时代在变迁，涉及在线交易过程中所交换数据隐私的法规同样在变化。一场以 GDPR（General Data Protection Regulation，通用数据保护条例）这一全新安全法规为形式的变革正在兴起。您会认同这样一个事实：每个网站都是一家组织的门面。因此，所有处理或控制用户个人信息的组织都有责任确保其网站符合特定的隐私条款。如果您正是这类希望向在线访客提供透明度的组织，本篇博客将阐明围绕这一新发布 GDPR 条例实施的一切要点。

GDPR 背后的故事

2014 年 Facebook 收购 WhatsApp 涉及高达 190 亿美元的巨额交易。由于 WhatsApp 未能变现其用户，Facebook 将每位 WhatsApp 用户的价值定为 42 美元，这同样是一个不小的数字。所有那些没有阅读其关于共享个人数据隐私政策的 WhatsApp 用户，如今都处于劣势。

WhatsApp 确实制定过隐私政策，但既然您遗漏或选择不去完整阅读，您的个人数据如今便会落入 Facebook 之手。这一情形揭示了那些存储或处理在线用户信息的公司在重大缺陷上的问题。对于在线画像受损的用户而言极为不利，正是这种局面催生了针对网站及其使用个人数据的法定监管需求。

GDPR 的目标

为了保护欧洲网民的在线数据，一套名为 GDPR 的新规则体系应运而生。GDPR 让欧洲公民能够更好地掌控自己的个人数据，其规则必将对贸易双方——客户与企业——产生积极影响。因此，GDPR 的核心围绕欧盟（EU）以及所有与欧盟开展贸易的国家，如何最大限度地利用蓬勃发展的数字经济。

尽管隐私改革于 2015 年 12 月确立，但当时宣布到 2018 年 5 月 25 日，所有数字公司都应确保在线交易的更大透明度。相关条款围绕用户信息的共享与处理、共享同意以及个人数据的隐私展开。

包括您的名字、电子邮箱与常住地址，以及位置详情、IP 地址、性取向、宗教信仰与政治观点在内的所有重要信息，如今都被保存在不同的接口上。银行、在线购物门户、社交媒体平台、在线零售接口以及政府网站现在都可以访问所有这些资讯。因此，确保这一庞大的个人信息库免受隐私泄露的威胁已是当务之急，而这正是 GDPR 规则发挥作用、惠及欧盟及更广阔区域企业的地方。

在线用户将获得什么

一旦网站遵守了严格的 GDPR 规范，数据主体便能更好地掌控以下参数——即在线用户在保护其个人数据方面的权利。

- 用户现在可以掌握主动权，在个人信息的披露与访问上维护自身利益。

- 若用户希望更新或删除这些信息，也可以享受到更正服务，乃至对信息进行彻底清除。

- 除了受益于对个人信息处理施以严格限制外，他们还能维护自身的数据可携性需求。

- GDPR 允许用户对过度的个人数据公开提出异议，并修订其自动化支付决策或用户画像功能。

GDPR 合规检查清单

除了确保您的在线形象符合 GDPR 所制定的所有条款外，作为企业，您还应让用户知晓您的网站符合 GDPR 规范。如果您不遵守这些规则，将面临高额罚款与处罚。安全总比事后懊悔要好！遵照这一普遍准则，您可以勾选下方列出的所有检查项，从而不给 GDPR 不合规留下任何空间。

退出选项

如今网站必须允许用户永久禁止网站存储和处理其个人数据。换言之，用户将拥有最终决定权，撤回此前以 Cookie 形式存储的数据。这一特性在存储在线购物者或用户银行特定信息的支付网关中发挥作用。

Cookie 同意

尽管 Cookie 能够带来更好的用户体验，但它们只应在用户同意使用其数据之后才被应用。因此，所有符合 GDPR 的网站都应在处理用户个人信息时征得其同意。GDPR 合规决议第 30 条对 Cookie 的表述如下：

自然人可能与由其设备、应用、工具及协议所提供的在线标识符相关联，例如互联网协议地址、Cookie 标识符或其他如射频识别标签之类的标识符。这可能会留下痕迹，尤其是当其与唯一标识符以及服务器接收到的其他信息相结合时，这些痕迹可被用于构建自然人的画像并识别其身份。

条款与条件页面

GDPR 强制要求网站拥有独立的"条款与条件（Terms and Conditions）"页面，并应告知用户其业务以自身 T&C 运营。每次访客访问任何网站时，GDPR 合规规定都应将用户重定向至 T&C 页面。

摒弃默认选项

网站应取消默认设置。可能会出现这样一种情况：用户并不希望注册其电子邮箱以接收促销消息。在此情形下，网站应始终将选项框保持未勾选状态，让用户自行作出选择。

索取有限信息

作为在线用户，您一定遇到过应用与网站索取不必要信息的情形。您可能会注意到，当应用所提供的功能与它所索取的无关信息并列时，二者之间存在明显的不匹配。这正是 GDPR 所要解决的警示信号。通过这一法规，应用与网站将被限制在社交媒体应用或用户联系表单中抓取用户信息。

通过 SSL 证书增强 Web 安全

SSL 是 Secure Sockets Layer（安全套接层）的缩写。通过部署 SSL 证书，您可以为网站的整体安全性提供有力保障。一旦您的网站获得 SSL 认证，便能在站点上启用可视化的安全指示符，进而让用户确信其在线画像在您的网站上处于安全状态。下面我们来看看不同类型的 SSL 证书。

常见的 SSL 证书类型包括：域名验证（Domain Validated，DV）证书、组织验证（Organization Validated，OV）证书、扩展验证（Extended Validation，EV）证书、通配符（Wildcard）证书、多域名（SAN/UCC）证书，以及代码签名（Code Signing）证书。

设立数据保护官（DPO）

任命一名负责监督大量特殊数据处理的数据保护官（DPO），将为您的网站带来更高的安全性，保护所有公司特定信息。在隐私政策中披露您的网站由 DPO 管理，将提升其可信度。因此，应在您的隐私政策中注明 DPO 的可联系方式。DPO 职责归类于欧盟 GDPR 决议第 97 条。

在私营部门，控制者的核心活动与其主要活动相关，而不涉及作为辅助活动的个人数据处理。所需的专业知识水平应根据控制者或处理者所执行的数据处理操作以及所处理个人数据所需的保护程度来具体确定。无论数据保护官是否为控制者的雇员，他们都应能够独立地履行其职责与任务。

应对无端的数据泄露

GDPR 的强制要求规定，每家企业的隐私政策都必须将任何数据泄露事件通知所有用户，并在这类无端情形出现时，解释导致数据遭泄露的原因。

IP 地址追踪告知

如果网站正在使用用于追踪用户 IP 地址的第三方工具，应通知用户。同样重要的是，用户应被告知其网站所运行的评论系统。

量身定制的隐私政策

一刀切并不适用于所有情形，这一点对每个需要自身隐私政策的网站而言都如此真实。尽管您可以参考其他网站的隐私政策，但不应盲目照搬。因此，制定一份与您的数据安全与业务需求相契合的定制隐私政策是值得的。

核心要点

为了弥补提升用户体验过程中出现的种种漏洞，确保用户在线形象的安全已是当务之急。唯有如此，用户才会自觉地与您开展交易。丰富在线业务的根本准则应当是：用户应知晓自己交出了哪些信息，而网站应向用户公示其正在索取哪些数据。所有这些关切都由 GDPR 加以解决——这一值得欢迎的举措必将改变用户在线之旅的面貌。