“我们将GDPR(欧盟《通用数据保护条例》，GeneralData Protection Regulation，简称GDPR)拆解为18个主要项目、34个阶段，最终在2018年5月25日之前从技术、流程、管理、人员等各个方面准备就绪。”阿里巴巴国际业务法务VP刘允泉近日透露，阿里云筹备GDPR的过程中经历了一个系统工程。

《中国经营报》记者梳理发现，阿里巴巴旗下的全球速卖通和阿里云、腾讯旗下的微信海外版和腾讯云、新浪微博的国际版、在欧洲拥有较大市场份额的华为和海尔等制造企业，以及国航、东航、海航等，都是在较早之前就面向GDPR进行合规布局，且已更新用户隐私条款。

然而，并不是所有的企业都可以像巨头公司一样，投入较多的人力、物力、财力，去适应GDPR的要求。就像第三方检测和认证机构TUV莱茵公布的“2018年GDPR业务发展白皮书”所显示的，86%的企业对2018年5月25日开始正式实施的GDPR带来的影响表示担忧。

这种担忧正在将以数据安全为代表的网络安全产业推向“风口”。国内一家网络安全厂商——志翔科技CEO蒋天仪接受《中国经营报》记者采访时表示，受到“合规”需求促进，GDPR将促进数据安全行业的大发展，数据安全行业已变为“蓝海”市场。

GDPR是起跑线

《中国经营报》记者获悉，以BAT为代表的中国大型企业普遍在2017年就开始对GDPR进行合规布局，才完成了在2018年5月25日GDPR正式实施之日的“起跑集结”。

比如，腾讯云一位人士介绍，腾讯云提前1年就开始对GDPR进行评估和摸底。“大公司采取的应对措施上肯定要够严谨，并保证不会对自身业务造成影响。”

按照刘允泉的介绍，阿里云的GDPR合规布局非常细致，整个过程协同了业务、合规、安全、法务、政府关系、中台等部门，连法律和咨询合作伙伴也参与其中。

比如，在产品规划中，阿里云将遵从默认隐私设计(Privacyby Design)理念，所有新发布的云产品上线之前必须通过安全+隐私设计的双重评估。再如，针对“数据的被遗忘的权利/删除权”，阿里云提供账号删除功能，全球客户都能自助完成操作。

阿里云主要是为大量中小企业提供公有云服务。阿里云国际合规团队成员告诉记者，在和客户交流时，看到很多中国企业在应对GDPR时“过度忽视”和“过度紧张”。“过度忽视”表现在一些企业人员认为，借助工具和平台、借助第三方审计和评估、借助完善法律文件等手段就能够符合GDPR法规的要求;而“过度紧张”表现在一些企业人员认为，GDPR就等于个人数据完全不离境、就等于尽量不保存客户数据在自己的系统上等。

阿里云国际合规团队认为，GDPR合规应该强调分工协作，阿里云的做法是以法务和合规部门为核心，与产品、安全、IT、运营等团队配合，共同推进落实。比如，产品团队应该在产品设计过程中考虑隐私、安全要求，确保产品功能、设计能够通过法务及合规团队的审批;IT系统架构团队负责依据相应的隐私保护制度及合规团队的评估和建议，调整IT系统的架构设计;运营团队应该确保运营行为如何达到隐私保护的流程和制度，判断新的运营需求是否涉及隐私条款以及能否通过合规团队审批。

阿里云安全事业部总经理肖力认为，数据安全是马拉松赛跑，GDPR只是起跑线，不是终点线，GDPR是一项持续性的工作。

事实的确如此。谷歌、Facebook、Twitter等美国巨头也是提前面向GDPR进行合规布局，并在2018年5月25日之前更新了用户隐私条款，但在GDPR生效当日，谷歌和Facebook还是被举报了。外媒最新报道显示，自GDPR生效以来，已经出现19起针对谷歌和Facebook及相关应用提交的跨境投诉，导致这两家公司及相关产品很可能遭到欧盟的隐私调查。

(责任编辑：冬天的宇)