前言：
整理本文的原因有三：
1、 网上很多关于GDPR的文章并不全面，甚至有误
2、 以此机会在公司内部开展关于GDPR的专项培训
3、 青莲云的部分客户业务在未来会受到GDPR的影响
之后，我们计划编写一系列相关文章，更多的是站在企业角度来思考法案对物联网行业的影响以及应对措施，一来希望与同行企业可以就GDPR进行更多的互动讨论；二来也是希望传播国际法案对于安全和隐私的态度，共同提高物联网安全意识。
以下您将了解到：
1、 什么是GDPR（重要）
2、 GDPR的发展历程
3、 GDPR的关键术语定义（重要）
4、 GDPR会影响哪些企业（重要）
5、 GDPR不适用于哪些情况
6、 GDPR约束了哪些数据（重要）
7、 GDPR中数据主体的权利（重要）
8、 GDPR中处理个人数据的基本原则（重要）
9、 GDPR中对合法处理数据的定义
10、 GDPR中针对儿童数据的处理规定
11、 GDPR中数据控制者与数据处理者的义务（重要）
12、 GDPR中针对特别类型个人数据的处理规定
13、 GDPR中关于数据主体被遗忘权的规定（重要）
14、 GDPR中关于数据主体可携带权的规定（重要）
15、 GDPR中关于个人数据泄露通知的规定（重要）
16、 GDPR中关于设立数据保护官的规定
17、 GDPR关于执法和处罚的规定（非常重要）
18、 总结
什么是GDPR
2016年4月14日，欧洲议会投票通过了商讨四年的《一般数据保护法案》（General Data Protection Regulation (GDPR)），新法案由11章共99条组成，该法案将于2018年5月25日正式生效，将取代现有的《数据保护指示》（Data Protection Directive 95/46/EC），统一欧盟成员国关于数据保护的法律法规。
此外，GDPR新规是在28个欧盟成员国统一实施生效的，这将使28个欧盟及欧洲经济共同体成员国的隐私保护法更具有一致性和现代性。
GDPR作为一套用来保护欧盟公民个人隐私和数据的新法规，其颁布意味着欧盟对个人信息的保护及监管达到了前所未有的高度，堪称史上最严格的数据保护法案
GDPR的发展历程
（来自网络）
GDPR的关键术语定义
个人数据：是指任何指向一个已识别或可识别的自然人（数据主体）的信息。该可识别的自然人能够被直接或间接地识别，尤其是通过参照诸如姓名、身份z号、定位数据、在线身份识别这列标识，或者是通过参照针对该自然人一个或多个如物理、生理、遗传、心理、经济、文化或社会身份的要素。
处理：是指针对个人数据或个人数据集合的任何一个或一系列 *** 作，诸如收集、记录、组织、建构、存储、自适应或修改、检索、咨询、使用、披露、传播或其他利用、排列、组合、限制、删除或销毁，无论此 *** 作是否采用自动化手段。
匿名化：是一种使个人数据在不使用额外信息的情况下不指向特定数据主体对待个人数据的处理方式。该处理方式将个人数据与其他额外信息分别存储，并且使个人数据因技术和组织手段而无法指向一个可识别和已识别的自然人。
数据控制者：能单独或联合决定个人数据的处理目的和方式的自然人、法人、公共机构、行政机关或其他非法人组织。
数据处理者：是指为数据控制者处理个人数据的自然人、法人、公共机构、行政机关或其他非法人组织。
数据接受者：只是接收到被传递的个人数据的主体，无论其是否是第三方的自然人、法人、公共机构、行政机关或其他非法人组织。政府因在欧盟或其成员国法律框架内特定调查接收到的个人数据，不得视为“数据接受者”。
个人数据外泄：是指个人数据在传输、存储或进行其他处理时的由安全问题引发的个人数据被意外或非法破坏、损失、变更、未经授权披露或访问。
GDPR会影响哪些企业
欧盟GDPR法案具有域外效应。也就是说，GDPR赋予了欧盟在个人信息安全方面的域外管辖权。
主要受影响的企业为以下四类：
l 设立在欧盟境内的企业（控制者、处理者）
l 未在欧盟境内设立，但向欧盟境内的数据主体（自然人）提供产品和服务的企业（控制者、处理者）
l 未在欧盟境内设立，但涉及监控欧盟境内数据主体（自然人）行为的企业（控制者、处理者）
