资讯
数据保护知识，
在日常工作中切实可用
涵盖 GDPR、AI 合规和 NIS-2 的文章、视频、网络研讨会和检查清单——源自日常咨询实践，投入合理、易于落地。
主题领域
最新消息
-
因儿童数据付出 4 亿美元：企业可以从 TikTok 案中学到什么
TikTok 案表明保护儿童数据有多么重要。企业在提供数字服务时应核查哪些方面？
-
迟延答复GDPR访问请求：贵公司是否必须支付损害赔偿？
根据 GDPR 第 15 条提出的数据主体访问请求，最迟须在一个月内答复。逾期会有什么后果？ -
错误的SCHUFA记录：您何时可依据GDPR要求损害赔偿？
向 SCHUFA 进行错误或草率的报送，可能给企业带来严重的数据保护法律后果。
在日常工作中 安全使用人工智能
真实的日常场景，而非法律条文——适合所有已在使用或计划使用人工智能的人。
主讲：Asmus Eggert 和 Jennifer Schülzky，mip Consult
数据保护
在紧急情况下
数据泄露事件不会提前预警
笔记本电脑丢失、含客户数据的邮件误发、邮箱遭钓鱼攻击得逞：一旦您的企业获悉发生了个人数据泄露，《通用数据保护条例》（GDPR）第33条规定的期限即开始计算——如对相关个人存在风险，须在72小时内向监管机构报告。关键在于事先的安排：内部由谁向谁报告、由谁评估风险、由谁与监管机构沟通。如果等到事发时才去理清这些问题，恰恰会耽误最关键的那几个小时。
信息安全
-
为什么TLS 1.0和TLS 1.1如今已构成安全风险
TLS 用于保护浏览器与 Web 服务器之间的数据传输。为什么 1.0 和 1.1 版本存在风险？ -
-
来自咨询实践
数据保护往往败在日常
《通用数据保护条例》（GDPR）的各项要求自 2018 年起就已确定。不断变化的是周边的一切：新工具、新服务商、新职责，以及来来去去的同事。漏洞恰恰由此产生——不是出在处理活动记录（RoPA）里，而是出在想试用某款工具的业务部门与 IT 部门之间，而 IT 部门往往在工具早已投入使用后才得知。因此，我们的文章不仅讲解法条，也探讨那些即便无人想到数据保护时依然行之有效的流程。
人工智能咨询
人工智能咨询
人工智能往往早在正式引入之前，就已进入企业
在大多数企业中，人工智能的应用并非始于管理层的决定，而是始于个别员工的自发尝试：用聊天机器人起草初稿，用转录服务记录会议，用翻译工具处理合同。因此，关键问题不在于哪个模型最好，而在于哪些数据流出了企业，以及依据什么法律基础。我们与您一起梳理：哪些应用并无问题，哪些需要制定规则，哪些最好停止使用。
常见问题
联系表单中还可以询问称谓吗？
可以。欧盟法院并未禁止询问称谓，而是对将其设为 必填项 的做法提出了异议。如果称谓对您的目的并非必要，请将该字段设为选填，或直接删除。如希望以个性化方式称呼客户，可将其作为可选项提供，最好采用自由填写的方式，而非让用户在两个选项之间二选一。
欧盟法院于 2025 年 1 月 9 日究竟作出了什么裁决？
在 C-394/23 号案件中，一家法国铁路公司要求在线购票的客户必须在“先生”和“女士”之间作出选择。法院明确指出：对于运输合同而言，称谓原则上并非必要。此类强制填写要求违反了数据最小化原则。
根据 GDPR 第 5 条第 1 款第 c 项的规定，数据最小化具体意味着什么？
您只能收集为特定目的所必需的数据——而不是那些有用、方便或历史沿袭下来的数据。衡量标准是目的，而非技术上的可能性。因此，数据最小化并非始于删除，而是早在表单环节就已开始。
我们现在应该检查哪些必填字段？
典型的检查对象包括称谓、头衔、电话号码、出生日期、邮寄地址以及行业和企业规模。不仅要检查联系表单，还要检查注册和客户账户、申请表、新闻通讯订阅、支持门户、CRM 系统以及内部登记表。经验法则：每个必填字段的目的都必须能用一句话说清楚。
如果我们继续将称谓设为必填项，会有什么后果？
缺乏必要性的数据收集，就是没有合法依据的处理。这可能招致监管机构采取措施并处以罚款，数据主体也可能据此提出索赔。在实践中，更值得关注的往往是工作量：您保留的不必要字段越多，信息披露、删除和记录方面的义务就越繁重。
如何在不影响客户沟通体验的前提下落实这些要求？
分三步进行：第一，盘点所有表单，并逐个字段记录其目的。第二，凡是未通过目的检验的字段，一律改为选填或删除。第三，将这一要求纳入新应用的标准流程，避免同样的历史遗留问题再次出现。称呼客户时，通常提供全名即可。
