齊佳音 池雅瓊,2 劉 峰

(1.上海對外經(jīng)貿(mào)大學人工智能與變革管理研究院 上海 200336;2.上海對外經(jīng)貿(mào)大學統(tǒng)計與信息學院 上海 201620;3.華東師范大學計算機科學與技術(shù)學院 上海 200062；4.華東師范大學上海智能教育研究院 上海 200062)

0 引 言

縱觀數(shù)據(jù)保護的歷史淵源，尤以歐美走在世界前沿，其中歐盟秉持“對于公民權(quán)利的尊重”的價值主旨[1]，于2018年頒布的《通用數(shù)據(jù)保護條例》(GDPR)最具代表性；而后為維護自身相對于域外世界的主體地位[2]，歐盟對數(shù)據(jù)跨境政策的把控程度在逐漸提高，并且隨著Schrems II案件的判決，歐洲數(shù)據(jù)保護委員會(EDPB)于2020年11月11日又相繼發(fā)布的兩份針對國際數(shù)據(jù)傳輸?shù)慕ㄗh草案(“建議草案”)不僅延續(xù)了GDPR的執(zhí)法本質(zhì)，還更進一步收緊控制了歐盟數(shù)據(jù)的跨境流動。作為全球最嚴苛的數(shù)據(jù)保護立法，GDPR自生效以來便以維護人權(quán)的超然姿態(tài)對企業(yè)跨境數(shù)據(jù)操作合規(guī)問題提出了重重考驗，尤其是從2019年初的谷歌天價罰款開始[3]，其執(zhí)法就呈現(xiàn)出破竹之勢，此后執(zhí)法機構(gòu)更是不斷以其雷霆手段震撼著全球數(shù)據(jù)保護合規(guī)群體。當前GDPR對企業(yè)跨境數(shù)據(jù)合規(guī)問題的處罰依據(jù)主要包括：違反數(shù)據(jù)處理基本原則和未充分保障數(shù)據(jù)主體權(quán)利兩個方面。

因此，本研究著眼于面向歐盟區(qū)域的跨境數(shù)據(jù)流動監(jiān)管要點，以數(shù)據(jù)隱私管理標準發(fā)展三階段：公平信息實踐FIP、隱私影響評估PIA與隱私保護設計PbD，以及數(shù)據(jù)出境安全評估、能力成熟度模型、數(shù)據(jù)安全能力成熟度模型等為理論基礎，從企業(yè)內(nèi)部數(shù)據(jù)保護及企業(yè)外部風險防控兩方面探索數(shù)據(jù)跨境保護的人文價值與維護國家安全、經(jīng)濟利益的平衡，通過區(qū)域監(jiān)管要點、歐盟關于數(shù)據(jù)跨境的最近進展及GDPR經(jīng)典執(zhí)法案例，分析企業(yè)面向歐盟區(qū)域市場時的跨境數(shù)據(jù)保護成熟度評估因素構(gòu)成，掌握引起企業(yè)跨境數(shù)據(jù)監(jiān)管問題的關鍵要素，并運用層次分析法形成成熟度評估指標，構(gòu)建企業(yè)跨境數(shù)據(jù)保護成熟度評估模型。

1 相關理論及研究方法

1.1 相關理論

1.1.1數(shù)據(jù)隱私管理標準及安全監(jiān)管相關理論

a.公平信息實踐FIP。為了從企業(yè)管理的視角出發(fā)來解決隨企業(yè)發(fā)展所帶來的隱私保護問題，誕生于1973年的公平信息實踐(Fair Information Practices)[4]，其初衷并非側(cè)重于個人數(shù)據(jù)的保護上，而是美國政府為回應日益普遍的計算機數(shù)據(jù)庫處理個人信息所伴生的問題，成立了一個名為“關于個人數(shù)據(jù)自動系統(tǒng)的建議小組”(Advisory Committee on Automated Personal Data Systems)，并由小組首先發(fā)布的一份“公平信息實踐準則”報告[5]，確立了包括要求任何組織在計劃使用數(shù)據(jù)時必須采取預防措施防止數(shù)據(jù)的濫用等5項處理個人數(shù)據(jù)的原則。隨后又在 1977 年的“隱私保護學習委員會”報告中繼續(xù)發(fā)展，不僅構(gòu)建了數(shù)據(jù)保護系統(tǒng)的三大目標，還將5項個人數(shù)據(jù)處理原則擴展到8項，如公開原則、個人訪問原則等。至此，公平信息實踐大致確立了個人信息保護的基本框架與原則。