l 未在欧盟境内设立，但在欧洲成员国法律适用的地方设立的企业（控制者、处理者）
总结来说，GDPR不仅适用于位于欧盟境内的企业组织机构，也适用于位于欧盟以外的企业组织机构，无论机构所在地位于哪里，只要其向欧盟数据主体提供产品、服务或者监控相关行为，或处理和持有居住在欧盟境内的数据主体的个人数据，都将受到GDPR法案的监管。
GDPR法案同样适用于“数据控制者”和“数据处理者”。如果是数据处理者涉案，数据控制者也无法免除责任，GDPR规定控制者需要承担更多的责任，以确保和数据处理者之间的合同能够严格遵守GDPR的规定。
GDPR不适用于哪些情况
GDPR更多的是监管企业对数据的使用行为。以下4个方面的数据使用情况不适用于GDPR：
l 为了预防、调查、侦查或起诉刑事犯罪，主管当局为执行刑事处罚目的而产生的数据处理行为
l 基于国家安全目的而产生的数据处理行为
l 自然人在纯粹的个人或家庭活动中产生的数据处理行为
l 欧盟法律规定范围之外的活动过程中产生的数据处理行为
GDPR约束了哪些数据
个人数据：
可以通过某个标识直接或间接识别某一自然人的信息。
不管是采用自动化手段还是人工进行归类的数据，包括按时间顺序排列的包含个人数据的记录集合。
已经被匿名化的个人数据，取决于用已有标识来识别特定个体的困难程度。
敏感个人数据：
也被称为“特殊种类的个人数据”。
包括揭示种族或民族出身、政治观点、宗教或哲学信仰、工会成员的个人数据。
包括遗传数据和经过处理可以唯一识别个体的生物特征数据。
不包括涉及刑事定罪和罪行的个人数据，但该类数据的处理和保存有特殊要求。
GDPR中数据主体的权利（第三章）
l 知情权
l 访问权
l 反对权
l 可携带权
l 纠正权
l 删除权/被遗忘权
l 限制处理权
l 免受数据画像影响
GDPR中处理个人数据的基本原则
l 合法、正当、透明
l 处理数据的目的是有限的
l 仅处理为达到目的的最少数据
l 确保数据准确、及时更新
l 存储数据的期限不得长于为达到目的所需要的时间
l 采取技术和管理措施以保护数据的安全
l 数据控制者有责任并应能够证明做到了以上几点
GDPR中对合法处理数据的定义
至少满足一下中的某一项，处理数据才是合法的
l 数据主体同意为了特定目的处理其数据
l 处理数据是为了签订或履行合同的需要
l 处理数据是为了遵守法定义务的需要
l 处理数据是为了保护数据主体或其他自然人的至关重要的利益
l 处理数据是为了公共利益或形式政府授受的权力
l 处理数据是为了追求数据控制者的合理利益，但不得损害数据主体的利益
GDPR中针对儿童数据的处理规定
处理16岁以下儿童的个人数据，必须获得该儿童父母或监护人的同意或授权。各成员国可以对上述年龄进行调整，但是不得低于13岁
GDPR中数据控制者与数据处理者的义务
设置DPO（数据保护官）
文档化管理
数据保护影响评估
事先咨询机制
数据泄露报告机制
安全保障措施
遵守数据跨境转移规则
GDPR中针对特别类型个人数据的处理规定
禁止收集处理反映个人种族或民族起源、政治观点、宗教和哲学信仰、是否是工会组织成员的数据、个人基因识别数据、生物数据、或涉及健康、性生活或性取向的数据。但在例外的情况下也可以收集加工以上数据，如已获得个人的明示同意，或数据控制者因处理劳动关系、社会保险之需要并在法律允许的范围内且已采取了适当的保护手段等。
GDPR中关于数据主体被遗忘权的规定（重要）
当个人数据已和收集处理的目的无关、数据主体不希望其数据被处理或数据控制者已没有正当理由保存该数据时，数据主体可以随时要求收集其数据的企业或个人删除其个人数据。
如果该数据被传递给了任何第三方（或第三方网站），数据控制者应通知该第三方删除该数据。
GDPR中关于数据主体可携带权的规定（重要）
数据主体可向数据控制者索要其数据，也可将其个人数据转移至另一个数据控制者。
GDPR中关于个人数据泄露通知的规定（重要）
数据控制者应在72小时之内向监管机构报告个人数据的泄露情况。当数据泄露可能会给数据主体的权利或自由带来巨大风险时，数据控制者必须毫不延误的通知数据主体，以便数据主体及时采取措施。
GDPR中关于设立数据保护官的规定
