您可能聽過《一般資料保護規定》(GDPR)。但您的企業是否符合合規性要求？
如果您認為並不符合，那麼您並不孤單。
GDPR 於 2018 年 5 月 25 日正式生效。但在九個多月後，只有 29% 的歐盟企業完全符合規範。儘管大多數企業都已了解這項法律及其影響 (沒錯，其中也包括遭處以罰款的風險)。
更重要的是，您可能認為如果企業位於美國，GDPR 就不適用於您，但情況不一定如此。只要位於歐盟的人員可以存取您的網站，GDPR 就適用。
有鑑於此，以下將介紹 GDPR 最重要的原則，以及這些原則對您的小型企業的意義。我們也會逐步說明您需要採取哪些步驟，讓您的企業開始朝 GDPR 合規邁進。
GDPR 將歐盟各地的資料保護法律標準化，並試圖使其符合目前的技術發展。更重要的是，其目標包括：
如果您是小型企業 (其實無論企業規模大小)，GDPR 都代表您必須遵守一套全新的法律義務。
首先，法律賦予個人要求企業執行以下事項的權利：
更重要的是，GDPR 建立了「設計隱私」。這表示：
只要企業收集或追蹤實際位於歐盟境內之個人的個人資料，就適用 GDPR。
法律將個人資料定義為「與已識別或可識別之自然人相關的任何資訊。」 換句話說，如果資料可用於揭露個人的身分，就屬於個人資料，因此受到 GDPR 保護。其中包括：
更重要的是，這項法律同時涵蓋線上和離線的資料收集與追蹤。因此，無論您是使用閉路電視監視辦公室，還是使用 Google Analytics 收集網站訪客資料，GDPR 都同樣適用。
歐洲資料保護委員會強調，個人的國籍和身分並不重要。只要在收集或追蹤其個人資料時，該人員實際位於歐盟境內，GDPR 就適用。無論該人員是歐盟公民、歐盟居民，還是單純的旅客，都沒有差別。
更重要的是，企業不必實際位於歐盟境內，即適用 GDPR。只要人員可以從歐盟境內存取您的網站，就足以適用 GDPR。您必須遵守 GDPR 的要求。
違反 GDPR 可能會帶來高額罰款。如果您的企業違反規定，可能會被處以相當於年營業額 4% 或 2,000 萬歐元 (約 2,300 萬美元) (取兩者較高者) 的罰款。
不可以。只要企業從位於歐盟境內的人員收集個人資料，GDPR 就適用。無論您是只有一名員工的企業，還是在六大洲都設有辦公室的企業，情況都一樣。
話雖如此，如果您的員工人數少於 250 人，除非符合以下情況，否則您不必以書面形式記錄資料處理活動：
許多小型企業和獨資經營者不會符合前三項例外情況。
但是第四項呢？ 比利時隱私委員會指出，並非所有資料處理活動都屬於「定期」處理，即使您每天都進行這類活動。根據這項解釋，例如，您不必記錄用於下訂單或與客戶溝通的個人資料。但第 29 條工作小組的立場文件— 也就是歐洲資料保護委員會的前身—似乎表示，您應該按照字面意思解讀「定期」。歐洲資料保護委員會也表示認同。由於目前的立場並不明確，即使您認為自己符合例外情況，仍建議保留相關記錄。以防萬一總比事後後悔好。
是。如果美國企業符合以下情況，GDPR 就適用：
如果您想繼續在歐盟境內從事業務，就必須遵守 GDPR。否則，您可能會面臨高額罰款。如果您不在歐盟境內從事業務，則有兩種選擇：
GDPR 首次生效時，許多美國網站為了避免違反 GDPR，切斷了歐盟使用者的存取權。例如，截至 2018 年 8 月，超過 1,000 個美國新聞網站在歐盟境內無法存取。有些出版商決定永久退出歐盟市場。Lee Enterprises 發言人 Charles Arms 表示：「我們本地新聞網站來自歐盟和 EEA 的網際網路流量微不足道，而且我們認為封鎖這些流量最符合本地媒體客戶的利益。」 話雖如此，許多美國網站現在已成功重新在歐盟提供服務，而且沒有遇到任何問題。您的小型企業網站也可以在歐盟提供服務，而不必擔心觸法。這就帶到下一個重點。
讓您的小型企業開始朝 GDPR 合規邁進，並不像您想像中那麼困難。以下是一份 GDPR 合規性檢查清單，協助您開始著手。
您應該了解自己收集哪些個人資訊，以及其中是否有任何敏感資料，也就是是否屬於 GDPR 第 9 條和第 10 條所涵蓋的類別。您也應該問自己：
如果有人詢問，您必須能夠回答這些問題。
除非您有合法依據可以使用個人資料，否則個人必須提供同意。這份同意必須是：
您必須以書面形式保留同意記錄。您也必須讓撤回同意的流程快速且簡便。符合 GDPR 的客戶關係管理軟體可以在這方面提供協助。具體而言，它可以：
您的企業必須對所收集的個人資料負責。如果這些資料落入不當人士手中，您可能會面臨罰款。因此：
您必須在 72 小時內向監管機構通報嚴重的資料外洩事件，否則可能會遭到罰款。請確保您已建立通報程序。而且，更重要的是，請訓練您的員工：
這一點毫無疑問。GDPR 合規性既耗時又昂貴。在 2018 年 5 月 25 日之前的準備期間，英國小型企業平均各花費約 600 小時準備 GDPR。這還不包括財務成本。全球中小型企業已花費 130 萬美元用於 GDPR 合規性。同樣地，不合規也可能對您的盈虧造成令人咋舌的影響。在首宗 GDPR 案件中，一家德國社群網路因未能妥善保護使用者的個人資料而被處以 20,000 歐元 (約 22,600 美元) 的罰款；駭客竊取了 330,000 個電子郵件地址和密碼。但儘管您可能很容易將 GDPR 視為一項負擔，GDPR 合規性也對小型企業帶來了正面影響。原因如下。消費者從未像現在這樣重視自己的隱私權。而且，他們也期望與其分享資訊的企業同樣重視隱私權。在最近的一項研究中，69% 的美國消費者甚至表示，希望美國制定類似 GDPR 的法律。更重要的是，CMO Council 的一項研究發現，做好 GDPR 準備的會員企業獲得了更高的參與度、更高的忠誠度，以及消費者更多的信任。顯然，GDPR 不只是為了避免遭到罰款而必須遵守的一堆規則。沒有人喜歡自己的私人資訊在未經同意的情況下被取得。也沒有人希望這些資訊被存放在可能落入犯罪分子手中的地方。因此，透過採取措施達成 GDPR 合規性，您可以讓自己的小型企業展現真正重視客戶私人資料的形象。這可能讓您在競爭對手中取得優勢。
Marin 是 Microsoft 行銷團隊的一員。他很高興看到企業家能夠更有效地開始、管理及拓展其業務。
商業見解與構想不會構成專業的稅務或財務建議。您應該連絡您的稅務或財務專家以討論您的情況。
關注 Microsoft 365