b.隱私影響評估PIA。20世紀70年代以來，越來越多的公眾迫切想知道自身的個人數(shù)據(jù)是如何為企業(yè)所濫用，隱私安全問題逐漸進入公眾視野并廣受關注，與此同時企業(yè)更加意識到了隱私保護在管理戰(zhàn)略中的關鍵性地位。為了對消費者權(quán)利讓渡，隱私影響評估(Privacy Impact Assessment，PIA)成為了政府以經(jīng)濟利益為導向在探索隱私管理工具之路上的豐碩成果之一[6]。作為政府規(guī)避隱私風險和進行隱私保護工作的一項政策工具[7]，自誕生之日起，隱私影響評估便帶有極為強烈的問題意識與目標導向，即首先識別、評估某些與政府數(shù)據(jù)管理項目相關的個人隱私風險，然后確定與之相對應的隱私風險應對方案，最終實現(xiàn)個人隱私的有效保護，并率先由美英加澳新帶頭成功實踐其原理及過程[8]，逐漸成為了信息安全領域最常規(guī)的信息保護手段。

c.隱私保護設計PbD。比隱私影響評估概念更加廣泛的“隱私保護設計”(PbD)起源于1995年荷蘭與加拿大數(shù)據(jù)保護當局的一份報告，進而為加拿大隱私保護專員Ann Cavoukian推動倡導[9]，隨后又獲得歐盟委員會的高度認同，并于2010年的“國際數(shù)據(jù)保護與隱私專員大會”列為保護隱私的重要方法。

d.數(shù)據(jù)出境安全評估。相比于美國的市場貿(mào)易利益導向和歐洲極致的人文價值追求，我國對數(shù)據(jù)跨境監(jiān)管則更注重人文價值與國家安全、經(jīng)濟利益的平衡。從國家安全法首次提出“網(wǎng)絡空間主權(quán)”到“數(shù)據(jù)主權(quán)”的不斷深入人心，我國將數(shù)據(jù)出境安全評估理論視為目前我國監(jiān)管跨境數(shù)據(jù)轉(zhuǎn)移最具彈性考量的法律依據(jù)[10]，并明確作為《網(wǎng)絡安全法》的監(jiān)管標準，規(guī)定了“個人信息”和“關鍵信息基礎設施”等數(shù)據(jù)的出境安全評估流程、評估要點、評估方法等，同時授權(quán)國家有關監(jiān)管部門進行“安全評估”細則的制定，為平衡個人價值和國家利益發(fā)展留有充分的余地。

1.1.2成熟度相關理論

a.能力成熟度模型(CMM)。由Humphrey等人提出的成熟度模型的概念內(nèi)涵立足于提高生產(chǎn)率和利潤率的目標[11]，為組織構(gòu)建一個有規(guī)律的、成熟的軟件發(fā)展過程提供了一個階梯式的改進框架，根據(jù)開發(fā)工作之間的內(nèi)外在關聯(lián)和先后次序逐步指引組織開展計劃并以增量的方式引入過程演化，并將變化階段劃分為初始級、可重復級、已定義級、已管理級以及優(yōu)化級5個成熟度級別，促使軟件組織最終趨于成熟化[12]。

b.數(shù)據(jù)安全能力成熟度模型(DSMM)。數(shù)據(jù)安全能力成熟度模型以采集、傳輸、存儲、處理、交換、銷毀6個階段的數(shù)據(jù)生命周期過程的安全為關鍵內(nèi)容，為組織提供了包括組織架構(gòu)和制度流程的建設、技術(shù)工具的使用要求以及數(shù)據(jù)安全從業(yè)者的數(shù)據(jù)保護意識在內(nèi)的4項安全能力衡量指標、5項能力成熟度劃分等級以及結(jié)合形成數(shù)據(jù)安全過程的11項通用安全過程域，共同構(gòu)成了組織數(shù)據(jù)安全能力的成熟度基礎模型架構(gòu)[13]。