为确保数据保护合规并处理数据保护相关事务，数据控制者和数据处理者需设置数据保护官（DPO）。
控制者和处理者应当对数据保护官不下达任何指令，DPO不能因为执行任务的原因被解雇或者受到刑事处罚。
数据保护官直接向最高管理者报告工作。
根据联盟法律或者成员国法律规定，数据保护官应当对其执行任务的内容进行保密。
数据保护官也可以执行其他任务，履行其他职责。
GDPR关于执法和处罚的规定（非常重要）
不遵守信的数据隐私法规的后果就是会受到严厉的制裁和巨额的罚款。
GDPR的处罚并不是像网上传的那样直接就罚全球营收的4%。而是有两个等级的征收行政性罚款的规定：
对于一般性的违法，罚款上限是1000万欧元，或者在承诺的情况下，最高为上一个财政年度全球全年营业收入的2%（两者中取数额大者）；
对于严重的违法，罚款上限是2000万欧元，或者在承诺的情况下，最高为上一个财政年度全球全年营业收入的4%（两者中取数额大者）；
判罚的严重程度是基于以下因素：
l 违规的性质、严重程度和违规的持续时间
l 违规是故意的还是因疏忽造成的
l 对个人身份信息的责任心和控制程度
l 违规是单个事件还是重复事件
l 受到影响的个人资料的种类范围
l 数据主体遭遇的损害程度
l 为了减轻损害而采取的行动
l 由违规产生的财务预期或收益
GDPR核心旨在保护隐私数据，并通过法案约束来建立企业和公民之间的信任关系，违反GDPR的代价远不止财务层面，还将给企业声誉造成极大破坏，并且导致企业和消费者之间产生信任危机
总结
由于青莲云所在的物联网行业也处于GDPR法案的约束之中，故此整理出法案中的重点思想与业界分享。GDPR此次改革以保护公民的基本权利为理念，在提高个人数据保护标准的同时，也会增加企业的合规成本。法案的背后是对隐私和安全的需求，法案生效后会成为国际数据隐私保护标准。
对于物联网行业的相关企业（硬件、软件、制造、数据分析等）来说，从此刻开始提升物联网安全意识，关注数据安全和用户隐私安全，积极的采取相应的整改或强化措施刻不容缓。青莲云安全团队也将在不断提升自身安全攻防能力和安全合规意识的同时，与客户企业建立长期持续的安全咨询合作关系，共同建设安全、自主、可信的物联网安全新业态。
这个问题我来回答一下吧，关于物联网如何打造智慧城市的问题，物联网可以联系到整个城市的方方面面，可以进行统一规划管理，集中决策，进行自动规划，所以叫做智慧城市，具体主要包括就是交通调度、城市各种数据检测、安全监管、应急处置、物流管理、政府工作、医疗卫生、消防环保、智慧园区和教育等等，接下来详细阐述。
整个智慧城市里面最重要的可能就是智慧交通，城市越来越大，车辆人口越来越多，拥挤堵车是常态，所以智慧城市的第一步就是要打造实时自动调度的交通系统，能够对交通复杂区域进行合理规划，在高峰时期合理调度车辆和路线，这就需要对全市的车辆进行登记，安装物联网设备，同时，对整个城市主要交通节点进行检测和车流量分析，反馈给决策系统做出调度决策，保证整个城市是交通调度。
第二个方面就是城市各项参数检测监管，包括温度湿度，气压，各种污染物，以及天气预警，实现整个城市的各项参数可视化，在各大主要区域进行展示，参数异常就进行预警派人处理。这里面同样包括消防，对整个城市是建筑进行监测，安装各种物联网系统，实时检测分析，出现问题能够讲预警信息直接传输到所有相关部门，进行应急处理。接着就是智慧应急处理，那就是城市在紧急时候进行全城管理，为紧急事件让步，这就需要政府的数字化办公，能够及时的收到应急事件并启动统一管理。
大城市有一个问题就是流动人口多，不好进行管理，智慧城市在物联网时代应该借助物联网系统对流动人口加强监测，主要就是开发物联网设备，在主要路口进行人员跟踪识别，信息录入数据库，并进行大数据比对，可以对高危人群进行监测，需要的时候可以利用这个信息。这个不仅仅是智慧城市的一部分，更是智慧园区、社区的一部分。在教育方面，大家都知道教育资源发布是极其不均衡的，在物联网时代，借助5G高速低延迟的特点，可以借助智慧教育系统，实现优质教育资源全城共享，促进公平公正的教育事业。主要技术就是物联网、云计算和大数据分析，涉及到传感器网络布局、数据传输、调度算法、决策算法等等方面。
