我們都收到了無數(shù)的GDPR網(wǎng)絡(luò)研討會(huì)和產(chǎn)品推介的邀請(qǐng)，所以我不會(huì)重復(fù)你在那里能找到的東西。但是，有一些您可能還沒有獲得的重要觀點(diǎn)，將會(huì)在這里被總結(jié)。
第一點(diǎn)：與你的律師談?wù)?。即使這些條例看起來與你和你的企業(yè)無關(guān)，但對(duì)法律的無知并不是理由......而且絕對(duì)不會(huì)帶來幸福。即使您在歐洲沒有業(yè)務(wù)，您的業(yè)務(wù)也很可能會(huì)受到GDPR的影響，并可能會(huì)受到懲罰。為什么?因?yàn)闅W洲公民有很多方法可以在您不知情的情況下將自己的數(shù)據(jù)存入您的系統(tǒng)，并且如果他們這樣做了，您應(yīng)該遵守新的規(guī)定。違規(guī)的處罰可能會(huì)驚人地高。也就是說，考慮到這一切都沒有在法庭或監(jiān)管機(jī)構(gòu)的呼吁下進(jìn)行過測(cè)試，它會(huì)在一段時(shí)間內(nèi)顯得模糊。向您的律師就如何最大限度降低業(yè)務(wù)風(fēng)險(xiǎn)提供實(shí)用建議(盡管您會(huì)在下面看到它不能被消除)。
與此相關(guān)的是一些基本的免責(zé)聲明：我不是律師(我甚至沒有在電視上播放過)，而且您不得將本文中的任何內(nèi)容作為法律建議。
第二點(diǎn)：忽略“我們不符合要求!”的尖叫。雖然從理論上講，貴公司的不合規(guī)很可能是真的，但如果您是GDPR的完美主義者，則每個(gè)人都是不合規(guī)的。沒有任何產(chǎn)品可以使您符合標(biāo)準(zhǔn)，沒有可以保證合規(guī)的顧問，也沒有證明合規(guī)的“批準(zhǔn)印章”，如果有IT供應(yīng)商愿意賠償您的因?yàn)椴环弦?guī)定帶來的損失我會(huì)非常驚訝。(不過，你可以根據(jù)公司的保險(xiǎn)政策得到一些保險(xiǎn)。)所以，從分類開始，首先研究致命風(fēng)險(xiǎn)。
第三點(diǎn):CRM系統(tǒng)、營銷自動(dòng)化系統(tǒng)和網(wǎng)站是GDPR問題的基礎(chǔ)。這些系統(tǒng)擁有大量有關(guān)人員的信息，而且他們幾乎肯定不會(huì)掌握有關(guān)其公民身份的任何數(shù)據(jù)。因此，這些系統(tǒng)需要開始持有啟用符合GDPR所需的信息和其他元數(shù)據(jù)，并同步這些數(shù)據(jù)，以便您的所有流程始終如一地運(yùn)作。你的網(wǎng)站注冊(cè)表需要為歐洲公民提供特殊的途徑(確保他們接觸到所有正確的免責(zé)聲明、通知和復(fù)選框)，同時(shí)排除那些聲稱自己不是歐洲公民的人(這樣他們就不會(huì)被無關(guān)的信息和選項(xiàng)所困擾)。在研究這些集中式系統(tǒng)的同時(shí)，你會(huì)意識(shí)到存在著更大的分散風(fēng)險(xiǎn)......我們會(huì)提到這一點(diǎn)的。
第四點(diǎn):你可以購買表明你正在對(duì)GDPR的合規(guī)性進(jìn)行商業(yè)調(diào)查的產(chǎn)品。雖然你不能購買合規(guī)性，但你可以購買支持服務(wù)。任何提供有關(guān)安全事件的日志記錄和警報(bào)的產(chǎn)品(例如Salesforce Sentry)都可能是好的。任何幫助檢測(cè)系統(tǒng)安全問題的工具(如Splunk)或?yàn)橄到y(tǒng)入侵的數(shù)據(jù)泄漏提供深入保護(hù)的工具都幾乎是必須購買的。如果您采購了這些產(chǎn)品或服務(wù)，您至少顯示出了有意遵守的態(tài)度。
第五點(diǎn)：合規(guī)性的遵從主要關(guān)于流程，清單和人員。雖然可以想象，可能您不需要購買任何新產(chǎn)品就可以遵守規(guī)定，但是如果沒有明確的流程，程序手冊(cè)和激勵(lì)/目標(biāo)讓您的員工真正完成合規(guī)工作，您就不可能符合標(biāo)準(zhǔn)。雖然你可以將脆弱性評(píng)估和高級(jí)別GDPR建議外包出去，但搞清楚所有這些細(xì)節(jié)問題的實(shí)際“瑣碎工作”應(yīng)該可以在內(nèi)部完成。
和你的人力資源和法律人員談?wù)?你可能想故意無視GDPR，濫用客戶/潛在客戶的個(gè)人數(shù)據(jù)，這是一種可能觸犯法律的行為。
而且，是的，這是一個(gè)漫長的旅程，而不是一個(gè)短期事件?？赡苊慨?dāng)您對(duì)營銷團(tuán)隊(duì)進(jìn)行重大重組或換掉服務(wù)提供商時(shí)，您都需要重新修改程序。每年進(jìn)行一次審查可能是有意義的。你可能會(huì)驚訝于為什么我的朋友會(huì)稱我為“無聊的指揮官”?