1.2 研究方法

本研究采用群決策層次分析法及其計算軟件yaahp(Yet Another AHP)[14]，通過構(gòu)建各專家判斷矩陣并檢驗其一致性，繼而集結(jié)所有的判斷矩陣，對企業(yè)跨境數(shù)據(jù)保護成熟度評估指標賦權(quán)，從而為企業(yè)最終的成熟度得分提供數(shù)據(jù)計算支持。

2 企業(yè)跨境數(shù)據(jù)保護成熟度評價體系設計

2.1 企業(yè)跨境數(shù)據(jù)保護成熟度評價體系設計思路

企業(yè)跨境數(shù)據(jù)保護成熟度不僅涉及到企業(yè)內(nèi)部自發(fā)的數(shù)據(jù)保護，還與企業(yè)積極應對外部風險息息相關。因此本研究將從內(nèi)部和外部兩個方面來設計企業(yè)跨境數(shù)據(jù)保護成熟度評價體系。

a.內(nèi)部數(shù)據(jù)保護的設計思路。企業(yè)內(nèi)部數(shù)據(jù)保護主要通過軟硬件層面的安全設計與管理層面的合規(guī)治理兩方面來體現(xiàn)?；诖耍瑢⑵髽I(yè)內(nèi)部數(shù)據(jù)保護劃分為平臺風險與企業(yè)行為兩個維度。

平臺風險是指企業(yè)在軟硬件設計上的數(shù)據(jù)風險把控，參考DSMM中通用安全過程域和對數(shù)據(jù)保護工具的相關規(guī)定，隱私影響評估的過程及其關鍵風險內(nèi)容，將平臺風險劃分為信息系統(tǒng)層面的安全性、網(wǎng)絡協(xié)議層面的安全程度、設施各方面的物理環(huán)境安全性、網(wǎng)站用戶隱私安全設置水平、抵御黑客竊取的安全水平[15]。企業(yè)行為是指企業(yè)在管理意識、規(guī)章制度、行為表現(xiàn)上的數(shù)據(jù)保護合規(guī)治理，依據(jù)CMM、DSMM對組織架構(gòu)及制度的構(gòu)建、數(shù)據(jù)安全從業(yè)者的數(shù)據(jù)保護意識和專業(yè)技能的強調(diào)，將數(shù)據(jù)隱私意識程度、數(shù)據(jù)隱私管理制度水平和信息保護行為水平作為企業(yè)行為的評價維度[16]。

b.外部風險防控的設計思路。借鑒以國際隱私保護法的合規(guī)為核心導向的企業(yè)隱私保護實踐：Intel隱私成熟度模型、AICPA/CICA隱私成熟度模型和GDPR成熟度框架的重點內(nèi)涵，將境內(nèi)外有關法規(guī)的合規(guī)要求作為企業(yè)的相對數(shù)據(jù)保護外部風控依據(jù)，如知識產(chǎn)權(quán)保護、境內(nèi)外國家政策影響、隱私保護技術(shù)代差和數(shù)據(jù)跨境傳輸保護水平是企業(yè)面對外部風險的主要防控[16]。

