作为第一部全面的隐私法,GDPR 对世界各地的立法具有启示意义。GDPR已经实施三年,不过隐私专业人士表示,欧盟成员国之间缺乏协调统一,持续不断地更新指南也是一个艰难的过程。

欧盟《通用数据保护条例》(GDPR)三年前生效,提高了人们对隐私和数据保护的认识,并为世界各地的国家和司法管辖区设定了标准。

IAPP 发布了一份“GDPR 三周年”的总结图,图表显示 47%的公司自称完全符合 GDPR 要求,监管机构迄今已采取了 630 多项执法措施,罚款总额达 2.83 亿欧元。在过去一年中,最大的罚款包括法国数据保护机构 CNIL 针对谷歌的 5700 万美元罚款,以及德国 DPA 数据保护和信息自由专员针对服装零售商 H&M 的 4100 万美元罚款。

IBM 首席隐私官 Christina Montgomery 认为,GDPR 使得个人和企业可以在整个欧盟依赖相同的权利和数据保护标准,这意味着企业能够依靠单个隐私框架来实现跨成员国的合规性。此外,GDPR 及其问责制原则促进更有效的合规流程和数据驱动的业务模型,这些业务模型更加尊重数据主体的权利和自由。

持续的障碍

GDPR 已经实施三年,不过隐私专业人士表示,欧盟成员国之间缺乏协调统一,持续不断地更新指南也是一个艰难的过程。

Christina Montgomery 表示,成员国仍然能够制定自己的规则,缺乏统一的 GDPR 规则以及相关解释有时会产生歧义仍然是公司面临的挑战。DPA 发出了关于多个主题的指南,例如 Cookie、强制性风险评估或使用员工健康数据以使其安全地返回工作场所等。

Baker McKenzie 合伙人 Lothar Determann 表示,虽然 GDPR 使得部分公司加强合规,但这也导致一些公司由于担心 GDPR 而放弃欧洲的机遇。对于某些公司而言,该法规对个人数据泄露和 72 小时通知截止日期的相关定义比较宽泛,从而导致“不合理的时间压力”,并对采用不同标准的司法管辖区产生影响。

全球影响

作为第一部全面的隐私法,GDPR 对世界各地的立法具有启示性,比如巴西的《个人数据保护法》、中国拟议的《个人信息保护法》和印度拟议的《个人数据保护法案》等。在美国,加利福尼亚州和弗吉尼亚州的相关立法都从 GPDR 中汲取了灵感,而其他州(例如华盛顿)仍在继续研究提案。

印度 J Sagar Associates 合伙人 Sajai Singh 表示,GDPR 是拟议《个人数据保护法案》的模板,该法案最终草案有望很快提交国会。印度正在寻求扩大监管范围,比如印度未收集敏感个人数据,但这些数据若在印度进行处理,则也需要遵守相关法律。严格的数据隐私法规是当今的规范,而 GDPR 无疑为世界各国提供了指导和前进的方向。

提升私密性

对于隐私专业人士,纽约梅隆银行全球首席隐私官 Kirsten Mycroft 表示,GDPR 在扩大隐私机会、职业路径和岗位的同时,还创建了更强大、更多样化的隐私人才库。从更广泛的角度来看,GDPR 成为所有行业“执行议程中进一步提高隐私权的催化剂”。GDPR 将组织内部的数据隐私配置提升为“C-Suite 优先”,并促进许多隐私计划,从采用“打勾”式合规到通过设计和问责制创建隐私文化。

Montgomery 表示,IBM 不仅仅从法律合规性,而是通过更广泛的视角来考察 GDPR。技术投资与集中治理和企业范围内的整合相结合,正在将公司的首席隐私官从被动式领导转变为主动式领导。其首席隐私团队已不仅是纯粹的法律职能,而是嵌入业务中,与首席数据官、安全业务部门、政策团队以及 AI 道德委员会携手,使 IBM 能够在隐私和技术道德两个维度上发展。

展望未来

尽管 GDPR 作为全面的数据保护框架在全球范围内处于领先地位,但诺斯罗普·格鲁曼公司隐私执行官 Kropf 表示,其与现有国际法原则有待进行更好地保持同步。在过去三年中,“Schrems I”和“Schrems II”案一直存在不确定性,而充分性程序并不透明。确定一个国家是否符合欧盟标准的过程很复杂,可以通过寻求跨境合作的其他现有的国际贸易原则来加强该法规,例如税收、海关、航空公司、电信等领域。

在继续执行 GDPR 的过程中,各组织还应密切关注欧盟即将颁布的《电子隐私条例》(ePrivacy Regulation),该法规将取代《电子隐私权指令》(ePrivacy Directive),以创建电子通信规则以及有关人工智能法规的提案。隐私权专家表示,相关提案与 GDPR 保持一致非常重要。Mycroft 认为,GDPR 的原则,包括问责制、透明度和公平性,可以作为即将制定的法规的蓝图。即将出台的法规应“力求与 GDPR 规则保持高度一致”,以“避免欧盟内部数据治理规则的分散化”。

Montgomery 认为,《电子隐私条例》应具有针对性的范围和更宽泛的法律依据,并拥有相关机制来确保与 GDPR 规则更加契合。这将有助于减轻公司的行政负担,同时提高透明度,并保护所有欧盟成员国中数据主体的权利。GDPR 中包含的许多原则也与将来的 AI 法规息息相关。

摘编 | 贺佳瀛/赛博研究院研究员

声明:本文来自赛博研究院,版权归作者所有。文章内容仅代表作者独立观点,不代表士冗科技立场,转载目的在于传递更多信息。如有侵权,请联系 service@expshell.com。