圍繞個資爭議的一場科技大地震即將來臨，不過震央是在與美國矽谷相隔遙遠的歐洲。歐洲聯盟正準備實行新個資保護規定，讓消費者對個人資料如何被使用有更大的控制權。從科技龍頭到各行各業可能都到找尋因應之道。
歐洲的「一般數據保護規範」（General Data Protection Regulation，簡稱GDPR）將在五月二十五日正式上路。制定法令的專家們說，臉書用戶個資遭到濫用的新聞，突顯了如今網路攻擊和數據外洩猖獗的時代，立法規範以保護消費者的重要性。
什麼是GDPR？
它目標是更新並取代在1995年訂定的數據使用法令，以配合如今駭客攻擊、安全漏洞、和數據外洩日益頻繁的時空環境變化。
歐洲委員會說，新立法的動機主要是出自人們對科技公司的信任日漸流失。新的規定讓歐洲人對個人資料有更大的掌控權。
歐盟「一般數據保護規範」（GDPR）七大要點
一、境外生效：設於歐盟的企業或對象為歐盟公民的產品與服務，都受法例規範。
二、外洩通報：若有資料外洩，必須於72小時內通知歐洲數據保護機構；若涉敏感資料，須通知當事人。
三、明確同意：清楚詢問當事人是否同意提供某些具體個人資料；個人資料不可自動分拆給其他單位。
四、被遺忘權：當事人即使交出個人資料，亦有權要求將它們刪除。
五、反對建檔：當事人可以反對公司利用收集得來的資料，為他們建立個人檔案。
六、資料轉移：當事人可以下載所有個人資料，並轉移到其他平台使用。
七、高昂罰則：最高罰款額為企業全球年度營業額的4％或2000萬歐元。
（資料來源：路透）
對公司有什麼影響？
在歐盟之下，任何擁有或使用人們數據的企業，不論它的總部設在何處，都在新規定的管轄範圍內。
提供歐洲產品與服務、以及監看人們瀏覽歷史等線上行為的公司，都會受到新規定的影響。
這意味著矽谷的科技公司，像是在歐洲擁有數千萬用戶的臉書和谷歌，都必須改變過去公司的做法。
根據新的法律規範，公司將必須事先以清楚的書面文字形式尋求同意，才可儲存和處理個人數據。公司持有這些數據也不得超過必要的時間，同時，除了少數的特殊情況，任何人都可要求他們的個人數據從某個公司伺服器中刪除。
公司也必須證明自己以正確方式處理數據，這意味著雇用更多數據保護的人員，以及對數據處理做更多監看和紀錄。
對一般人有什麼影響？
一般消費者未來使用網路是，將看到更多徵求同意使用數據的請求，以及更多關於隱私權的提醒。這二者各自獨立，不能包裹在同一個用戶的「一般條款和條件」契約中。
新規範意味著科技公司不能再預設用戶是自願交出他們的數據。舉例來說，如今它們不能自動把用戶列入他們的寄件名單，然後再提供他們「解除訂閱」的選項；它們必須一開始先徵求用戶的同意。同時，詢問用戶是否要訂閱的預設選項（default option）必須為「不要」。
公司也必須在發現數據安全漏洞的72小時內通報主管單位，以縮小個資外洩與用戶被告知之間的時間差。
新規則的代價是多少？
確認企業遵守新規定的成本代價並不小。許多大公司已經雇用了獨立的稽查人員和顧問來確保公司符合規定。
不過，違反規定代價還要更大。歐盟制定的罰款金額最低為2000萬歐元或是最高全球年度營收的4%，對科技龍頭而言代表著數十億美元的天價罰款。
歐盟以外地區有什麼影響？
這項法律保障的是歐盟28個會員國的5.06億公民，直接影響到的是與歐洲有生意往來的企業。不過歐洲是龐大且具有影響力的市場，它的規範具有打造全球標準的實力，將迫使跨國企業不得不加強對全球所有顧客數據的隱私保護。
參考資料：CNN，Vox