2.2 企業(yè)跨境數(shù)據(jù)保護成熟度評價體系指標提取

如表1歐盟區(qū)域跨境數(shù)據(jù)監(jiān)管要點及數(shù)據(jù)出境最新建議示例所示，從歐盟跨境數(shù)據(jù)監(jiān)管要點及數(shù)據(jù)出境最新建議的具體內(nèi)容出發(fā)，綜合考量歐盟的數(shù)據(jù)處理基本原則與數(shù)據(jù)主體權(quán)利的高度人文價值追求。如根據(jù)最小范圍原則、責任原則的有關詳細要求抽離相應的數(shù)據(jù)保護要點，形成了表3中的最小化原則設置水平、數(shù)據(jù)處控雙方職責踐行水平兩項指標的依據(jù)來源；根據(jù)GDPR要求保障數(shù)據(jù)主體的知情權(quán)、訪問權(quán)、刪除權(quán)、拒絕權(quán)等有關說明，分別構(gòu)成表3中的用戶數(shù)據(jù)管理透明度、用戶數(shù)據(jù)訪問權(quán)限程度、用戶數(shù)據(jù)刪除權(quán)意識程度、用戶數(shù)據(jù)拒絕權(quán)意識程度幾項指標的內(nèi)容范疇，同時對這些個人權(quán)利的保障也是我國最新出臺的《個人信息保護法》用以更加清晰、準確和便于理解的規(guī)則來進行企業(yè)數(shù)據(jù)監(jiān)管的重點。此外，歐盟針對數(shù)據(jù)出境最新建議不僅為企業(yè)評估第三國的數(shù)據(jù)保護水平提供了“六步走”的指導，還額外補充了包括技術(shù)、合同、組織方面的一系列補充措施，均成為了表3中外部風險管控體系水平、數(shù)據(jù)安全基本技術(shù)保障水平、其他保障措施水平、員工數(shù)據(jù)隱私意識培訓程度、數(shù)據(jù)保護影響評估制度水平、保密協(xié)議簽訂制度水平、隱私評估流程踐行水平等指標的重要方面，其中特別針對諸如標準合同條款、公司約束性規(guī)則、例外情況以及自歐盟法院(CJEU)判決“隱私盾協(xié)議”無效之后提出的數(shù)據(jù)跨境“個案審查”的原則[17]等作為其他保障措施水平的關鍵內(nèi)涵，并將其設為本研究模型的一個彈性考量因素以應對未來國際形勢的變化影響。根據(jù)中興通訊數(shù)據(jù)保護合規(guī)部、數(shù)據(jù)法盟聯(lián)合發(fā)布的兩份有關GDPR執(zhí)法案例的白皮書，整理出相關處罰案例如表2所示。歐盟的GDPR處罰主要集中在缺乏數(shù)據(jù)處理合法性基礎、缺乏保障信息安全的技術(shù)和組織措施、違反數(shù)據(jù)處理基本原則、未滿足數(shù)據(jù)主體權(quán)利的實現(xiàn)、未履行充分性告知義務、違反數(shù)據(jù)泄露響應義務、違反DPO任命義務以及未簽署數(shù)據(jù)處理協(xié)議/與監(jiān)管機構(gòu)的合作不足9項內(nèi)容上，并將區(qū)域監(jiān)管要點、歐盟關于數(shù)據(jù)跨境的最近進展和GDPR執(zhí)法要點納入軟硬件層面、合規(guī)治理層面以及外部風險防控層面，來拓展企業(yè)跨境數(shù)據(jù)保護成熟度評價的三級指標體系，如GDPR的數(shù)據(jù)處理基本原則和數(shù)據(jù)主體權(quán)利可在平臺風險和企業(yè)行為中充分展現(xiàn)，而各區(qū)域執(zhí)法要點，尤其是跨境執(zhí)法規(guī)則則可在外部風險防控中具體展示。此外添加計算機硬件安全性、數(shù)據(jù)庫安全性、網(wǎng)絡協(xié)議安全性的4項具體表現(xiàn)、物理環(huán)境安全性的3項具體表現(xiàn)、黑客竊取安全水平的5項具體表現(xiàn)、員工數(shù)據(jù)隱私意識培訓程度、隱私評估流程踐行水平、知識產(chǎn)權(quán)保護水平的3項具體表現(xiàn)、外部風險管控體系水平、數(shù)據(jù)安全基本技術(shù)保障水平、跨境金融欺詐防控水平，來與上述內(nèi)容共同構(gòu)成如表3所示的12項二級指標、41項三級指標。

表1 歐盟區(qū)域跨境數(shù)據(jù)監(jiān)管要點及數(shù)據(jù)出境最新建議示例

表2 GDPR自生效至今處罰案例及處罰內(nèi)容示例

表3 二級指標及三級指標

續(xù)表3 二級指標及三級指標

最終獲得如表4所示的企業(yè)跨境數(shù)據(jù)保護成熟度評估指標總覽表和圖1企業(yè)跨境數(shù)據(jù)保護成熟度評估體系。

表4 企業(yè)跨境數(shù)據(jù)保護成熟度評估指標總覽表

圖1 企業(yè)跨境數(shù)據(jù)保護成熟度評估體系

3 企業(yè)跨境數(shù)據(jù)保護成熟度評估因素評價

3.1 構(gòu)建企業(yè)跨境數(shù)據(jù)保護成熟度評估模型

根據(jù)上述成熟度評估指標總覽表(表4)及指標體系圖(圖1)，運用AHP來構(gòu)建企業(yè)跨境數(shù)據(jù)保護成熟度評估層次模型，如圖2所示，其中A層為目標層， 目標定位企業(yè)跨境數(shù)據(jù)保護成熟度因素評價；B1-B3是維度層，C1-C12是指標層，D1-D41是在企業(yè)跨境數(shù)據(jù)保護成熟度評估過程中的具體表現(xiàn)，視為方案層。

