如何制定数字时代的数据隐私策略

公司持续面临着实施的挑战，因为它们正急于遵守数据隐私条例，如欧洲通用数据保护条例(GDPR)和加州消费者隐私法(CCPA)。这在很大程度上是由于它们对数据的管理与法规规定的严格要求不相匹配。

组织可以通过定义一个良好的数据治理框架来解决隐私法规的复杂性，该框架可以利用人员、流程和技术来建立数据访问、管理和使用的标准。一个这样的框架还使得公司能够处理隐私的要素，包括身份和访问管理，政策定义。

当领导者在实现数据治理模型而需要考虑到隐私时，他们可能会面临一些挑战，包括不冷不热的高管认可，缺乏连贯的数据策略，或者是关于如何使用和处理数据的不同意见。为了扫除这些障碍，领导者应该考虑以下行动：

• 建立跨职能的数据所有权和意识
• 简化数据政策和程序
• 提升技术及基础设施

建立跨职能的数据所有权和意识

虽然首席数据官或首席信息官都可能会领导数据治理框架或模型的实现，但数据治理应该是整个公司的共同责任。至少，IT部门、隐私办公室、安全组织和各个业务部门都应该参与进来，因为每个部门在数据管理方面都存在着重要的利害关系。尽早引入各种利益相关者可以让公司建立关键数据目标和更广泛的数据治理愿景。这种合作可以采取专门工作组的形式，也可以包括定期的向执行部门报告数据治理和隐私目标的方式。

同样，数据隐私也是一项共同的责任。通过遵循公认的数据收集、使用和共享标准，所有员工都可以在维护数据隐私方面发挥作用。事实上，在考虑隐私的情况下实施一个成功的数据治理模型需要对员工进行治理概念、角色和责任以及数据隐私概念和法规(例如，“个人信息”与“消费者信息”的定义)方面的教育。

在建立治理远景并提高员工的意识之后，组织就可以定义他们想要的数据治理角色–比如数据所有者、数据管理员、数据架构师和数据消费者–并根据他们的需要定制角色了。例如，一些公司可能会区分数据专员和数据所有者，前者负责执行日常数据的操作，后者负责数据策略的定义。对于一个拥有庞大而复杂的IT部门的客户，Metis Strategy建立了一个相应的治理层次结构，包括一个执行级别的董事会、组合而成的数据管理员/所有者角色以及其他职位(例如数据质量保管人)。这种结构简化了通信，并使客户端能够方便地扩展其数据管理实践。

从长远来看，企业应该将数据治理和管理技能同时纳入其人才战略和劳动力计划当中。考虑到某些数据密集型岗位所需的专业知识以及合格人才的短缺，组织可以考虑寻求人才猎头公司的帮助，同时将内部精力集中在留住人才和提升技能上面。随着公司的战略目标和监管需求的变化，它们还应该在调整数据治理角色和所有权方面保持灵活性。

简化数据政策和程序

为了充分响应与消费者隐私相关的数据请求，组织应在数据生命周期中建立标准化的过程和策略。这将使公司能够充分了解他们收集、使用和共享的数据，以及这些实践与消费者的关系。

例如，CCPA为消费者提供了选择不将其个人信息出售给第三方的权利。如果零售商需要遵守此类要求，则需要能够回答以下类别的问题:

• 数据分类:公司拥有哪些与消费者相关的数据元素，如地址、信用卡信息或是产品偏好?公司是否对这些数据元素进行了适当的分类?
• 数据沿袭:客户的数据源于何处，在其整个生命周期中，这些数据会发生什么变化?例如，公司是否只在内部共享客户数据，还是与营销和支付供应商共享了数据，以促进交易或个性化的广告活动?
• 数据收集和可接受的使用:公司目前是如何从消费者那里收集数据的?公司收集和处理他们的数据是否得到了消费者的同意?如果公司与外部各方共享客户数据，是否有适当的数据共享协议?

为上述内容制定政策和标准可以帮助组织快速确定根据隐私法规来响应客户请求所需的措施。公司应该广泛地沟通政策，并确保政策能够得到遵守，因为不这样做可能会导致使用不一致的模板和做法。例如，在一个Metis Strategy客户中，很少有利益相关者对数据管理和访问标准有足够的认识，尽管客户的IT部门已经围绕这些标准制定了广泛的政策。

考虑技术和基础架构的升级

为了成功地实施数据治理框架并确保隐私遵从性，企业可能还需要解决遗留基础设施和技术债务所带来的挑战。例如，数据通常会存储在整个组织的信息孤岛中，这会使得组织很难正确识别任何数据隐私问题的来源，也很难及时响应消费者或监管机构的要求。

企业还需要评估外包的云服务(如基于云的数据湖)所带来的安全和隐私风险。那些使用多个云提供商的公司可能希望简化他们的数据共享协议，以便在供应商之间建立一致性。

一些技术可以帮助公司利用客户数据，也同时降低隐私风险。Carnival Corporation的首席信息官Greg Sullivan在接受Metis Strategy的采访时指出，数据虚拟化增强了公司的分析能力，降低了运营和计算成本，也减少了公司可能面临的潜在安全和隐私漏洞。

公司还可以考虑采用新的隐私合规技术，通过提高可见性和透明度来增强数据治理。例如，数据发现工具使用了高级分析来识别可能被视为敏感的数据元素，而数据流映射工具则帮助公司了解了数据在内部和外部的移动方式和位置。这些工具可用于帮助组织确定其最关键的数据元素所需的保护级别，并在GDPR和CCPA下促进对消费者请求的响应。

尽管对遗留技术进行彻底改革可能会耗费一定的时间和成本，但在避免与技术债务相关的其他挑战的同时，果断进行改革的公司将能够降低其隐私和安全风险。

创建高适应性的模型

随着全球数据隐私环境的发展，各个组织应不断地调整其数据治理模型。公司应该在设计数据治理角色、流程、政策和技术时就考虑到隐私问题，而不是对当前和即将到来的隐私立法做出反应，从而主动地履行自己的义务。这样做的公司不仅可以改善风险和声誉管理，而且还可以鼓励企业提高透明度和数据驱动的决策。