GDPR 合规
许多欧洲以外的公司以为 GDPR 与自己无关，直到发现它适用于任何处理欧盟境内人员个人数据的主体，无论公司本身设在何处。同样，许多欧洲境内的公司只是拥有一份隐私政策，便自认为已经“合规”，却没有做底层的实际工作：处理的合法依据、数据映射、入侵响应就绪度，以及切实落实数据主体权利的机制。
缺口通常在哪里
我最常发现的并不是缺少政策，而是政策所说与组织实际能够证明的内容之间的脱节。为某类处理所列的合法依据，一旦追问就没人能真正自圆其说。数据主体访问请求流程只存在于纸面，从未用真实请求检验过。72 小时的入侵通知要求，没有人有切实可行的达成计划，因为仅检测和上报所需的时间就已超过这个期限。
我的做法
我从扎根于现实的数据映射开始：您收集了哪些个人数据，为什么收集，存放在哪里，与谁共享，以及每一类处理的合法依据究竟是什么。随后，我帮助建立让条例所赋予的权利落到实处的机制：能满足规定时限的访问、更正、删除和可携带请求处理流程，以及真正反映供应商如何处理数据的数据处理协议。
我会特别关注入侵响应，因为 72 小时的通知时钟毫不留情，而大多数组织从未演练过。我们会制定一份切合实际的事件响应计划，从一开始就内置 GDPR 的通知义务，而不是事后硬加上去；如有必要，还会研究对于风险较高的处理活动是否需要进行数据保护影响评估。
适合哪些组织
适合处理欧盟居民个人数据却从未对照条例做过真正差距评估的公司，正在拓展欧洲市场的组织，以及曾因数据主体请求而惊险过关、或险些发生入侵、因而意识到自己的计划大多只是愿景的任何人。
如果您想清醒地看看您的 GDPR 体系究竟处于什么位置，请联系我。