上一篇谈到资料保护官(DPO)是什么。
自2025年6月1日起，如果资料控制者（Data Controller）或资料处理者（Data Processor）的资料处理达到指定条件，包括处理超过2万名资料主体（Data Subjects）的个人资料、超过1万名资料主体的敏感个人资料及金融资料，或者涉及定期及系统性监测，就必须任命一个或以上的DPO。
这意味著一家小型企业未必马上达到强制任命DPO的门槛。但“法律有没有要求任命DPO”，和“企业有没有能力管理客户个人资料”其实是两回事。
资料保护=合作信任
未来即使法律还没有强制要求，合作伙伴和客户也可能先开始在意这一点。尤其当小企业要和大型企业合作时，对方已经会更关注供应商有没有基本的资料保护制度、权限管理和处理标准。除此之外，消费者的意识也在改变。以诊所为例，病人交出的不只是姓名和电话号码，还包括相对敏感的病例和健康资料。随著大家越来越重视个人资料，他们自然也会开始关心这些资料由谁看到、储存在哪里、会保存多久，又会不会交给其他系统或供应商处理。
所以对企业来说，资料保护未来可能不只是合规问题，也会逐渐变成客户信任和商业合作的一部分。
隐私政策足够吗？
很多企业的网站都有隐私政策（Privacy Policy），但一份写得很长、充满法律字眼的文件不代表客户真的知道自己的资料会怎样被使用。而一份好的隐私通知（Privacy Notice），不应该只是为了符合法律要求而存在。
马来西亚资料保护指引强调的Privacy Notice的核心包含了企业是谁、收集什么资料、为什么收集、可能披露给谁，以及个人有哪些权利，而且应该尽量以清楚直接的语言说明。如果连企业自己都很难用简单的话解释为什么需要某项资料，就必须要重新思考这项资料真的有必要收集吗？
资料外泄后的黄金72小时
当资料已经进入企业内部，如果发生资料外泄（Data Breach），企业有没有能力及时反应？
在符合通报条件的情况下，资料外泄需要在规定时间内通知监管机构Personal Data Protection Commissioner，其中一个重要的时间点就是72小时内必须尽快通知资料保护专员（Data Breach Notification）。
这72小时内IT部门需要确认发生了什么事、哪些系统受影响、什么资料可能外泄。而管理层则需要判断风险，必要时还要决定是否通知受影响的人。所以平时有没有做好资料盘点、权限管理和应变流程，都会直接影响事故发生后的处理速度。
所以资料保护并不是出事以后才开始。如果没有平时的准备，72小时会过得非常快。
保护机制应在设计系统前
这就关系到了另一个很重要的概念：资料保护设计（Data Protection by Design，DPbD）。
DPbD强调的是在设计系统和流程前就应该先把资料保护考虑进去。例如，如果只有客服人员需要查看客户电话号码，系统就没有必要让所有员工都看得见；如果普通员工不需要下载完整客户名单，就不应该预设开放资料汇出功能；如果供应商只负责维护某一个模组，也不代表他必须拥有整个正式资料库的权限。
在系统设计里，这种做法通常称为角色权限控制（Role-Based Access Control，RBAC）。这也是DPbD里其中一个重要的环节。除此之外，从设计、开发、部署一直到系统退役，资料保护都应该贯穿整个生命周期。除了有好的制度，好的系统设计也能减少不必要的资料存取，并降低人为疏失或资料外泄的风险。
新项目上线前，先做一次DPIA
当企业准备推出新的系统、使用新的资料来源又或者导入新的AI工具时，就可以进一步做资料保护影响评估（Data Protection Impact Assessment，DPIA）。
马来西亚现行DPIA指引提出一个很好记的方法—DEICA：
D：Describe（描述资料怎样处理）
E：Evaluate（评估是否有必要）
I：Identify（识别风险）
C：Consider（考虑降低风险的方法）
A：Assess（评估剩馀风险）
对企业来说，它其实很像在做项目风险评估（Risk Assessment）。在项目正式上线以前，先问清楚几个问题：
我们为什么需要这些资料？有没有收集过多？谁会接触？出问题可能影响谁？有没有更低风险的方法达到同样目的？
从隐私通知、资料外泄通报，到资料保护设计，我觉得资料保护官(DPO)带给企业的是一套更完整数据管理思维。所以即使一家企业暂时还没有达到必须任命DPO的门槛，也不代表个人资料治理可以等到以后才开始。尤其当企业越来越依赖云端系统、外部供应商、数据分析和AI，资料只会经过更多地方。从近几年我的观察来看，企业越早建立这些基本习惯，未来面对合作伙伴、客户要求或更复杂的系统环境时，才不会需要“临时补课”。
本文观点，不代表《东方日报》立场。
大马技术人员委员会（MBOT）认证专业科技师（Ts.），马来西亚国立大学（UKM）人工智能硕士，现为人工智能（ AI） 工作者与商业智能（BI）顾问。
