2018年5月25日起，欧盟（EU）《通用数据保护条例》（GDPR）正式实施。该法规旨在加强公民权益保护、提升企业与用户关系的透明度，并强化企业责任。欧盟消费者将有权随时了解品牌如何使用和存储其个人数据。
与此同时，《ePrivacy条例》正在制定中。作为欧盟补充法律框架，它旨在尊重隐私权并保护电子通信中的个人数据，涵盖“物联网”（IoT）及Skype、WhatsApp、SnapChat、Facebook Messenger等即时通讯工具。目前实施日期未定，但可能同为2018年5月25日。
任何捕获、共享或持有欧盟公民个人信息以开展业务的组织均适用GDPR。所有电商参与者都将受这两项规定全面影响；包括各类数字营销活动乃至基础策略。
如何正确行事
专注于程序化媒体购买和数据管理的公司Digilant汇总了七项建议，供广告主、代理商等行业参与者采纳，以确保新规下程序化广告的合规运营：
1. 隐私政策
每个品牌或代理商必须制定隐私政策，明确说明个人数据的收集、存储、传输和处理方式。该政策必须确保用户获得充分且适当的信息，以便访问数据、审查用途、进行更改（如有必要）或撤回同意，并准确了解品牌掌握的信息内容、共享对象及使用目的。
同时，供应商需向广告主证明合规以避免处罚风险。在此方面，GDPR将归属于设备的Cookie认定为“个人数据”，因其可用于直接或间接识别用户画像以服务商业目的（如广告投放）。
根据现行《ePrivacy条例》，使用Google Analytics等第三方平台评估访客量、浏览量等以优化营销活动时，需获得每位用户对cookies的明确同意。
2. 明确授权
必须获得明确授权，因为仅在用户访问网站并以肯定行为（opt-in）给予同意后，cookies方可激活。
仅在人首次访问时显示“使用本网站即表示您接受Cookie”等隐含同意（opt-out）的消息是不够的。用户的肯定行动应是通过配置浏览器来允许安装Cookie。
此外，当cookies处理活动具有不同目的时，用户必须为每个目的分别给予同意。最佳实践是在隐私政策部分列出所有cookies。
3. 方便撤销
必须让用户既能方便地给予同意，也能方便地撤销接受cookies的授权，并确保该选项对访客始终可见且易于访问。
4. 集中包含个人数据的信息
必须在单一平台（如CRM）上完成，该平台应保存同意记录，避免因信息分散产生错误。
这也是更新互联网收集信息、实现高级库存管理的好机会，可通过实施适应GDPR的表单获取新授权。
5. 问责制
为符合GDPR问责制（Accountability）原则，即主动应对潜在安全漏洞，必须采取技术和组织措施以确保数据安全。
6. 以客户为中心
采用真正以客户为中心的策略并针对潜在客户调整。例如提供cookies以换取内容或服务。研究表明，用户愿意提供数据以换取更好的体验。
7. 舍弃多余数据
根据数据最小化原则，企业应停止收集不使用的信息，仅收集实现处理目的所必需的数据。这不仅能增加用户信任，还能节省物流成本，因为数据量越小，维护时效性所需资源越少。
Juan Camilo Bonilla, Digilant
“必须将GDPR合规转变为有序过程。这意味着与公民互动方式的重大变化，但必须将其视为挑战来承担”，Digilant西班牙董事总经理Juan Camilo Bonilla表示。
“GDPR并非阻止商业通信，而是提高消费者保护。目的是推广最佳实践，使品牌信息触达真正感兴趣的人，而非发送无关信息，从而更好优化客户投资。”Digilant西班牙最高负责人总结道。
然而，他也警告称，隐私电子条例“以目前措辞，危及现代电子商务及物联网等领域的技术发展。连接设备提供的信息对提升汽车驾驶、能源消耗及远程健康监测效率至关重要。相信欧洲管理机构会进行必要修改，在保障公民隐私的同时，不终结现有经济体系或阻碍科学进步。”
影响哪些企业
任何在欧盟境内或与欧盟公民/企业进行业务往来并使用个人数据的公司。
GDPR认为，任何可直接或间接识别个人的信息（如姓名、身份证号、地址、电话）均属个人数据。与身体身份相关的基因、生理、心理、经济、文化或社会数据也被视为“个人”信息。根据新规，IP地址和Cookie也属于“个人”信息。
此外，GDPR规定处理个人信息的企业必须设立数据保护官（DPO）。该专业人士负责确保信息安全并全面遵守新法规。
严重滞后
Osterman Research研究指出，73%的企业尚未准备好满足GDPR规定的义务。
Gartner报告估计，到2018年底，受影响企业中超过50%将无法完全符合要求。尽管新条例于2016年5月24日生效并给予两年适应期，现状仍令人担忧。
事实上，西班牙数据保护局（AEPD）近期因多项违规对Facebook处以120万欧元罚款，包括在未获明确同意的情况下收集意识形态、性别、宗教信仰、个人喜好或浏览行为等信息用于广告营销。
虽然Facebook已上诉，但这表明GDPR实施后类似情况可能普遍发生。违规公司将面临最高2000万欧元或全球营业额4%（取较高者）的罚款风险。