埃森哲-欧盟通用数据保护条例：立即行动-2018.5-8页

欧盟通用数据保护条例（GDPR）总结

核心内容

欧盟通用数据保护条例（GDPR）是近二十年来数据隐私规则领域的重要变革，对高科技企业产生了深远影响，并波及全球多个国家。该条例于2018年5月25日正式生效，适用于所有处理欧盟公民个人数据的组织，无论其数据存储或处理的地理位置。

主要观点

• 全球影响力：GDPR的影响不仅限于欧盟，还扩展至全球范围，促使非欧盟企业也需遵守其规定。
• 责任共担：GDPR引入了“责任共担”原则，不仅数据控制者需负责，数据处理者（如云服务提供商）也需承担直接合规责任。
• 个人权利增强：GDPR赋予个人更多权利，包括知情权、同意权、被遗忘权等，要求企业必须提供透明的数据管理机制。
• 严格处罚机制：违反GDPR的企业将面临高达2000万欧元或全球年营业额4%的罚款（以较高者为准）。
• 合规挑战大：多数企业尚未完全准备好应对GDPR，特别是在数据追溯、用户同意、数据删除和第三方合规等方面存在较大困难。

关键信息

GDPR八大基本要求

1. 数据存储位置可追溯：企业必须清楚掌握数据存储位置，目前仅70-80%的企业能够实现。
2. 明确用户同意：数据收集和处理需获得用户明确同意，且不得用于未经同意的用途。
3. 隐私机制全面集成：隐私保护需贯穿所有系统和流程，确保产品和服务符合隐私策略。
4. 数据可移植性：用户有权将数据以可机读格式传输至其他平台或组织。
5. 数据删除能力：企业需具备彻底删除用户数据的能力，以满足“被遗忘权”要求。
6. 数据泄露报告机制：企业需在72小时内向监管机构报告数据泄露事件，目前仅有1%的云服务供应商能在24小时内通知客户。
7. 第三方供应商合规：企业需确保其合作伙伴和供应商符合GDPR标准，划分责任与义务。
8. 隐私保护人员配备：企业需建立隐私保护机制，培训员工，必要时聘请数据保护官。

企业是否已做好准备？

• 数据追溯：多数企业尚未具备完整的数据追溯能力，尤其是对剩余20%数据的管理存在困难。
• 用户同意：企业需确保用户知情并明确同意数据的使用，否则不得进行任何数据处理。
• 数据删除：目前仅28%的IT人员和决策者了解“被遗忘权”，且多数企业未有效实施数据删除流程。
• 第三方合规：90%的企业担心其GDPR合规能力，需加强供应商管理和风险控制。

立即行动建议

为确保GDPR合规，企业应采取以下措施：

1. 制定GDPR合规战略：明确适用范围，规划跨国家和跨部门的合规流程。
2. 评估合规能力：对企业当前的数据处理流程、技术能力和组织结构进行全面评估，可借助外部机构提高效率。
3. 选择合规供应商：确保数据处理供应商符合GDPR标准，优化数据供应链合作架构。
4. 建立隐私保护机制：培训员工，明确职责，设立隐私保护岗位，如数据保护官。

合规问题案例分析

• 案例背景：某零售商使用云端ERP系统，该系统包含第三方插件用于支付处理。2018年9月发生数据泄露。
• 责任归属：根据GDPR，ERP供应商和支付插件供应商都可能承担合规责任，因他们均参与了数据处理过程。

联系信息

如需进一步了解如何制定合规战略、评估GDPR成熟度或执行合规计划，可联系：

• 凯文·科林斯 (Kevin Collins)
  董事总经理
  kevin.j.collins@accenture.com
  +16503034633

• 马克·埃格纳（Mark Egner）
  高级经理
  mark.egner@accenture.com
  +14257660886

注释

1. www.eugdpr.org
2. GDPR Analysis of 20,000 Cloud Services in September 2016 by Skyhigh Cloud Security
3. "State of European Privacy Survey," October 2016, Symantec Security
4. "State of European Privacy Survey," October 2016, Symantec Security
5. GDPR Analysis of 20,000 Cloud Services in September 2016by Skyhigh Cloud Security
6. "State of European Privacy Survey," October 2016, Symantec Security
7. GDPR Analysis of 20,000 Cloud Services in September 2016by Skyhigh Cloud Security
8. "State of European Privacy Survey," October 2016, Symantec Security
9. "Data Privacy Laws: Cutting the Red Tape," Ovum Market Research

关于埃森哲

埃森哲是一家全球领先的专业服务公司，总部位于爱尔兰，业务覆盖40多个行业及企业运营的各个职能。公司致力于通过创新和数字化解决方案，帮助企业提升绩效和全球竞争力。在大中华区，埃森哲拥有约1.5万名员工，分布于多个主要城市，助力中国企业实现数字化转型。