最严数据保护法案如何应对？法律人士详解GDPR加减项

　　新浪财经讯 4月3日消息，“2019年CBLJ高峰论坛”在北京举办。论坛由法律媒体China Business Law Journal《商法》主办，新浪财经、新浪法问作为战略合作方，北京仲裁委员会为特别支持单位。

　　针对“GDPR对中国互联网商业模式的影响及其发展趋势”，天达共和律师事务所合伙人申晓雨律师、新浪集团法务部总经理谷海燕、完美世界法务部知识产权总监薛颖、BIPO Service创始人/CEO陈水海和对外经济贸易大学公共管理学院公共经济系主任/副教授徐晨今日在会上分享了看法。

　　2018年欧盟正式实施了《通用数据保护条例》（GDPR），这一条例被称为“史上最严数据保护法案”。Facebook、推特、微软、苹果等大型互联网企业纷纷“踩雷”。数据保护意识较为薄弱的中国互联网企业也面临极大的挑战。

　　对于GDPR，天达共和律师事务所合伙人申晓雨律师表示，它的严格性体现在四个方面，首先只要企业向欧盟境内的个人提供了商品或服务、并收集或处理了个人数据，不管该企业是否在欧盟境内设有机构，都适用于GDPR；

　　其次，扩大了数据主体的权利范围。除了保留了一些基本的权利，像数据主体的知情权、数据访问权、数据纠正权、数据删除权，还新增了限制处理权、数据可携带前，拒绝处理权；

　　第三，在信息的提供方式上，GDPR要求简洁、透明、易懂，容易获取和语言清楚、直白；最后，违法后果非常严重。根据GDPR的规定，违法上限是2000万欧元，或者是上一财年全球营业额的4%。此外，监管机构可以要求企业停改直至合规。

　　新浪集团法务部总经理谷海燕表示，面对GDPR的要求和标准，当前各类机构和组织都正在采取应对措施，包括更新自己的用户政策、安全评估和论证、在企业内部落实合规措施、建立安全机制和信息披露。

　　“我希望未来的立法和监管能够在法律的空间里面更加尊重数据流通自身的合理性和商业逻辑，更加挖掘数据这项资产的宝贵价值。”她说。

　　完美世界法务部知识产权总监薛颖表示，对于企业，合规基准限的设置是最重要的，“比较经济的方式是参照GDPR的要求去设置一套工作底稿和文本，包括2B、2C和内部合规措施。以GDPR作为平衡版本，在不同司法环境下去做一个GDPR的加项和减项。

　　最常见的GDPR的增加项、增强项会体现在哪些层面？比如说特定国家有语种型的要求，比如说特定国家对数据的要求是有本地化要求，还有不同国家对敏感群体数据是有明显要求的，比如说美国的标准会比GDPR更麻烦，这个时候法务部哪怕多做一些工作，也要把更多的空间留给业务区。”

　　BIPO Service创始人/CEO陈水海指出，在整个员工生命周期中，包括面试、入职到离职，企业对员工本人做就业许可的时候，需要家人、配偶、子女方面的姓名等相关信息。这个过程里涉及信息采集、存储、流转、更新、删除等。这就牵扯到员工向企业授权信息的问题。

　　他以人力资源的日常管理为例，“在GDPR下面，健康信息也是属于一个特殊属性。如果一个员工申请病假或者产假，我们都会要求提供病假单或者其他证明。按照GDPR的要求，理论上来讲这要求每一次都要做一个特别的授权，怎么来做？这是非常大的挑战，我们需要思索怎么做才能符合GDPR的要求。”

　　对外经济贸易大学公共管理学院公共经济系主任/副教授徐晨表示，在背景下，金融科技领域也值得关注，“我们知道在国际贸易中有单据，也有合规信息，那么这些东西可以重新构成对企业信用和风险评估的标准，然后对企业进行供应链金融或者贸易融资。

　　金融是没有抓手的，金融的背后是科技推动。为什么讲到科技推动和数据的关系呢？从监管部门以及贸易物流当中的信息来进行分析和提供服务，例如仓单、贸易海外结算的应收账款等等，这一块我认为也有很大的空间。”（新浪财经 王茜）

　　新浪声明：所有会议实录均为现场速记整理，未经演讲者审阅，新浪网登载此文出于传递更多信息之目的，并不意味着赞同其观点或证实其描述。

责任编辑：刘万里 SF014