自2018年欧盟《通用数据保护条例 (GDPR)》 成为法律以来，全球隐私立法态势发生了巨大变化。在GDPR出台之前，唯一类似的重要法律是美国保护患者健康信息的《健康保险便携性和责任法案(HIPAA)》和保护信用卡信息的标准《支付卡行业数据安全标准(PCI-DSS)》。自GDPR颁布以来，还出台了几个关键的数据隐私法，比如巴西的《通用个人数据保护法案（LGPD）》，《美国加利福尼亚州消费者隐私法案(CCPA)》，《中国个人信息保护法(PIPL)》，《新西兰隐私法案》，《塞尔维亚数据保护法》和泰国《个人数据保护法案（PDPA）》 均已颁布。这些法律大多以GDPR为模型，因此，GDPR似乎可以被定义为所有最新数据隐私法的先驱。由于COVID-19，数据隐私法律法规版图的夸张在2020年和2021年有所延缓，但仍有一些法律法规如印度的《个人数据保护法案（PDP）》预计将很快公布。

    随着许多不同国家/地区推出数据隐私法规，组织如何确保其准备好遵守每一部必须遵守的新法规？当一个组织在全球范围内与全世界的客户开展业务时，这一问题就变得更加复杂——由于引入了跨境数据传输的元素，给这一难题增添了另一重维度的复杂性。组织的最佳途径是利用流程和工具实现完善的且可扩展的数据隐私底座，以遵守新的法律法规。尽管无法预测需要实施哪些控制措施才能遵守即将出台的法律，但组织需要使用数据隐私参数进行自我评估，并为即将出台的隐私法规做好准备。

    通过回答一些基本但具体的问题可以对个人数据的属性进行检查：

图片来源于公共图片库

    组织必须了解它们是数据处理者还是控制者，或者两者兼有。数据控制者决定处理个人数据的目的和方式，而数据处理者仅代表控制者处理个人数据。明确数据处理的角色是组织必须自己提出的最基本的问题之一。对于不同的数据集，组织可能既是控制者又是处理者。数据处理，安全控制措施和跨境数据传输取决于组织是控制者还是处理者。通常情况下，对控制者会实施更加严格的处罚和要求，而处理者也需履行几项法律义务。

    访问PII的组织迫切需要确定哪些数据隐私法规适用于其当前的活动。如果PII在巴西进行处理，或者向巴西境内的个人提供商品或服务，则LGPD适用；如果处理的是塞尔维亚的个人数据，则适用《塞尔维亚数据保护法》。大多数隐私法规包括对违规行为的严厉处罚。再加上不合规可能对品牌造成的影响，使得组织专注于确保遵守法规要求。如果具备以下条件，则大多数生效的数据隐私法律法规均将适用：

1. 处理是由建立在特定地理区域/国家/地区的控制者或处理者执行，无论处理是否在该地区/国家/地区进行。

2. 处理是由没有建立在特定地理区域/国家/地区的控制者或处理者执行，其处理行为是：

    基本评估和数据流图可用于确定适用的法律法规，但需要包含适当的问题。在评估中使用的一些合适问题示例包括：

    这是处理个人数据的组织需要实施的关键流程之一。所有安全事件和数据泄漏都应通过有组织的安全事件管理流程来关注安全事件识别、告知、调查、解决、恢复和关闭进行处理。自GDPR宣布对数据泄露进行罚款以来，这一流程显得尤为重要。罚款最高金额为两千万欧元或处以上一财政年度全球年营业额的4% (两者以较高者为准)或一千万欧元或处以上一财政年度全球年营业额的2% (两者以较高者为准)。

图片来源于公共图片库

    安全意识计划是一项正式/有组织的计划，旨在培训员工如何避免造成可能使组织数据面临安全事件风险的情况。其目标还包括加强对组织遵循的安全实践的意识。该计划应涵盖新员工和长期雇佣的员工，并应定期对其意识予以加强。一个良好的行业做法是将供应商或第三方资源纳入意识计划中。

    跨境数据传输是指信息在跨国家/地区的服务器之间移动或传输。当组织处理个人信息时，一个关键考虑因素是数据是否传输到该国境外。欧盟已经确定了充分性认证国家的清单，即允许个人数据从欧盟流向这些国家，而无需采取任何进一步的保护措施。对于向未列入该清单的国家传输个人数据，有几种已获批准的数据传输机制，如标准合同条款 (SCC)。

    大多数法规强调实施技术性和组织性措施(TOMs)来保护个人数据，因此如果组织已经实施了强大的技术控制措施，例如加密，匿名化，访问控制，漏洞管理，端点检测，入侵防御，补丁管理和安全意识，组织将更容易确保TOMs适用于大多数即将出台的法规。数据隐私法律通常都是高层级的要求而不会规定某些具体安全措施，理解这一点将很有帮助。

    国际标准化组织(ISO)/国际电工委员会(IEC)ISO/IEC 27001，ISO/IEC  27701 和支付卡行业数据安全标准(PCI DSS)等行业认证是组织为进行数据保护和保护数据免于泄漏而实施独立验证的控制措施的好方法。这些认证也是对客户的一种保证，即组织对安全和数据隐私非常重视。

    这些协议通常是控制者和处理者之间具有法律约束力的合同，详细说明了正在处理的数据的范围和性质。处理者和分包处理者之间也需要签署相关协议，将控制者的要求向下传输到分包处理者。某些法规比如GDPR，LGPD和 LPDP强制要求使用此类协议。 

    考虑本文中讨论的数据隐私因素将会为组织准备任何即将出台的法规起到作用。然而应该注意的是，许多数据隐私法规都有特定的要求，这些要求需要单独的解决。