《通用数据保护条例》（GDPR）生效已近十年，欧盟对其执行力度持续加大。亚马逊、Meta、谷歌等大型企业均曾因违反GDPR被罚。截至目前，欧洲因违反GDPR开出的罚款总额已超过27亿欧元。对企业而言，保护用户数据已不再是可选项，而是必须面对的合规课题。

GDPR为何成为企业必答题

GDPR是欧盟法律，规范组织在欧盟境内如何收集、使用和存储个人数据。它明确了可收集的数据类型、防止数据泄露的保护方式以及用户享有的权利。由于GDPR强调个人对自身数据的控制权，组织在处理用户数据时必须承担相应责任。企业只有遵守GDPR，才能满足监管要求并保护用户数据。

不合规代价：罚款、诉讼与信任风险

GDPR关注个人数据的隐私与安全，个人有权了解自己的数据如何被使用、收集、存储和保护。企业若不遵守GDPR规则，可能面临声誉受损、运营受阻以及财务后果。

不合规会带来重大业务风险。根据违规严重程度，企业可能被处以最高1000万欧元或全球年营收2%的罚款，也可能被处以最高2000万欧元或全球年营收4%的罚款。除罚款外，个人还有权就个人数据被滥用造成的损害提出投诉或索赔。这意味着企业可能同时面对诉讼和处罚。客户或合作伙伴也可能因合规顾虑，对与相关企业合作持谨慎态度。

按照GDPR要求，对个人权利和自由构成风险的数据泄露必须在72小时内报告。若风险较高，还必须告知受影响个人泄露事件、潜在后果以及已采取的缓解措施。泄露事件还有可能被公开曝光，从而引发媒体关注和客户担忧。根据GDPR，所有泄露事件，即使情节较轻，也必须在内部记录。

数据保护设计与保留期限

GDPR要求通过设计和默认设置实现数据保护，并给出了保护数据的技术和组织措施示例。企业需要证明自身合规，否则会被推定为不合规。数据只要仍有用途就可以存储。在数据保留方面，企业可根据其他法律义务确定保留期限，例如财务记录要求，但具体规定可能因国家而异。

用专用备份设备对接GDPR关键条款

面对GDPR的全面要求，企业需要可靠的备份解决方案，将数据和副本集中保护，并按特定期限存储数据，以满足合规要求。

ActiveProtect如何帮助落地合规

在数据保留方面，GDPR不允许企业将数据存储超过必要期限。ActiveProtect允许用户设置保留策略，通过本地或云端远程存储保护备份副本或分层数据。当工作负载不再需要保护时，还可自动停用。

在数据韧性方面，GDPR要求保障个人数据安全，组织必须采取措施防止数据意外丢失、销毁或损坏。ActiveProtect内置不可变能力，可防止数据被篡改或删除；气隙隔离能力则允许将备份副本存储在隔离区域，以便需要时进行干净恢复。ActiveProtect采用端到端安全数据传输，数据转移至远程存储站点时使用AES-256加密。

ActiveProtect还提供基于角色的访问控制，只有获得权限的人员才能访问数据，并可授予查看、备份或恢复权限。企业可通过Windows AD和LDAP集成集中管理用户，并通过SSO以及SSO/MFA服务器上配置的现有MFA方法验证用户身份。

Synology专用备份设备具备自动备份验证功能，备份完成后即可验证准确性。ActiveProtect还包含自愈能力，可自动检测并修复损坏数据。借助内置虚拟机监控程序，企业还能测试备份恢复策略。

在数据记录方面，为满足GDPR合规并更好地跟踪备份活动，ActiveProtect允许用户获取备份和恢复活动摘要。日志可查看和导出，供定期审计使用。这样，IT团队可以追踪用户活动，并及时获知隐藏风险。

在网络安全政策方面，Synology重视安全问题，并设有PSIRT团队，专门关注公司产品中发现的安全问题，包括Synology ActiveProtect。如果用户发现漏洞，Synology会验证安全问题并发布相关补丁或修复程序。这有助于用户降低数据泄露风险，并符合GDPR要求。

了解更多信息，请访问Synology ActiveProtect官方页面。