2021年8月，中國通過了《個人信息保護(hù)法》（PIPL）。雖然這是中國的第一部此類法律，但中國是自2018年以來采用與歐盟（EU）《通用數(shù)據(jù)保護(hù)條例》（GDPR）類似法律的國家之一。
各企業(yè)發(fā)現(xiàn)數(shù)據(jù)隱私領(lǐng)域越來越復(fù)雜，難以駕馭。需要對數(shù)據(jù)隱私的立法、組織、技術(shù)和合同方面越來越了解和精通，并能夠證明其合規(guī)性。
各企業(yè)在2021年一直面臨哪些關(guān)鍵挑戰(zhàn)，而哪些方法將在2022年幫助他們？
跨境數(shù)據(jù)傳輸
歐盟特別關(guān)注的是跨境數(shù)據(jù)轉(zhuǎn)移的話題。2021年6月4日，歐盟委員會發(fā)布了新的標(biāo)準(zhǔn)合同條款（SCCs），用于約束向歐盟以外的國家轉(zhuǎn)移個人數(shù)據(jù)。
這是繼Schrems II決定和歐盟數(shù)據(jù)保護(hù)委員會的相關(guān)建議之后，分別于2020年7月和2021年6月通過的條款。
近十年來，該委員會確定原來的SCC已經(jīng)過時，不再符合日益更新的數(shù)字化世界。截至2021年9月，之前的條款已不再有效，依靠以前SCC的跨境轉(zhuǎn)讓已要求在2021年12月22日之前更新。
就規(guī)模而言，任何將歐盟居民的個人數(shù)據(jù)轉(zhuǎn)移到歐盟以外的企業(yè)都必須在下一年內(nèi)更新協(xié)議。歐盟對基于實(shí)際使用案例的SCCs采取了前瞻性的模塊化方法，提供實(shí)施適當(dāng)措施的指導(dǎo)。
跨國企業(yè)，特別是中資出海企業(yè)，應(yīng)當(dāng)合理評估這項(xiàng)工作的規(guī)模，特別是對于那些可能與客戶、合作伙伴和供應(yīng)商簽訂了數(shù)百甚至數(shù)千份地方、區(qū)域和全球協(xié)議的企業(yè)。
處理跨境數(shù)據(jù)傳輸?shù)姆椒?/strong>
以我們自身為例，NTT Ltd.是一家B2B跨國企業(yè)，我們在解決跨境數(shù)據(jù)傳輸問題時，首先要清楚地了解我們與誰共享個人數(shù)據(jù)，我們的客戶是誰，我們?nèi)绾蜗蛩麄兲峁┓⻊?wù)，同時要考慮到整個價(jià)值鏈。
在操作上，我們確定受影響的合同，并審查和更新這些合同，采取與新的SCCs相一致的優(yōu)先方法。此外，我們需要有良好的技術(shù)和措施，包括適當(dāng)?shù)陌踩�，以確保個人數(shù)據(jù)在運(yùn)輸、移動或靜止時得到保護(hù)。我們也在考慮，限制數(shù)據(jù)的跨境轉(zhuǎn)移和在特定地區(qū)或國家內(nèi)實(shí)現(xiàn)數(shù)據(jù)本地化的可行性。
從更廣泛的市場來看，大多數(shù)公司的技術(shù)策略一如既往，采用新的SCCs和補(bǔ)充措施。而其他公司則采取了本地（或更保守）的方法，只在歐盟處理本地?cái)?shù)據(jù)，并只使用歐盟供應(yīng)商。
本地處理方法的成本效益分析值得關(guān)注，它將與沒有本地?cái)?shù)據(jù)能力去支持的全球供應(yīng)商關(guān)系置于風(fēng)險(xiǎn)之中，并增加了跨國企業(yè)日常運(yùn)營的復(fù)雜性，因?yàn)檫\(yùn)營需要跨境轉(zhuǎn)移，需要大量投資來建立本地基礎(chǔ)設(shè)施、系統(tǒng)和運(yùn)營，以支持持續(xù)的跨境轉(zhuǎn)移。這同樣需要投資補(bǔ)充措施和專業(yè)知識。
