戶數據隱私不以為意的企業，最終都將嘗到失去客戶信任的苦果。
- 項目范圍蔓延——任何項目都忌諱不抓重點及無止境的擴大任務邊界。成功的項目仰賴于項目經理妥善分配任務，并基于此劃定可實現的項目范圍，確定目標及具體行動方針。企業必須明確的針對具體合規項目中的挑戰，對目前的數據存儲情況有所認知，方能取回數據控制權的第一步。
- 失于“全局”視角——對于那些只想采取輕微措施卻心存僥幸試圖實現合規的企業，敗局往往是注定的。對合規條例進行完整解讀，是企業成功實現數據合規的先決條件。此外，法條仍會不時的調整，企業應對每次更新保持關注，及時修補自身策略，從而確保能跟上合規節奏。
- 局限于“眼前”——合規是企業應盡的責任，但企業或許可以換一個視角，將其看作潛在“數據機遇”。那些對“數據洞察”予以投資的企業，有望在合規之外，改善其數據管理現狀并降低數據存儲成本，增強投資回報率。
實現數據合規并非一夕之功，在中國起草數據安全相關法律的當口，Veritas建議，企業不妨以此為切口，重新審視自身的數據管理策略，并將未來重點放在提升“數據洞察”力上。
企業若投資“數據洞察”力，將有助錨定數據存儲位置、洞察訪問權限歸屬及數據留存期限。在此基礎上進一步循跡敏感數據，并根據實際情況制定相應的刪除或留存策略，企業能落實更好的數據風險管理。
在助力合規之外，“數據洞察”亦能幫助企業優化數據管理策略，減少IT支出。進入數字新時期后，許多企業從原有的物理硬件存儲，逐步轉向“云”或者“多云”。然而，在數據量暴增的當下，基于云服務按使用量的計費方式，數據越冗雜，往往意味著企業必須承擔更高的IT支出及服務費用。數據洞察在發現敏感信息之外，亦能幫助企業洞察無用信息，并放心刪除數據，最終降低IT成本。
伴隨著今年“新基建”概念在我國的正式提出，越來越多的企業與組織有望加速其數字化轉型和“云上征途”。但在享受數字紅利之外，企業也應將規范自身數據的使用，真正將消費者及個體的數據隱私權利納入考量，踐行應盡義務的同時，為即將來臨的全新合規挑戰做好準備。
[1] 財經雜志，個人信息保護法為什么值得期待？
[2] 經濟觀察網，首次劃定“爬蟲”法律紅線：詳解《數據安全管理辦法》征求意見稿還有哪些變化
[3] 騰訊網絡安全與犯罪研究基地，GDPR VS 加州隱私法：歐美這兩部個人數據保護法規有什么差異？
[4] CoreView，GDPR罰單追蹤明細
[5] Help Net Security，回顧GDPR兩周年
[6] ZDNet，僅三分之一的企業實現GDPR合規
關于 Veritas
Veritas Technologies 是全球數據保護及數據管理領域的領導者。超過八萬家企業級客戶, 包括 87％ 的全球財富 500 強企業，均依靠Veritas化解 IT 復雜度并簡化數據管理流程。Veritas多云數據服務平臺可提供自動化的數據保護，無論何處都能協調數據冗災恢復，確保關鍵業務數據及應用的7x24實時穩定運行，同時也為企業提供數據洞察，實現數據合規。Veritas在可靠性、擴展性以及靈活按需部署方面擁有很好的聲譽，支持超過800種數據源，100 多種操作系統， 1400多種存儲設備以及60類云平臺。欲了解更多詳細信息，請訪問 www.veritas.com 或者關注 Veritas 官方微信平臺：VERITAS_CHINA（VERITAS中文社區）。
Veritas，Veritas標識、 以及NetBackup 是 Veritas Technologies LLC 或其附屬機構在美國和其他國家/地區的商標或注冊商標。其他名稱可能是其各自所有者的商標。
京公網安備 11010502049343號