圖2 企業(yè)跨境數(shù)據(jù)保護成熟度評估層次模型

同時沿用能力成熟度模型的5個成熟度等級劃分，但目前少有文獻詳細介紹成熟度的打分方法，僅有部分企業(yè)實踐中有所涉及。因此，本文參考Intel隱私成熟度模型的評分方式，設置分值下限為0.5、上限為5，分值粒度為0.5，以便于模型計算，具體內(nèi)容如表5所示[16]。

表5 成熟度打分(分值粒度0.5)

3.2 相對權(quán)重計算

本文采用九級標度法確定指標的相對權(quán)重[18]，而作為確定指標的一般方法，傳統(tǒng)的層次分析法局限于單專家決策使用，使得判定結(jié)果極具主觀性，因此為降低單專家決策對指標權(quán)重的影響，本文利用群決策層次分析法[14]，邀請了43位涉及金融、管理、跨境貿(mào)易、數(shù)據(jù)法、信息技術(shù)、信息安全、數(shù)據(jù)隱私等各領域的專家共同參與測量模型指標權(quán)重。使用群決策層次分析法計算軟件yaahp(Yet Another AHP)[14]矯正專家數(shù)據(jù)的誤差累積。在分別計算并修正各專家的單獨判斷矩陣，使得所有判斷矩陣均具有一致性的基礎上，采用數(shù)值平均的計算方式集結(jié)所有專家判斷矩陣，以此來降低誤差。再通過香農(nóng)信息熵方法確定各項評估指標的熵值以獲得指標的客觀權(quán)重值，最后進行主客觀指標權(quán)重值的綜合計算[15]，以此來平衡群決策分析法的主觀性，獲取最終的指標權(quán)重值。

3.3 企業(yè)跨境數(shù)據(jù)保護成熟度評估模型應用

3.3.1GDPR案例應用

首先將面向歐盟的評估體系應用于上文19個歐盟GDPR案例(見表6)，各案例不僅均覆蓋對應的GDPR執(zhí)法依據(jù)，還違反了評估體系的其他指標，其中尤以案例6沃達豐系列數(shù)據(jù)違規(guī)事件表現(xiàn)最為突出，違反了信息系統(tǒng)安全性、網(wǎng)絡協(xié)議安全性、隱私安全設置水平、黑客竊取安全水平、數(shù)據(jù)隱私意識程度、數(shù)據(jù)隱私管理制度水平、信息保護行為水平等二級指標。與其數(shù)次為GDPR，諸如將個人數(shù)據(jù)發(fā)送給非授權(quán)第三人、數(shù)據(jù)處理的法律依據(jù)不足、違反數(shù)據(jù)安全保障義務等多項處罰內(nèi)容處以嚴懲事實相符，用以初步驗證評估體系的有效性。

表6 19個GDPR案例及對應違反的指標

續(xù)表6 19個GDPR案例及對應違反的指標

3.3.2區(qū)域問卷數(shù)據(jù)收集應用

為了對模型進行應用，本文首先以金融、保險業(yè)、信息傳輸、計算機服務與軟件業(yè)和批發(fā)、零售業(yè)為對象，并針對有對歐業(yè)務的跨境企業(yè)進行了問卷發(fā)放(回收問卷總數(shù)450份)，以獲取三個行業(yè)中擁有歐盟區(qū)域跨境業(yè)務的企業(yè)跨境數(shù)據(jù)保護實際情況。同時邀請了國內(nèi)43位有關金融、管理、跨境貿(mào)易、數(shù)據(jù)法、信息技術(shù)、信息安全、數(shù)據(jù)隱私等各領域的專家共同對模型指標賦權(quán)(本文研究涉及的原始數(shù)據(jù)均放置于網(wǎng)址：https://github.com/CHIYAQIONG/Enterprise-cross-border-data-protection-questionnaire)。首先使用群決策層次分析法計算軟件yaahp計算，同時修正每一位專家的判斷矩陣，使其通過一致性檢驗，再集結(jié)全部判斷矩陣，最后使用信息熵綜合計算模型指標權(quán)重，最終獲得如表7所示的一級指標總排序。

