2023年4月7日
如果您认为英国脱欧意味着欧盟《通用数据保护条例》（2016/679号条例，简称GDPR）不再适用，那您就大错特错了。GDPR的跨国性质不仅意味着与欧盟公民或企业打交道的公司必须合规，而且GDPR也已被纳入英国立法，成为英国GDPR（UK GDPR）。
根据我在三年多时间里担任数据保护和网络安全顾问的实践经验，让我感到非常意外的是，意识到自己在GDPR或总体数据保护下承担义务的组织比例竟如此之低。尽管英国最初实施欧盟1995年《数据保护指令》的1998年《数据保护法》已经施行了二十年。为了帮助希望了解GDPR的非欧盟同事，我想借此机会分享我在2018年5月25日GDPR于英国实施前后自身的亲身经历。
我仅在此描述我在英国境内的亲身经历。在英国接触到的GDPR涉及私营和公共部门的多个行业，组织规模涵盖微型企业至跨国企业。本文从实践角度展开，并包含一些（至少对我而言）令人惊讶的发现。最后，我将简要总结成功的要素信息治理应包含的核心要点。
本质上，各个组织面临的GDPR挑战取决于多个因素。这些因素包括：行业类型、组织规模、管理领导层的有效性、系统的先进程度与整合度、治理成熟度（即对1998年《数据保护法》做出的有效回应）以及所开展培训和意识提升的水平与深度。与初创公司和较新的公司合作，可以在其规模尚小、能够确保变革有效且易于实施的早期阶段，引入并植入良好实践。而对于长期忽视数据保护的老牌组织，以及数据处理缺乏整合或依赖淘汰技术的组织而言，所面临的挑战要大得多。
在我担任数据保护和网络安全顾问期间，公共部门组织以及已经在严格合规体系下运营的私营部门组织（例如金融服务业），在GDPR意识方面最为成熟。但如果从合规执行的角度来衡量，情况未必如此。至于规模较小的独立公司，对这些知识的了解则更为有限。
公司聘请我作为合规专家主要有三大诱因。第一种情况是发生了数据泄露，大家突然意识到出了严重问题，从而陷入恐慌。第二种情况是有人离职，其继承者接任了数据保护官（Data Protection Officer）或虽不太正式但仍需承担相应责任的岗位。第三种也是最常见的情况，是公司在参与业务投标时，潜在客户要求其提供GDPR和信息安全控制措施的证明。这种供应商尽职调查正变得越来越普遍和突出。
在许多情况下，我发现一些组织在2018年5月前聘请顾问以确保合规，但最终仅获得了非常表面且短暂的效果。这些服务仅包含简单更新政策（通常是模板），而未分析是否充分合规了此前作为大多数GDPR条款基础的1998年《数据保护法》。我总是强调，合规是一项持续的日常运营活动。它是一个过程，而非单次事件。我常常解释说，理解《公路法规》（英国驾驶员规则）并不等同于懂得如何开车的驾驶技术、如何安全驾驶并时刻注意路况（当然，还要避开警察和测速摄像头！）。
公司知识储备中的巨大漏洞在数据留存和销毁方面体现得尤为明显。我遇到过一些例子，公司自很久以前就保留了所有的纸质记录，随后却无法追踪这些信息的实际存放地点——只知道保存在某个第三方仓库里。我曾为其提供咨询服务的一家大型银行，干脆直接将保留期限默认为12年，适用于 所有 记录类型，以此作为他们遵循存储限制原则的方式。
所有组织面临的主要挑战之一是所谓的非结构化电子数据（Unstructured Electronic data）。这是保存在共享网络驱动器、笔记本电脑、个人电脑、移动电话甚至如 Dropbox、OneDrive 等云存储系统中的数据。这类数据往往以极其多样的方式存储，没有结构化的分类、命名规范或版本控制。与具有结构、验证机制和易用提取协议的数据库不同，非结构化数据存在于电子表格、文档文件、电子邮件等形式中。数据保护面临的挑战是三方面的。
首先，很难确定这些数据究竟保存在哪里，这会在收到主体访问请求（Subject Access Requests）或需要销毁数据（在达到保留期限后）时引发问题。其次是信息安全常常存在漏洞——例如缺乏密码保护或不安全的传输。第三是传播可能导致泄露——尤其是使用电子邮件时将错误的数据抄送给错误的人。
实现良好数据保护的解决方案包含以下步骤。首先是确保充分理解规则。然后应进行业务分析，了解组织在处理运营方面的现状，尤其是个人数据的存储位置及处理方式。开展差距分析（Gap Analysis）并了解风险至关重要。需要在各个层面植入治理机制，并通过培训和意识提升来夯实职责分工的透明度。确保数据保护工作由董事会层面领导。编写政策（在变更管理之下）并予以发布，辅以流程和培训支持，以确保在最微观的层面充分理解数据保护。确保具备足够的控制措施，尤其是信息（网络）安全控制。开展审计以确保控制措施充分，特别是在发生事故的地方。最后，确保变更管理落实到位——例如应对英国脱欧的影响。信息专员办公室（ICO）以积极主动和资讯详实的方式为组织提供有用的信息。
Thomas Hayes 是 Hayes Associates Limited的董事总经理，该公司提供定制化的个人数据保护和信息管理咨询服务。
摄影： MikhailMishchenko，Canva.com
