在大数据时代，如何防止数据被非法利用和倒卖？2016年4月27日，欧盟议会通过了取代了1995年颁布的《数据保护指令》的《一般数据保护条例》》（General Data Protection Regulation，简称GDPR）,并在2018年5月25日生效。其复杂的条例、严苛的规定、沉重的处罚让所有人都惊呼：最严格的数据保护法来了。

时至今日，GDPR已经实施10个月，企业的数据合规已经做好了吗？

麻烦的GDPR

GDPR被称为史上最严厉的数据保护条例，与最严厉相匹配的就是其复杂程度，纽约时报报道称：这项法律“非常复杂”，并且难以理解，科学家和数据管理员都“怀疑这项条例甚至不可能做到完全遵守”。

GDPR的英文原文加上序言大约有200页，欧盟为了进一步阐释GDPR陆续颁布了一系列指南，这又增加了分量并增加了复杂程度。而且GDPR还创设了一系列新的概念和制度，比如被遗忘权、数据可携带权等等，甚至有人认为GDPR是一部不会让律师失业的法律。

但是法律就是法律，无论它有多么难以理解多么难以遵守，现实就是任何存储或处理欧盟国家内有关欧盟公民个人信息的公司，即使在欧盟境内没有业务存在，也必须遵守GDPR。

违反GDPR不会让人有太多的负罪感，甚至不会有“我在违法”的感觉，因为数据毕竟是虚拟的，不是实体的。GDPR的制定者很明显考虑到了这个情况，条例里面写明可能被处以最高全球年营业额的4%的罚金的条款，就是对企业最好的提醒。

如果有哪个企业不打算遵守GDPR，请务必三思，看一看Facebook和谷歌收到的天价罚单，我相信这些企业会产生新的想法。

该怎么做？

就如前文所说，如果企业想要出海发展，那么GDPR是一定要遵守的，但是数据合规要怎么做呢？

以前只有数据的收集和使用者需要对数据保护负责，也就是直接和数据产生联系的企业才有责任去保护数据安全，但是GDPR要求数据供应链上的各方都要对数据安全负责，其中就包括数据处理者，也就是云服务提供商，如果云服务商违反GDPR，那么网络公司也要一起受罚。在这种情况下网络公司如何和合作伙伴合作？如何划分责任和义务？

GDPR对获取和管理个人信息提出了严格的要求，它明确的赋予了个人对数据的权利，包括：知情权、访问权、更正权、可携带权、删除权、限制处理权、反对权以及自动化个人决策相关权利，这些权利有些并不直接影响数据安全，但是肯定会对现有的安全系统产生一定的影响，企业该如何去处理这些权利带来的麻烦？

技术的发展是很快的，而且总是领先法律一步，在网络信息领域更是如此。时下大热的区块链技术、数字身份技术就和GDPR格格不入，GDPR中赋予个人的删除权、更正权和区块链技术以及数字身份技术的特点有所冲突，甚至相悖。随着技术快速的革新和迭代这种情况会越来越多，企业又该如何面对？

2019第三届中国移动金融发展大会上移动支付网有幸邀请到APUS法务总监吴映京以《GDPR对企业数据合规管理的新挑战》为主题和大家进行交流和分享。

APUS成立于2014年6月，是一家面向全球市场的移动互联网公司，旗下产品APUS系统（APUS System）是安卓智能手机上轻量级用户系统，旨在为全球用户提供最快最便捷的互联网接入体验。截止2018年6月，APUS全球用户量突破14亿，遍布全球200多个国家和地区，产品支持超过25种国际语言.自2016年4月开始，APUS一直致力于GDPR的相关的研究，旨在为中国的互联网出海企业提供经验支持。

吴映京，曾就职于中伦律师事务所，资深律师，先后负责和参与包括上海城开反向并购、京东集团纳斯达克上市在内的多个跨境重大项目，在TMT、资本市场和知识产权交易领域有丰富的理论和实践经验。现任麒麟合盛网络技术股份有限公司（APUS）法务总监，全面负责公司法务与合规管理，在GDPR生效前后，实施了公司全产品线的GDPR合规排查与升级，组织建立了与国际接轨的内部数据合规流程。