表7 一級指標總排序

續(xù)表7 一級指標總排序

結(jié)合所收集的450份目標行業(yè)(行業(yè)問卷數(shù)量比例1∶1∶1)的企業(yè)跨境數(shù)據(jù)保護成熟度初始評分的有效問卷數(shù)據(jù)進一步分析，得到如表8所示的3個行業(yè)的最終評估情況。

表8 金融業(yè)、信息技術(shù)業(yè)、零售業(yè)數(shù)據(jù)保護成熟度最終評估情況

對比3個目標行業(yè)面向歐盟區(qū)域的跨境數(shù)據(jù)保護成熟度評估情況可得：信息技術(shù)行業(yè)總體成熟度得分位居第一，金融業(yè)第二，零售業(yè)最后。具體分析如下：

歐洲的行業(yè)標準始終都走在世界前沿，其嚴格的市場準入規(guī)定也令眾多企業(yè)望而生畏，而后又諸如將人工智能等信息技術(shù)行業(yè)囊括于外國對歐投資的敏感行業(yè)此一條歐盟新規(guī)，更加使得各國有關涉歐行業(yè)為此保持高度警惕。并且隨著GDPR執(zhí)法與IT部門的關系日漸緊密，我國涉歐信息技術(shù)行業(yè)為極力保住歐洲市場，很大一部分跨境企業(yè)早早就開始了為GDPR合規(guī)做準備，將數(shù)據(jù)隱私安全保護納入企業(yè)對歐的發(fā)展戰(zhàn)略當中；而與信息技術(shù)行業(yè)同樣歸屬于服務業(yè)的金融、保險行業(yè)始終處于歐盟規(guī)定的敏感領域，并且根據(jù)一份歐盟文件指示，歐盟擬實施更嚴厲的金融市場準入規(guī)則，迫使各金融機構(gòu)不得不重視包括數(shù)據(jù)等全方面安全在內(nèi)的對歐標準?？v觀我國零售行業(yè)相對信息技術(shù)及金融行業(yè)的數(shù)據(jù)保護意識較為薄弱，其行業(yè)數(shù)據(jù)泄露事件也在各類數(shù)據(jù)泄露事件報告中占據(jù)榜首，但本就因為疫情對零售行業(yè)的巨大沖擊，使得各國零售業(yè)處于低迷狀態(tài)，再加上歐盟本地的競爭對手極有可能在過去幾年里已經(jīng)投入了GDPR合規(guī)成本等等競爭情況，均迫使我國與歐盟境內(nèi)個人信息緊密關聯(lián)的零售業(yè)不僅要遵守歐盟市場監(jiān)管新規(guī) (EU) 2019/1020，還應更加積極踐行GDPR的有關監(jiān)管條例。

由表8可知，3個行業(yè)最薄弱的領域均為外部威脅；成熟度得分最差的二級指標均包括黑客竊取安全水平、物理環(huán)境安全性、隱私安全設置水平、數(shù)據(jù)跨境傳輸保護水平、網(wǎng)絡協(xié)議安全性、隱私保護技術(shù)代差水平6項；雖然各行業(yè)在三級指標維度的薄弱順序有所不同，但含括的指標均相同,其中尤其是數(shù)據(jù)主體權(quán)利及最小化原則等指標也赫然在列?；谟布然A架構(gòu)設施作為企業(yè)發(fā)展的先決條件，應對平臺風險就成為了企業(yè)正常運轉(zhuǎn)的基本保障。隨著目標市場的特殊性突顯，對接歐盟GDPR等準則對企業(yè)的市場戰(zhàn)略產(chǎn)生了重大的影響，其中尤其是在進行數(shù)據(jù)處理時更加注重遵守數(shù)據(jù)處理的基本原則，但數(shù)據(jù)主體的各項權(quán)利依舊是企業(yè)管理的弱勢環(huán)節(jié)。然而，以保護人權(quán)著稱的GDPR在未來終將不斷加大執(zhí)法力度，所有涉歐行業(yè)需審慎對待；同時根據(jù)民眾強烈反映的App非法、超范圍收集個人信息等現(xiàn)狀再出重拳整治的強勢態(tài)度下，各行各業(yè)均需拉響警鐘，應在維持正常業(yè)務運作下合理合規(guī)、最小化范圍收集用戶數(shù)據(jù)。