“大数据时代，在充分挖掘和发挥大数据价值同时，解决好数据安全与个人信息保护等问题刻不容缓。”中国互联网协会副秘书长石现升在贵阳参会时指出。员工监守自盗数亿条用户信息
今年初，公安部破获了一起特大窃取贩卖公民个人信息案。
被窃取的用户信息主要涉及交通、物流、医疗、社交和银行等领域数亿条，随后这些用户个人信息被通过各种方式在网络黑市进行贩卖。警方发现，幕后主要犯罪嫌疑人是发生信息泄漏的这家公司员工。
业内数据安全专家评价称，这起案件泄露数亿条公民个人信息，其中主要问题，就在于内部数据安全管理缺陷。
国外情况也不容乐观。2016年9月22日，全球互联网巨头雅虎证实，在2014年至少有5亿用户的账户信息被人窃取。窃取的内容涉及用户姓名、电子邮箱、电话号码、出生日期和部分登陆密码。
企业数据信息泄露后，很容易被不法分子用于网络黑灰产运作牟利，内中危害轻则窃财重则取命，去年8月，山东高考生徐玉玉被电信诈骗9900元学费致死案等数据安全事件，就可见一斑。
去年7月，微软Window10也因未遵守欧盟“安全港”法规，过度搜集用户数据而遭到法国数据保护监管机构CNIL的发函警告。
上海社会科学院互联网研究中心发布的《报告》指出，随着数据资源商业价值凸显，针对数据的攻击、窃取、滥用和劫持等活动持续泛滥，并呈现出产业化、高科技化和跨国化等特性，对国家和数据生态治理水平，以及组织的数据安全能力都提出了全新挑战。
当前，重要商业网站海量用户数据是企业核心资产，也是民间黑客甚至国家级攻击的重要对象，重点企业数据安全管理更是面临严峻压力。
企业、组织机构等如何提升自身数据安全能力？
企业机构亟待提升数据安全管理能力
“大数据安全威胁渗透在数据生产、流通和消费等大数据产业的各个环节，包括数据源、大数据加工平台和大数据分析服务等环节的各类主体都是威胁源。”上海社科院信息所主任惠志斌向记者分析称，大数据安全事件风险成因复杂交织，既有外部攻击，也有内部泄密，既有技术漏洞，也有管理缺陷，既有新技术新模式触发的新风险，也有传统安全问题的持续触发。
5月27日，中国互联网协会副秘书长石现升称，互联网日益成为经济社会运行基础，网络数据安全意识、能力和保护手段正面临新挑战。
今年6月1日即将施行的《网络安全法》针对企业机构泄露数据的相关问题，重点做了强调。法案要求各类组织应切实承担保障数据安全的责任，即保密性、完整性和可用性。另外需保障个人对其个人信息的安全可控。
石现升介绍，实际早在2015年国务院就发布过《促进大数据发展行动纲要》，就明确要“健全大数据安全保障体系”、“强化安全支撑，提升基础设施关键设备安全可靠水平”。
“目前，很多企业和机构还并不知道该如何提升自己的数据安全管理能力，也不知道依据什么标准作为衡量。”一位业内人士分析称，问题的症结在于国内数据安全管理尚处起步阶段，很多企业机构都没有设立数据安全评估体系，或者没有完整的评估参考标准。
“大数据安全能力成熟度模型”已提国标申请
数博会期间，记者从“大数据安全产业实践高峰论坛”上了解到，为解决此问题，全国信息安全标准化技术委员会等职能部门与数据安全领域的标准化专家学者和产业代表企业协同，着手制定一套用于组织机构数据安全能力的评估标准——《大数据安全能力成熟度模型》，该标准是基于阿里巴巴提出的数据安全成熟度模型（Data Security Maturity Model, DSMM）进行制订。
阿里巴巴集团安全部总监郑斌介绍DSMM。
作为此标准项目的牵头起草方，阿里巴巴集团安全部总监郑斌介绍说，该标准是阿里巴巴基于自身数据安全管理实践经验成果DSMM拟定初稿，旨在与同行业分享阿里经验，提升行业整体安全能力。
“互联网用户的信息安全从来都不是某一家公司企业的事。”郑斌称，《大数据安全能力成熟度模型》的制订还由中国电子技术标准化研究院、国家信息安全工程技术研究中心、中国信息安全测评中心、公安三所、清华大学和阿里云计算有限公司等业内权威数据安全机构、学术单位企业等共同合作提出意见。
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）