從戰(zhàn)略上講，企業(yè)如何與客戶一起更新SSCs的做法各有不同。一些企業(yè)采取了“Take it or leave it”的方式。這種策略有利有弊——執(zhí)行起來簡單明了，但在出現(xiàn)分歧的情況下，可能會對關(guān)鍵關(guān)系造成損害。其他企業(yè)可能會找到互惠互利的機(jī)制，這是一種以關(guān)系為中心的方法，而上述機(jī)制的談判可能需要延長執(zhí)行時間。
由于沒有共同的、全球性的立法方法，各企業(yè)主要由自己決定在立法、組織、技術(shù)和合同等方面哪些措施有效，以確保對新法規(guī)的遵守。
如果說2021年是適應(yīng)新環(huán)境，那么2022年將是站穩(wěn)腳跟。隨著新法規(guī)的明確，企業(yè)現(xiàn)在正在技術(shù)層面，系統(tǒng)、供應(yīng)鏈、程序和更多方面考慮新法規(guī)的影響。例如：
- 如何設(shè)計(jì)隱私辦公室以滿足所有要求，特別是考慮到當(dāng)?shù)氐募?xì)微差別？
- 是建立一個支持我們?nèi)驑I(yè)務(wù)的共享服務(wù)中心，還是依靠當(dāng)?shù)氐膶＜遥?/li>
- 是采取全球保守的數(shù)據(jù)隱私政策，還是采取不那么保守的方法，因?yàn)樵趥�別國家會有所不同？
- 鑒于全球數(shù)據(jù)隱私專業(yè)人才的短缺，我們?nèi)绾沃亟M整個企業(yè)的隱私結(jié)構(gòu)？
與國際專業(yè)協(xié)會（如IAPP）合作，可以幫助企業(yè)在內(nèi)部提供培訓(xùn)和電子學(xué)習(xí)，以分享隱私的高層次觀點(diǎn)，并幫助員工提高技能，以支持?jǐn)?shù)據(jù)隱私計(jì)劃。
2022年是關(guān)于領(lǐng)導(dǎo)力的一年。確保企業(yè)高管了解隱私是什么以及對整個企業(yè)價(jià)值鏈的影響，為基于場景的培訓(xùn)實(shí)施桌面練習(xí)，并在建立隱私意識文化方面獲得支持和認(rèn)可。強(qiáng)有力的領(lǐng)導(dǎo)將是企業(yè)降低違規(guī)及不合規(guī)風(fēng)險(xiǎn)的關(guān)鍵。這需要領(lǐng)導(dǎo)者做出一些大膽的決定，使企業(yè)能夠適應(yīng)不斷變化的數(shù)據(jù)隱私環(huán)境。
NTT的全球威脅情報(bào)中心
NTT全球威脅情報(bào)中心（GTIC）通過以下活動為NTT集團(tuán)客戶提供保護(hù)、資訊和教育：
- 威脅研究
- 漏洞研究
- 情報(bào)融合和分析
- 與NTT集團(tuán)客戶溝通
GTIC超越了傳統(tǒng)的純研究機(jī)構(gòu)，將威脅和漏洞研究與檢測技術(shù)開發(fā)相結(jié)合，生成應(yīng)用威脅情報(bào)。GTIC的使命是通過提供先進(jìn)的威脅研究和安全情報(bào)來保護(hù)客戶，能夠預(yù)防、檢測和應(yīng)對網(wǎng)絡(luò)威脅。
運(yùn)用世界各地的情報(bào)能力和資源，NTT的威脅研究專注于了解和洞察各種威脅者、利用工具和惡意軟件，以及攻擊者使用的技術(shù)、戰(zhàn)術(shù)和程序（TTP）。漏洞研究預(yù)先發(fā)現(xiàn)可能成為最新攻擊媒介的零日漏洞，同時保持對已公布漏洞的深入了解。
NTT安全監(jiān)控服務(wù)，通過情報(bào)融合和分析，更準(zhǔn)確地識別針對客戶基礎(chǔ)設(shè)施的惡意活動。
GTIC持續(xù)監(jiān)控全球威脅，利用我們的全球互聯(lián)網(wǎng)基礎(chǔ)設(shè)施、云計(jì)算和數(shù)據(jù)中心以及第三方情報(bào)反饋，持續(xù)監(jiān)測全球新出現(xiàn)的威脅；利用先進(jìn)的分析技術(shù)和專有工具，了解、分析、整理威脅；利用全球威脅情報(bào)平臺（GTIP）發(fā)布和整理這些威脅，使NTT集團(tuán)客戶受益。
