欧盟的GDPR: 在新的数据隐私规则下，什么在变化，什么不在变化

欧洲的新数据和隐私规则自周五起一周生效，明确了全球公司为有针对性的广告和其他目的收集的个人数据的所有权。多年来，这些规则促使公司重写其隐私政策，在某些情况下，即使在美国和其他隐私法薄弱的地区，也适用欧盟更严格的标准。尽管它们在Facebook面临巨大的隐私危机时生效，但这一时机在很大程度上是巧合。

对你来说，不会有太大变化，至少现在是这样; 公司将继续从你的手机、你使用的应用程序和你访问的网站收集和分析个人数据。最大的不同是，现在，这些公司将不得不证明他们收集和使用这些信息的原因是合理的。因此，现在公司正在向用户大量发送通知，这些通知旨在更好地解释他们的做法和他们提供的隐私选择。欧盟监管机构拥有新的权力，可以追捕那些过于贪婪或没有明确告诉您他们在处理您的数据的公司。

以下是这些规则的规定，以及它们对欧盟和其他地方的消费者意味着什么。

5月25日的大事

那时，欧盟的《一般数据保护条例》生效。现在，整个欧盟都有一套单独的规则，而不是在欧洲不同的国家/地区制定单独的规则。新规则适用于28个国家/地区的所有用户，无论收集，分析和使用其数据的公司位于何处。因此，这些规则将影响Facebook和Google等巨头以及只有一个欧洲客户的美国小型企业。

新规则怎么说？

公司必须使用通俗易懂的语言来解释他们如何收集和使用数据。虽然公司通常不会改变他们正在做的事情，但他们正在修改隐私政策，以消除合法的行为。Google正在嵌入视频 (当然是来自其YouTube服务) 以进一步解释这些概念。GDpR阐明了公司可以证明 “处理” 或使用个人数据的六种具体方式。有些是显而易见的，例如履行合同义务-例如，当保险公司支付索赔时。对于其他用途，例如广告定位，公司可以征求您的同意。那些不确定他们是否得到同意的人现在又回到了用户那里。

还有一个模糊的类别，称为 “合法利益”。欧洲消费者组织BEUC的高级法律官戴维·马丁 (David Martin) 表示，尽管公司必须证明其需求超过对用户隐私的潜在影响，但公司可以依靠它来继续使用数据是一个全面的理由。公司还必须使欧盟用户能够访问和删除数据，并根据声称的原因之一反对使用数据。公司必须澄清他们保留数据的时间。

这些规定迫使遭受数据泄露的公司在72小时内披露这些信息。相比之下，雅虎花了两年多的时间才发现最终涉及30亿用户的漏洞。

适用于欧洲以外的公司

Facebook，Google及其其他公司的总部可能位于硅谷，但他们在欧洲拥有数百万用户-因此必须遵守新规定。违反者将面临最高2000万欧元 (2400万美元) 或全球年收入4% 的罚款-以较高者为准。这是公司认真对待这些规则的动力。

欧盟以外的用户呢？

总部位于欧盟的公司必须向所有用户提供这些隐私保护，而不仅仅是欧盟居民。除此之外，欧盟规则只是说它们适用于 “在联盟中的数据主体”。但这是一个悬而未决的问题，这些规定将如何影响欧洲游客。总部位于伦敦的国际隐私组织的艾利德·卡兰德 (Ailidh Callander) 表示，许多问题将在法院和进一步的规则制定中得到检验。

显而易见的是，公司不必在欧洲以外的地方获得数据收集的同意。(如果没有监管，除非用户另有说明，否则公司通常会征得同意。)他们可以推迟寻求肯定的同意，直到你访问欧盟，这时你可能会面临一个弹出通知。

全球双重标准

一些公司至少将一些欧盟风格的保护扩展到所有用户。但是，如果他们未能与欧盟以外的用户保持联系，他们将不会面临法律影响或罚款。因此，除非美国和其他国家采用与欧盟类似的隐私规则 (这在不久的将来不太可能)，否则许多公司可能会维持双重隐私标准。

例如，Facebook首席执行官马克·扎克伯格 (Mark Zuckerberg) 在4月美国国会作证时承诺为用户提供 “全球设置和控制”，但在其他方面对此含糊不清。当被问及美国用户是否拥有欧洲人反对使用数据的相同权利时，扎克伯格说: “我不确定我们将如何实现这一目标。”

但是，从世界其他地区细分欧盟客户并不容易，尤其是对于没有Facebook或Google技术实力的小型公司而言。隐私研究公司ponemon Institute的创始人拉里·波蒙 (Larry ponemon) 表示: “这似乎是一个明智的举动，但在某些情况下，这是更多的工作。”