你可能已经听过《一般数据保护条例》，简称 GDPR。但你的企业是否符合其合规性要求呢？
如果你觉得不符合，你并不孤单。
GDPR 于 2018 年 5 月 25 日生效。但是，9 个月后，只有 29% 的欧盟企业完全合规。而且，尽管大多数企业都知道这项法律及其影响（没错，这些影响也包括罚款风险），但情况依然如此。
更重要的是，你可能会认为，如果你的企业位于美国，GDPR 就不适用于你，但情况不一定如此。如果位于欧盟的用户可以访问你的网站，GDPR 就适用。
基于这一点，下面我们来看看 GDPR 最重要的原则，以及它们对你的小型企业意味着什么。我们还会带你了解实现 GDPR 合规需要采取的步骤。
GDPR 实现了欧盟范围内的数据保护法律的标准化，并力求使其与当前技术发展相适应。更重要的是，它旨在：
如果你经营的是小型企业，其实无论企业规模大小，GDPR 都意味着你需要遵守一系列全新的法律义务。
首先，这项法律赋予个人用户要求企业实施以下行为的权利：
更重要的是，GDPR 创造了“隐私设计”这一概念。这意味着：
只要企业收集或跟踪实际位于欧盟境内的用户的个人数据，GDPR 就适用。
该法规将“个人数据”定义为“与某位已识别或可识别的自然人相关的任何信息”。换句话说，如果数据可用于识别个人身份，那么它就是个人数据，因此受 GDPR 保护。这包括：
更准确地说，这项法律同时涵盖线上和线下的数据收集与跟踪。因此，无论你是用 CCTV 监控办公室，还是用 Google Analytics 收集网站访客数据，GDPR 均同样适用。
欧洲数据保护委员会强调，个人的国籍和身份不在适用范围内。如果在收集或跟踪个人数据时，该用户实际位于欧盟境内，GDPR 就适用。无论该用户是欧盟公民、欧盟居民，还是只是游客，均不受影响。
更重要的是，企业不必实际位于欧盟境内即可能适用 GDPR。如果欧盟境内的用户可以访问你的网站，这就足够了。你需要符合 GDPR 的要求。
违反 GDPR 可能会导致高额处罚。如果违反规定，企业可能面临年营业额 4% 或 2000 万欧元（约 2300 万美元）的罚款，以较高者为准。
不可以。只要企业收集欧盟境内的用户的个人数据，GDPR 就适用。无论你是独自运营，还是在六大洲都有办事处，这一点都适用。
不过，如果你的员工人数少于 250 人，则无需保留数据处理活动的书面记录，除非：
许多小型企业和个体经营者不属于前三类豁免范围。
但第四项呢？ 比利时隐私委员会指出，并非所有数据处理都是“定期”的，即便你可能每天都在进行这些处理。根据这一解读，例如，你在下单或与客户沟通时所使用的个人数据，便无需进行记录。不过，第 29 条工作组（欧洲数据保护委员会的前身）发布的一份立场文件似乎表明，应当按字面意思来解读“定期”。欧洲数据保护委员会也同意这一点。由于这一立场非常不明确，即使你认为自己可以豁免，最好还是保留记录。谨慎总比后悔好。
适用。如果美国公司满足以下条件，GDPR 就适用：
如果你想继续在欧盟开展业务，则必须遵守 GDPR。否则，你可能会面临巨额罚款。如果你不在欧盟开展业务，你有两个选项：
GDPR 刚生效时，许多美国网站切断了欧盟用户的访问，以免触犯该法规。例如，截止 2018 年 8 月，超过 1,000 个美国新闻网站在欧盟不可访问。一些出版商已经决定永久退出欧盟市场。Lee Enterprises 发言人 Charles Arms 评论道：“我们的本地新闻网站中来自欧盟和欧洲经济区的 Internet 流量微乎其微，我们认为屏蔽这些流量符合我们本地媒体客户的最大利益。” 不过，现在很多美国网站已经成功在欧盟重新上线，而且没有任何问题。你的小型企业网站也可以在欧盟上线，而且不会惹上麻烦。这就引出了下一个要点。
让你的小型企业走上符合 GDPR 要求的道路，并没有你想象的那么难。这份 GDPR 合规检查清单可以助你一臂之力。
你应该知道自己收集了哪些个人信息，以及其中是否有敏感信息，即是否属于 GDPR 第 9 条和第 10 条中的类别。你还应该问自己：
如果被问到这些问题，你需要能够回答。
除非你有合法依据使用个人数据，否则必须先征得个人同意。此类同意必须满足以下条件：
你必须保留书面同意记录。你还必须支持快速且简单地撤回同意。符合 GDPR 的客户关系管理软件可在此时提供帮助。具体而言，它能够：
你的企业需要对你收集的个人数据负责。如果这些数据落入坏人手中，你还可能面临罚款。因此，请：
你必须在 72 小时内向监管机构报告严重泄露事件，否则可能面临罚款。确保你已建立报告流程。更重要的是，培训你的员工，使员工：
这一点毋庸置疑：实现 GDPR 合规既耗时又成本高昂。在 2018 年 5 月 25 日法规生效前夕，英国小型企业平均花费约 600 小时进行合规准备。这还不包括财务成本。全球范围内，中小型企业在 GDPR 合规方面已花费 130 万美元。同样，不合规也会对你的盈利造成惊人的影响。在首起 GDPR 案件中，一家德国社交网络因未能保护用户个人数据导致被黑客窃取了 33 万个电子邮件地址和密码，因而被罚款 2 万欧元（约 22,600 美元）。不过，尽管你可能将 GDPR 合规看作一种负担，但这样做也对小型企业产生了积极影响。原因包括：消费者从未像现在这样重视隐私。而且，他们也期望那些掌握其信息的企业能同样重视这一点。一项近期研究显示，69% 的美国消费者甚至表示，他们希望美国出台类似 GDPR 的法规。更重要的是， CMO委员会的一项研究发现，那些为 GDPR 做好准备的企业，在消费者互动、忠诚度和信任度方面均获得了更好的成效。显然，GDPR 不仅仅是一套为了避免罚款而必须遵守的规则。没有人喜欢自己的私人信息在未获同意的情况下被获取，也不会希望自己的数据被存放在容易被犯罪分子窃取的地方。因此，通过采取措施实现 GDPR 合规，你可以把你的小型企业定位为真正关心客户隐私数据的企业。这可以让你在竞争中获得优势。
Marin 是 Microsoft 市场营销团队的一员。他很高兴地看到，企业家如何更好地创办、管理和发展他们的企业。
业务见解和理念无法作为专业的税务或财务建议。请联系你自己的税务或财务专家来讨论你的情况。
关注 Microsoft 365