GDPR：有關新資料保護法規的 9 個問題您需要了解的一切

《一般資料保護規範》(GDPR) 將於2018 年5 月25 日在歐盟生效。同意：資料收集。但這實際上改變了什麼？我們建議你透過9個問題看得更清楚！

《一般資料保護規範》(GDPR) 旨在保護與歐盟公民私生活相關的資料。它的主要目的是協調不同國家的不同做法，以對跨國公司及其資料收集施加更大的影響，特別是 GAFAM（Google、蘋果、Facebook、亞馬遜和微軟）。還可以提高歐盟公司和政府機構的 IT 安全性，並保護他們免受工業間諜活動的侵害。

當然，主要目標首先是提高歐洲公民個人資料的可見性和控制力：收集哪些資料、出於什麼目的以及負責收集資料的公司將保留這些資料多長時間。正如您將看到的，該文本還應該減少收集的數據量，因為公司必須向利益相關方和當局證明其收集的合理性，並且將不再真正能夠在不冒（非常）嚴厲制裁風險的情況下做他們想做的事。

什麼是個人資料？

這些都是直接或間接（透過交叉引用）可以識別人們身份的資料。這可以是姓名、名字、郵寄地址、電子郵件、IP 地址、電話號碼、居住地、出生地點和日期、社會安全號碼、信用卡號碼、車牌、照片、年齡、性別、DNA、指紋、興趣、意見、收入、網路行為（例如造訪的網站）、社交網路上的互動、與其他人的連結、健康資料、地理位置、對話等。

這些數據在公司中無所不在，甚至在專業通訊錄和客戶資料庫中也是如此。因此，這不僅限於來自陷入劍橋分析醜聞的 Facebook 等社群網路的數據。

GDPR 涵蓋哪些人？

所有向歐盟居民提供商品、服務或處理資料並在單一市場運作的參與者（公司、協會、國際組織）均受到 GDPR 的影響。還有他們的分包商。文字指定“資料控制者和分包商實施適當的技術和組織措施，以確保適合風險的安全等級”。

這些公司、組織和協會可能在歐盟擁有席位，也可能沒有席位：只要他們處理歐盟公民的數據，他們就必須遵守​​！

這會為企業帶來什麼改變？

公司必須能夠隨時知道資料在哪裡、如何收集、出於什麼目的存儲，並將所有這些傳輸給請求者。他們必須採取一整套措施來為文本的應用做好準備：

• 責任：公司有責任採取一切措施保證遵守歐洲文本，並在上訴時證明其遵守 GDPR。
• 從產品或服務的設計保護個人數據
• 預設情況下，安全性必須很強，如果資訊系統的完整性受到損害，組織必須承擔後果
• 指定一個資料保護官或資料保護官：他必須確保遵守 GDPR 並與當局聯絡
• 影響研究：必須在設立服務之前進行這些研究，以便找到減少服務對私人生活影響的措施

此外，收集的數據必須保留在歐盟，除非獲得豁免。如果發生資料外洩和/或駭客攻擊，必須在 72 小時內通知相關人員以及法國 CNIL 和/或歐盟 27 個國家之一的對應機構。這些違規行為必須在資料外洩登記冊中報告。

這會為歐洲網路使用者帶來什麼改變？

公司現在必須最大限度地減少收集的數據，這意味著將收集更少的有關您的數據。一旦收集個人數據，網路使用者還必須提供他們的信息明確同意。法律聲明必須解釋一下這個集合的原因，其數據將如何使用以及保留多長時間

還有數據可攜權：這意味著你可以詢問谷歌、Facebook、蘋果、亞馬遜和微軟等，以結構化格式下載他們擁有的有關您的所有資料。這也意味著該數據不會傳輸給其他人“數據控制者”僅根據您的要求。因此，這首先意味著背後（合法）出售個人資料的結束。

不遵守規定的公司會面臨哪些風險？

這些文本規定了史無前例且非常嚴厲的製裁措施，制裁金額為全球年營業額的 4% 至 2000 萬歐元。在所有情況下，將保留最大金額。此外，如果發生投訴，相關公司必須償還法律費用。我們所做的一切都是為了確保希望從單一市場中受益的公司遵守規定，即使它們是跨國公司。

文本真正適用於哪個領域？

這個問題一點也不荒謬。一般資料保護法規當然適用於由歐盟 27 個成員國組成的地區。但事實上，這份備受期待的文本所產生的影響遠遠超出了這些界線。它定義了一個在資料收集不信任的全球背景下不存在的標準。

例如，Facebook 宣布 GDPR 保護將適用於全球所有版本的社群網路。最諷刺的是，遠至美國其他公司也會採用像 Facebook 這樣的文字。

GDPR 何時生效？

該文本將於2018年5月25日生效，但新規定的效果將在此日期之前逐漸顯現。為了讓公司在諾曼地登陸日遵守 GDPR，他們必須事先徵求用戶同意（或拒絕同意）收集個人資料。

情況是這樣的Facebook 宣布了遵守 GDPR 的變更清單。文本本身是一個漫長過程的結晶。 2017年對他們來說是轉型的一年。逐漸地，越來越多的網站將對資料的收集方式進行廣泛的控制，並使下載資料變得非常容易。

文本的缺點是什麼？

與任何新文本一樣，最好不要完全忘乎所以。 GDPR 仍然缺乏判例法：文本確實規定了最低和最高制裁，但我們必須等待法院判決才能真正了解這些制裁的確切金額。 Quadrature du Net 計劃於 2018 年 5 月 25 日（GDPR 生效之日）針對 GAFAM 採取法律行動，這應該有助於澄清這一點。

鑑於在撰寫本文時，聯盟中仍有許多公司（尤其是新創公司）正在努力跟上步伐，因此可能還會出現其他不太公開的投訴。