欧盟新的数据保护法将于5月25日生效。欧洲及其他地区的许多企业对此置之不理，这是一个错误。不合规可能导致高达2000万美元的巨额罚款。如果您的公司与任何欧洲消费者开展业务或进行沟通，您应当遵守该法规，至少应尝试遵守。
该法律——通用数据保护条例（GDPR）是一套令人疯狂的监管规定，使小型企业的生存变得困难甚至不可能。基本规则令人望而生畏，让人怀疑任何公司如何能继续经营下去。
核心要求如下：
- 告知欧盟消费者您的身份、收集的数据类型、收集原因、计划保留时间以及哪些第三方将接收这些数据；
- 在收集欧盟消费者的任何数据之前获得其明确同意，暗示性同意是不够的；
- 允许欧盟消费者访问、下载和删除其数据；
- 如果发生数据泄露，请及时通知欧盟消费者。
这对电子商务公司意味着什么？
首先，该法律具有追溯力，你必须将其应用于你已有的数据。因此，你必须要么删除所有来自欧盟客户和潜在客户的数据，要么联系他们以获取明确许可。在这种沟通中，你必须告知他们如何访问、下载和删除其数据。同时，必须记录哪些消费者回复了同意，并在合理的时间范围内删除其他人的数据。（注：目前尚不清楚这个“合理时间范围”具体指多久。）
如果您已经获得了消费者持有数据的许可，只需告诉他们如何访问、下载和删除这些数据即可，无需等待回复。从成本效益角度考虑，直接删除所有现有的欧盟消费者数据可能更为划算。
告知消费者您的身份
这最好通过隐私政策来完成，并链接到您的条款和条件。条款和条件应披露贵公司的名称并阐明商业合作的法律条款；隐私政策则应解释您持有的数据类型，并说明消费者如何访问、下载和删除数据。
获取同意
分析您的网站以确定您收集的关于消费者的数据及其收集时间。实际收集的数据很可能比您意识到的要多得多。在每个环节，您都必须获得由消费者主动勾选未预填复选框或点击按钮完成的明确同意。
最明显的地方是结账页面，添加一个简单的复选框表明客户同意您的条款和条件即可，客户对此已习以为常。
但产品评论、联系我们表单、账户注册、新闻通讯订阅以及网站分析等渠道同样需要处理。您从这些渠道收集消费者数据，因此也需要获得他们的同意。
其中，“联系我们”表单最为棘手。虽然必须收集访客电子邮件才能回复，但这属于隐含许可，而GDPR要求的是明确许可。此外，如果消费者在未访问你的网站的情况下发送电子邮件，你如何获得保留其消息及邮箱地址以便回复的许可？若无明确许可，你是否还能保留通信历史记录？
访问、下载与删除
GDPR 暗示每位欧盟客户都必须注册，这是否意味着不再有访客结账？确实，商家可能被迫要求对产品评论或联系我们表单进行注册，否则消费者将无法访问其数据。
另外，你的电子商务软件是否允许用户下载或删除其账户？以WooCommerce为例，目前暂不支持此功能（尽管正在处理中）。即便有了该功能，若客户在你发货前删除了账户，订单履约又将面临何种问题？
数据泄露应对
一旦发生数据泄露，您必须在72小时内通知所有受影响的欧盟消费者。前提是，您已发现泄露事件并知晓受影响人群。
为降低风险，请确保网站及时安装所有安全补丁，主机服务商保持运行环境更新，并妥善保管好所有软件、扩展程序和API。但即便如此，被黑客攻击的风险依然存在。对于小企业而言，如何在72小时内发现并响应数据泄露，仍是一个巨大挑战。
无法完全合规怎么办？
确认所有API和插件是否符合规定或许困难重重。例如购物车放弃软件，它允许商家向加购但未购买的任何人发送邮件。假设一位欧洲消费者加购后离开网站，你已通过该软件与其沟通，她虽知道你有她的数据，但她的明确许可在哪里？她如何访问并删除这些数据？这是否违反了GDPR？
还有许多其他担忧，本文仅触及皮毛。据称，GDPR是由对小型企业缺乏真正了解的人制定的。英国政府发布的《准备通用数据保护条例（GDPR）——现在需采取的12个步骤》PDF文件，详细列出了许多必要措施。
作为规模较小的电商商家，我们所能做的只是努力遵守规则，但实现百分之百的合规似乎是不可能的。