上周，西方世界关于数据隐私问题的争议达到了一个新高度。总部位于伦敦的政治咨询机构Cambridge Analytica因收集了5000万Facebook用户数据而备受抨击。在2016年美国总统大选时，该公司还被特朗普竞选团队聘来分析、预测美国选民心理，涉嫌影响美国大选结果。专家怀疑这家咨询公司也参与了英国脱欧公投，这在整个欧洲和世界都引起了轩然大波。

自从用户数据事件被揭露后，Facebook损失惨重，股价截止目前已经下跌了15%，而且社交媒体上也兴起了#deletefacebook（注销Facebook账号）的运动。数以百万计的用户对Facebook从他们那里收集到的详细个人数据感到震惊，所以他们试图注销Facebook账户。

此次Facebook用户数据泄露事件发生的时间点恰好在欧盟制定的GDPR（通用数据保护法案）即将生效之前，该法案将于2018年5月25日正式实施。

GDPR是欧盟起草的全面的数据隐私法，也将为主权国家的数据隐私设置先例。GDPR规定，世界上任何一家处理欧盟客户数据的公司都要披露其收集、存储和处理用户数据的方式。欧盟用户也可以从任何公司申请获得其个人数据的副本，并可以要求该公司删除个人数据。不遵守GDPR的企业可能需要面临着2000万美元或4%年营业额的罚款。

21世纪的全球化世界，创新速度往往比政府制定相应法规的速度要快。在社交媒体和电子商务的案例中，为了保护用户数据，自由企业与各国政府正针锋相对。为了避免受到惩罚和确保合规，电商卖家需要保持消息灵通。

GDPR “一手遮天”

GDPR一个重要的特点在于，监管范围涵盖了处理欧盟公民数据的公司，这意味着亚洲和美国地区的公司也将被迫遵守该法案。例如，如果亚马逊或淘宝上的卖家存储了欧盟客户的个人信息、订单历史、付款偏好或网站活动，这些行为将构成“监控”。卖家和该电商平台都将受到GDPR的监管，即使这些公司总部位于欧洲之外。

此外，该法案适用于数据处理方面，这意味着任何用于处理客户数据的服务器也受到GDPR的约束。

简而言之，GDPR法案试图将用户数据控制权还给消费者，这样消费者就可以删除自己的数字足迹。这意味着任何欧盟消费者都可以审查、修改和删除他们的个人数据，也可以限制个人数据的处理方式。欧盟消费者向电商企业提出的任何有关个人数据的要求必须在30天内完成。对于那些没有能力处理多语种问题的中国公司来说，这可能需要在欧盟寻找一个国外合作伙伴来处理客户的隐私数据。

《亚太经合组织跨境隐私保护条例》——跨境企业的新起点

亚太经济合作组织（APEC）发布的CBPR（跨境隐私保护条例）为亚洲企业提供了一个良好的起点。不过CBPR和GDPR认证机制各不相同，CBPR由非国家审计机构进行认证，GDPR由欧盟委员会批准的一个集中管理的部门认证。与GDPR不同的一点是，CBPR没有一个管理机构来确保企业遵守相关条例。

根据律师和数据保护专家Udo Steger的说法，“虽然CBPR在很多方面的执行力度比不上GDPR，但它仍然是一个很有用的起点，可以让组织机构制定更正式的数据保护政策和GDPR所需的程序。这一点尤其适用于那些以前不存在隐私保护程序的公司。”