GDPR

如果你在向欧盟国家的居民销售商品或提供服务时处理个人数据，那么你就需要遵守 GDPR。如果没有合规，企业可以被处以高达全球年营业额 4% 或 2,000 万欧元的罚款。这是对最严重的侵权行为所能施加的最大罚款，例如没有足够的客户同意来处理数据，或违反 GDPR 的核心原则。

GDPR 不仅适用于位于欧盟内部的组织，也适用于欧盟以外的组织，如果提供商品或服务，或监控欧盟数据对象的行为。它适用于所有公司处理居住在欧盟的数据主体的个人数据，而不考虑公司的位置。

任何与自然人或“数据主体”（Data Subject）有关的信息，可以直接或间接地识别人。它可以是任何东西，从一个名字、一张照片、一个电子邮件地址、银行的详细信息、在社交网站上的帖子、医疗信息，或者一个计算机 IP 地址。

法规（Regulation）是一种具有约束力的立法行为，它必须在整个欧盟范围内得到应用，因此对所有的成员国的约束立即而直接；而一项指令（Directive）则是制定一个所有欧盟国家都必须达到的目标的立法行动，其实施必须仰赖各成员国的国内立法，所以其约束及成效因各成员国的转换、想法而有差异。值得注意的是，GDPR 是一项法规，而之前的立法仅是一项指令。

遵守 GDPR 是一种自下而上的管理方式。第一件事是关于所有级别工作人员的意识和准备，组织将处理个人数据。遵循 GDPR 提出的原则，构成 GDPR 的核心要求，并建立相应的处理程序，以满足处理数据所须条款的要求。

了解数据处理活动，列出所有的数据和流程，然后发现所有直接或间接收集的数据都与处理方式相关，并与 GDPR 的法律基础相关。进行所有必要的活动，包括向关于法律基础的当事人提供信息，以及如何保存、使用或转让其数据，以提供当事人可以行使当事人权利的渠道或接口，并遵守关于使用数据处理器或传输数据到第三个国家的所有要求。

如果您将数据保存在组织中，就应该满足适当的保护和默认保护。为了保持对 GDPR 的遵守，建议设置隐私官（DPO）和隐私保护组织，风险评估和合规检查将有助于找出满足 GDPR 所有要求的必要步骤。