文丨薛笔犁周佳苗

史上最严的欧盟《通用数据保护条例》（简称GDPR）生效短短几天，已经展露出锋利的牙齿。

由于GDPR明确规定，其管辖范围并不局限在欧盟境内，欧盟境外的主体在特定条件下也必须遵循GDPR的相关规范。众多美国网站已经开始将欧洲用户拒之门外，有一些公司甚至宣布永久撤出欧盟市场。

洛杉矶时报：我们目前无法为您所在的地区提供服务，我们将尽力设法解决。

洛杉矶时报：我们目前无法为您所在的地区提供服务，我们将尽力设法解决。

中国企业的日子也不好过。5月25日当天，包括微信海外版、新浪微博国际版、阿里巴巴旗下的全球速卖通（aliexpress）、小米等多家中国互联网巨头，已纷纷向欧洲区用户更新隐私政策、请求重新授权。

小米旗下生态链企业、智能灯具Yeelight通知用户无法提供服务

小米旗下生态链企业、智能灯具Yeelight通知用户无法提供服务

当前越来越多的中国企业远赴重洋，开展涉欧业务。GDPR锋芒初露，哪类中国企业最容易“踩雷”？

今天，思客君邀请北京师范大学法学院副教授、中国互联网协会研究中心秘书长吴沈括进行解读。

哪些中国企业最有可能踩到GDPR的雷区？

就目前中国企业而言，信息软件、跨境电商、网络支付、航空物流等与欧盟有高频业务往来的中国企业容易踩雷。

问题主要包括：国内相关跨领域人才和顾问数量稀少，欧洲当局和媒体以及欧洲民众对中国出海企业的不信任、对数据问题的敏感，以及对中国互联网企业新商业模式的不理解。

例如对于某些共享经济型企业在欧洲的业务模式，欧洲居民存在一定的理解包容障碍，导致戴着“有色眼镜”看待的情形，这种情绪容易在GDPR执法环节体现出来。

中国企业在GDPR施行后面临哪些合规风险？

从合规工作而言，中国企业需解决的重大问题包括：对于欧盟要求采取的数据安全措施，由于规则要求不是很清晰明确，而且可能与我国《网络安全法》的要求存在冲突，如何确定合规需要的技术安全措施难度很大。比如，有些数据的保存期限就与我国《网络安全法》规定的有关网络日志的保存期限不一致。

对于欧盟要求设立的数据保护官（DPO）等制度，如何予以满足并且符合中国《网络安全法》的要求，依然存在不确定性。“被遗忘权”、“数据迁移权”等新设权利以及中欧数据跨境的落地实现，存在很大的模糊性，更缺少国内规范的支撑指引。比如，《网络安全法》第37条有关数据跨境的基本制度设计，有关个人信息和重要数据出境相关管理办法和指南有待进一步出台。因此在操作层面，中国企业还需要有更多的操作性规范支持。

中国企业如何应对GDPR？

其一，系统梳理研判自身业务线中的各类涉数据事项，通过分类、分环节的流程设计，将涉数据责任风险的业务做必要的分割、阻隔。

其二，全面考察涉欧业务的主要区域分布，对比成本风控和责任风险，进而选定主要的业务区域，确保遵循当地的合规要求。

其三，及早设计GDPR维权追责事件的应急预案，配备必要的技术、法务人员及时响应监管机关的执法要求。

国家层面应该如何应对GDPR？

面对GDPR，相关部门从国家层面给予我国企业开展经营必要的支持法规和扶助措施，更具战略意义。

首先，要迅速建立完善并及时细化我国数据管理制度，尤其是数据跨境管理制度，为我国企业的数据合规工作提供明确的行为指针。

其次，建议国家网信部门建立专门的GDPR风险应对机制，支持我国企业在欧盟及海外市场的业务拓展，避免重大合规风险，尤其包括：强化能力建设，面向在海外开展业务的国内企业提供风险提示与业务指导；促进合规交流，特别是成功进入欧盟市场满足合规要求的案例分享；建立中欧政府对话工作机制，同时加强我国企业等各类主体与欧盟及成员国数据保护机构多层次的交流对话；国家财政商务部门建立专门的GDPR应对支持基金，特别是面向中小企业提供必要的应对支持，以实时掌握并避免行业性重大合规风险。

另外，目前在欧盟执法持开放姿态的情况下，应与欧洲各层级数据保护机构在GDPR执法层面展开实务交流，推动形成多样化的数据跨境流动方案，这包括：采取标准化协议方式的落地机制；针对中小企业数据跨境流动的特别机制；磋商中欧数据跨境机制的通用制度安排。

GDPR来了，不要怕！以GDPR为原则，更负责地使用和管理企业数据，更负责地对待客户和供应商。这不仅能促进企业建立遵守数据隐私法规的文化，还能帮助企业赢得更多信任。

这么说GDPR早该来了！

来源：新华社