4 結(jié)論及研究局限

4.1 結(jié)論

本研究以面向歐盟區(qū)域的跨境數(shù)據(jù)流動保護問題為出發(fā)點，根據(jù)數(shù)據(jù)隱私管理標準發(fā)展三階段以及數(shù)據(jù)出境安全評估、能力成熟度模型、數(shù)據(jù)安全能力成熟度模型等理論基礎，從企業(yè)內(nèi)部數(shù)據(jù)保護及企業(yè)外部風險防控兩方面探索數(shù)據(jù)跨境保護的人文價值與維護國家安全、經(jīng)濟利益的平衡，通過區(qū)域監(jiān)管要點、歐盟關于數(shù)據(jù)跨境的最近進展及GDPR經(jīng)典執(zhí)法案例，運用群決策層次分析及信息熵方法構(gòu)建面向歐盟區(qū)域的企業(yè)跨境數(shù)據(jù)保護成熟度評估模型，并以GDPR經(jīng)典19個案例及國內(nèi)三個典型行業(yè)：金融、保險業(yè)，信息傳輸、計算機服務與軟件業(yè)，批發(fā)、零售業(yè)中涉歐企業(yè)進行模型運用。結(jié)果發(fā)現(xiàn)在面向歐盟區(qū)域時，企業(yè)跨境數(shù)據(jù)保護的突出區(qū)域性監(jiān)管缺陷，有利于客觀、準確地掌握我國企業(yè)對歐跨境數(shù)據(jù)保護方面的成熟度評估，對我國企業(yè)未來的GDPR合規(guī)踐行以及企業(yè)行業(yè)自律具有一定的現(xiàn)實意義。

4.2 研究局限

本研究構(gòu)建了數(shù)字貿(mào)易背景下企業(yè)對歐跨境數(shù)據(jù)保護成熟度的評估模型，深入研究了企業(yè)GDPR合規(guī)的實踐管理及方法運用。同時本文還存在如下局限性，在后續(xù)的研究中有待改進：評估指標及權(quán)重的確定主要通過區(qū)域監(jiān)管要點以及GDPR條例法規(guī)和邀請專家問卷打分，群決策及信息熵等方式綜合計算，但主觀偏差依舊不可避免，且邀請的專家僅限于國內(nèi)有關領域的專家，國際專家的建議還有所欠缺，成熟度評估分析方法的適用性還需進一步提高。此外，在數(shù)據(jù)監(jiān)管方面的“數(shù)據(jù)確權(quán)”問題也始終紛爭不斷，并且在當前的法律層面尚存空白，有關規(guī)定中也多以數(shù)據(jù)“控制者”與“處理者”來避免所有權(quán)的問題，而本文研究正是從企業(yè)作為數(shù)據(jù)的控制者或處理者的身份出發(fā)，來思考企業(yè)的數(shù)據(jù)跨境流動問題，但未來還需更進一步將“數(shù)據(jù)確權(quán)”納入該問題的一個重要考量因素范疇。而隨著以微軟為代表的企業(yè)絕對的數(shù)據(jù)本地化策略的宣稱，數(shù)據(jù)本地化也或?qū)⒊蔀榻窈笃髽I(yè)出海的首選方案之一，也應在未來的研究中予以更多關注。最后，本研究簡化了企業(yè)面向歐盟區(qū)域的業(yè)務場景，而實際上對于企業(yè)來說情況更為復雜，因此本研究為面向歐盟市場的企業(yè)跨境數(shù)據(jù)保護起到一個拋磚引玉的作用，希望在今后的領域研究中會有更多的創(chuàng)新發(fā)展。