我们都收到了无数的GDPR网络研讨会和产品推介的邀请，所以我不会重复你在那里能找到的东西。但是，有一些您可能还没有获得的重要观点，将会在这里被总结。
第一点：与你的律师谈谈。即使这些条例看起来与你和你的企业无关，但对法律的无知并不是理由......而且绝对不会带来幸福。即使您在欧洲没有业务，您的业务也很可能会受到GDPR的影响，并可能会受到惩罚。为什么?因为欧洲公民有很多方法可以在您不知情的情况下将自己的数据存入您的系统，并且如果他们这样做了，您应该遵守新的规定。违规的处罚可能会惊人地高。也就是说，考虑到这一切都没有在法庭或监管机构的呼吁下进行过测试，它会在一段时间内显得模糊。向您的律师就如何最大限度降低业务风险提供实用建议(尽管您会在下面看到它不能被消除)。
与此相关的是一些基本的免责声明：我不是律师(我甚至没有在电视上播放过)，而且您不得将本文中的任何内容作为法律建议。
第二点：忽略“我们不符合要求!”的尖叫。虽然从理论上讲，贵公司的不合规很可能是真的，但如果您是GDPR的完美主义者，则每个人都是不合规的。没有任何产品可以使您符合标准，没有可以保证合规的顾问，也没有证明合规的“批准印章”，如果有IT供应商愿意赔偿您的因为不符合规定带来的损失我会非常惊讶。(不过，你可以根据公司的保险政策得到一些保险。)所以，从分类开始，首先研究致命风险。
第三点:CRM系统、营销自动化系统和网站是GDPR问题的基础。这些系统拥有大量有关人员的信息，而且他们几乎肯定不会掌握有关其公民身份的任何数据。因此，这些系统需要开始持有启用符合GDPR所需的信息和其他元数据，并同步这些数据，以便您的所有流程始终如一地运作。你的网站注册表需要为欧洲公民提供特殊的途径(确保他们接触到所有正确的免责声明、通知和复选框)，同时排除那些声称自己不是欧洲公民的人(这样他们就不会被无关的信息和选项所困扰)。在研究这些集中式系统的同时，你会意识到存在着更大的分散风险......我们会提到这一点的。
第四点:你可以购买表明你正在对GDPR的合规性进行商业调查的产品。虽然你不能购买合规性，但你可以购买支持服务。任何提供有关安全事件的日志记录和警报的产品(例如Salesforce Sentry)都可能是好的。任何帮助检测系统安全问题的工具(如Splunk)或为系统入侵的数据泄漏提供深入保护的工具都几乎是必须购买的。如果您采购了这些产品或服务，您至少显示出了有意遵守的态度。
第五点：合规性的遵从主要关于流程，清单和人员。虽然可以想象，可能您不需要购买任何新产品就可以遵守规定，但是如果没有明确的流程，程序手册和激励/目标让您的员工真正完成合规工作，您就不可能符合标准。虽然你可以将脆弱性评估和高级别GDPR建议外包出去，但搞清楚所有这些细节问题的实际“琐碎工作”应该可以在内部完成。
和你的人力资源和法律人员谈谈:你可能想故意无视GDPR，滥用客户/潜在客户的个人数据，这是一种可能触犯法律的行为。
而且，是的，这是一个漫长的旅程，而不是一个短期事件。可能每当您对营销团队进行重大重组或换掉服务提供商时，您都需要重新修改程序。每年进行一次审查可能是有意义的。你可能会惊讶于为什么我的朋友会称我为“无聊的指挥官”?
第六点:最大的技术工作可能是在松散集成的系统中。如果要考虑GDPR的长期影响，一个关键问题就是控制客户数据的存放位置和使用方式。如果一个欧洲公民要求了解所有关于他们的个人信息以及您使用它的各种方式，那么这可能是一个很大的挑战。如果他们要求删除数据，那么如何确保数据不会从某个周批处理过程中重新出现在系统中?至少，您需要拥有存储和管理个人数据的所有方式的流程图，并且您可能会发现一些需要更紧密和更完整地同步的地方。其中一些可能会非常痛苦。
第七点：最大的风险可能在于电子邮件。因为几乎每个电子邮件客户端都有一个地址簿功能，可以通过电子邮件自动填充。这是个人信息，而且你不知道他们的公民身份是什么。在员工的电子邮件地址簿中几乎可以肯定没有选择加入个人数据，并且可能您不知道所有这些地址的来源是什么。每个电子邮件用户的地址簿都是潜在的时间炸弹。因此，除了制定新政策，电子邮件签名，免责声明和培训计划外，您还需要考虑地址簿的技术层面。
不幸的是，大多数用户将他们的地址簿视为他们的个人财产，他们不习惯将其作为公司的数据资产进行处理。我建议的方法是强制用户在他们的电子邮件系统中有两个地址簿：一个用于他们的个人地址，另一个用于公司地址。将企业通讯录与CRM系统同步，定期扫描个人通讯录以删除已从企业通讯录中窜改的“上当者”。然而，成百上千的电子邮件客户端地址簿与CRM系统的同步既是人类的挑战，也是技术上的挑战——我敦促您不要掉以轻心，因为稍有错误就可能导致数据损坏和让用户反感。这不是任何人都会称之为乐趣的事情。
第八点：妈妈的话。虽然你确实需要发表各种关于你努力遵守GDPR的公开声明(在你的网站上、电子邮件页脚上等等)，但我不建议公开宣布你的努力。即使你有足够的智慧来实现合规，也不要愚蠢到公开宣布它。为什么?因为你可能会吸引黑客或想敲诈你的人，他们会千方百计寻找让你不符合规定的方法。没有人会愿意成为第一个引起欧盟委员会监管机构愤怒的人。
京公网安备 11010502049343号