GDPR你需要知道的事儿（下）- 个人数据如何处理

2016年4月27日，欧盟议会通过了《一般数据保护条例》（以下简称GDPR）法律条例并将在2018年5月25日生效。该条例旨在加强对欧盟境内居民的个人数据和隐私保护。上文，我们就GDPR的管辖范围，主旨内容，及带来的利弊进行了解读。

GDPR的目的在于帮助欧盟的公民更好地控制他们的个人数据。本文，将就GDPR对数据的要求，探讨一下个人数据该如何处理？

01

GDPR对数据的要求

     GDPR的目的在于帮助欧盟的公民更好地控制他们的个人数据。数据在存储和流动过程中如何提供方式机制。从根本上来说，大多数的合规机制都是关于数据安全的，它们的内容基本上可以归结为两个主要的关注点：“不要让数据流出”以及“不要让坏人进来”。GDPR 扩展了这些基本的理念，它要求个人有权利了解他们的数据是如何使用的、索取个人相关数据的副本，并且允许个人要求删除与他们相关的数据。从技术的角度来看，这都会带来明显的影响。从一个系统的角度来说，良好的安全首先需要强有力的数据管理，确保其收集的个人信息安全，防止信息泄露、毁损、丢失。在发生或者可能发生个人信息泄露、毁损、丢失的情况时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。”

02

美创的见解

个人数据遮蔽

对于任何使用欧盟公民数据的人来说，GDPR 都是不可避免的现实。如何处理个人数据是整个组织层面的责任，但是在业务操作方面，我们可以提供一些支撑工具在多个方面来处理这个问题。通过技术手段对数据进行遮蔽但仍然可以用于分析。

GDPR要求企业实行数据最小化与用途限制措施。这意味着企业只能因特定用途去收集与使用数据，且数据保留时限不得超出需知的范围 。例如，有一家保险公司因制作保单需要收集个人信息，则其再不能将该数据用于定价分析等用途，因为该个人数据仅为制作保单所收集，再不得将该数据用于其它用途（如：开发定价分析数据库）。

数据发现与分类

GDPR要求企业建立与保留详细的个人数据库清单，然后按风险预测与优先性分类数据。为满足这一要求，首先需要了解数据库的位置，以及其存储的数据类型。可以识别数据库表和列中的信息，帮助企业轻松创建定制自己的数据分级分类策略，并应用于企业数据库当中。

数据处理安全性

GDPR的核心就是要确保个人数据的安全。因此非常注重数据处理安全，如：数据控制方与数据处理方都需要采取适当的技术措施确保数据安全。GDPR还要求企业对数据采取连续保护，并定期测试与验证所采用的技术保护措施有效性，确保数据处理的安全性。同时还需连续进行数据库漏洞评估，识别出个人数据风险。

监控数据访问活动

数据活动监控是GDPR规范中最重要的内容之一，要求企业为数据处理提供安全环境。为满足GDPR规定，企业需回答下列问题：数据访问者是谁？数据用途是什么？

应对这一合规要求，需要对所有数据活动进行持续监控与分析，帮助用户实现对数据活动的实时完全可见。此外，数据监控功能还可防止外部攻击盗窃数据，如SQL注入，并防止内部威胁，如：恶意、疏忽、或受到侵犯的用户。随时警惕数据安全，才能使企业在发生数据违规前识别与阻止可疑或非法数据访问。

违规检查与事件响应

一旦发生个人数据违规，GDPR要求数据控制方必须“不得无故拖延，如可能，应在获取该消息后 72 小时内上报给监管机关”。如未能在 72 小时内发出通知，则数据控制方必须为其延迟提交合理说明。

个人数据安全加密

GDPR为了强调个人数据在传输和保存过程的安全性，为向欧洲经济区（EEA）以外的个人数据传输做出了严格的限制规定，确保在这一过程中不会影响数据保护与隐私保护。GDPR第 44 条中规定，禁止向EEA以外的地区传输个人数据，除非接收国可证明其可提供充足的数据保护。