第六點(diǎn):最大的技術(shù)工作可能是在松散集成的系統(tǒng)中。如果要考慮GDPR的長期影響，一個(gè)關(guān)鍵問題就是控制客戶數(shù)據(jù)的存放位置和使用方式。如果一個(gè)歐洲公民要求了解所有關(guān)于他們的個(gè)人信息以及您使用它的各種方式，那么這可能是一個(gè)很大的挑戰(zhàn)。如果他們要求刪除數(shù)據(jù)，那么如何確保數(shù)據(jù)不會(huì)從某個(gè)周批處理過程中重新出現(xiàn)在系統(tǒng)中?至少，您需要擁有存儲(chǔ)和管理個(gè)人數(shù)據(jù)的所有方式的流程圖，并且您可能會(huì)發(fā)現(xiàn)一些需要更緊密和更完整地同步的地方。其中一些可能會(huì)非常痛苦。
第七點(diǎn)：最大的風(fēng)險(xiǎn)可能在于電子郵件。因?yàn)閹缀趺總€(gè)電子郵件客戶端都有一個(gè)地址簿功能，可以通過電子郵件自動(dòng)填充。這是個(gè)人信息，而且你不知道他們的公民身份是什么。在員工的電子郵件地址簿中幾乎可以肯定沒有選擇加入個(gè)人數(shù)據(jù)，并且可能您不知道所有這些地址的來源是什么。每個(gè)電子郵件用戶的地址簿都是潛在的時(shí)間炸彈。因此，除了制定新政策，電子郵件簽名，免責(zé)聲明和培訓(xùn)計(jì)劃外，您還需要考慮地址簿的技術(shù)層面。
不幸的是，大多數(shù)用戶將他們的地址簿視為他們的個(gè)人財(cái)產(chǎn)，他們不習(xí)慣將其作為公司的數(shù)據(jù)資產(chǎn)進(jìn)行處理。我建議的方法是強(qiáng)制用戶在他們的電子郵件系統(tǒng)中有兩個(gè)地址簿：一個(gè)用于他們的個(gè)人地址，另一個(gè)用于公司地址。將企業(yè)通訊錄與CRM系統(tǒng)同步，定期掃描個(gè)人通訊錄以刪除已從企業(yè)通訊錄中竄改的“上當(dāng)者”。然而，成百上千的電子郵件客戶端地址簿與CRM系統(tǒng)的同步既是人類的挑戰(zhàn)，也是技術(shù)上的挑戰(zhàn)——我敦促您不要掉以輕心，因?yàn)樯杂绣e(cuò)誤就可能導(dǎo)致數(shù)據(jù)損壞和讓用戶反感。這不是任何人都會(huì)稱之為樂趣的事情。
第八點(diǎn)：媽媽的話。雖然你確實(shí)需要發(fā)表各種關(guān)于你努力遵守GDPR的公開聲明(在你的網(wǎng)站上、電子郵件頁腳上等等)，但我不建議公開宣布你的努力。即使你有足夠的智慧來實(shí)現(xiàn)合規(guī)，也不要愚蠢到公開宣布它。為什么?因?yàn)槟憧赡軙?huì)吸引黑客或想敲詐你的人，他們會(huì)千方百計(jì)尋找讓你不符合規(guī)定的方法。沒有人會(huì)愿意成為第一個(gè)引起歐盟委員會(huì)監(jiān)管機(jī)構(gòu)憤怒的人。
京公網(wǎng)安備 11010502049343號(hào)