相信诸位同学最近收到了不少大厂的Privacy Update类似的消息吧，没错，前两天，也就是25日，欧盟的《一般数据保护条例》(GDPR)正式生效。大厂们纷纷赶在生效日到来之前，匆匆更新了自己Privacy条例。很明显，GDPR为全世界的数据保护和个人信息安全提供了参照和范例。

且不论GDPR的具体执行效率如何，我们先探讨一下数据保护的话题，数据保护问题由来已久，而加密就是常见的手段，但是有加密，就有解密，虽然一些经典的加密算法，比如MD5是单向加密，但是MD5也不是绝对安全。于是乎，诸如一些新型的论坛，开发了基于MD5的变种加密算法，比如最简单的，两次MD5加密，或者稍微复杂点的，一次MD5加密之后再进行逻辑运算，然后再次重复相同步骤。但这样就足够了吗？远远不够。

体现在两个方面：

第一，数据加密的强度不够，目前最常见的md5加密已经不足以保护数据，各种md5工具层出不穷，防不胜防。两次md5加密配合逻辑运算虽然可以在一定程度上保护数据，但仍然不足以完全，彻底的保护数据。而过于复杂的加密阻挡了外来者的脚步，但也给我们处理这些数据（比如展示数据）增加了难度

第二，数据加密的应用场景不够，当前使用md5加密仅仅局限于登录密码等等几个少数步骤的加密，而对于真实姓名，真实手机号则完全没有任何处理，倘若网站数据库沦陷，那么这些个人信息将彻底曝光。

综上所述，应该实现一种强大的数据保护机制以保护数据，但也能在关键时刻恢复出来，归纳起来，需求大体如下：

1. 数据加密，高效的加密算法，可以防范被外来者解密的风险

2. 数据安全，数据控制者也无法解密数据，即网站的站长也无法解密网站的数据

3. 数据传输及展示，使用非对称加密算法配合加密/解密数据，使用公钥加密并且传输数据，使用私钥解密和本私钥相关联的数据，没有私钥将无法解密相关数据，做用户数据呈现的时候，可以提示用户加入拥有的私钥以解密该私钥关联的数据并展现给用户

4. 数据自毁(可选)，私钥解密失败达一定次数，自动从数据库删除该私钥关联的数据

实现：

很明显，我们使用非对称加密算法技术来实现这一功能，比如定义一个数据私钥的实体（非编程语言特定）来存放相关信息：

struct DataPrivateKey{

byte dataStart //关联数据开始

byte dataEnd //关联数据结束

byte privatekey //私钥

}

当用户登录后台，查看个人信息时，可以弹出界面提示用户输入密钥内容（HTTPS协议），并且提示用户输入失败达最大次数时则会删除数据，用户输入密钥内容正确则使用内容提取，解密相关数据展示在信息页面上，如若输入失败达最大次数-1时则禁止用户再次的登录尝试以防止数据删除程序启动。

如果用户输入失败达最大次数，则启动数据删除程序，删除在私钥定义的关联数据段，以保护用户数据安全

[Encrypt]//该特性表示该方法执行时会将参数加密

public void DeteleCustomData(byte start, byte end)

{

//根据传入的起始位置和结束位置在数据库中找到对应数据

//对查找到的数据执行Delete SQL指令

}

用户退出则重新加密数据并将新的加密后的数据存入数据库

[Encrypt]

public void Logout()

{

//重新加密数据

//销毁私钥

}

最后，我们再扯几句题外话，谈一下GDPR的前景，不得不说，GDPR正如前面所说，提供了一个新的数据保护的范例，而且GDPR以严格著称，但是真正执行起来的效率恐怕不容乐观。

GDPR规定了“被遗忘权”，即当数据主体对数据控制者的数据管理能力产生怀疑时，数据主体可以要求数据控制者删除数据，如果该要求的数据已经被提供给了第三方，那么该数据控制者要通知这个第三方。我们都知道，计算机数据有可复制这一特性，那么如果某一数据控制者响应数据主体要求删除该数据，但是实际上并未删除，而数据主体并不知情。况且要求数据主体去监督删除数据也不现实。同时，GDPR对第三方数据仅仅要求了“通知”，也就是说，某数据控制者通知第三方要把这个删了啊，至于第三方删不删，该数据控制者是不知道的，除非强制删除，彻底销毁，确保没有任何备份。倘若如此，执行难度将大大增加。一个数据保护官是远远不够的，他/她需要一整套团队配合。

还有，GDPR规定了“数据通知”，即发生数据泄漏了，要求数据控制者通知数据主体及时采取防范措施。真是荒唐，数据泄漏如此严重的事件发生，而数据控制者所做的仅仅是“通知”？！难道不应该对数据控制者管理数据不力进行追责，当然如果数据主体“及时采取”的“防范措施”不包括对数据控制者的追责的话。即使追责，也是不现实的，用户都是生于现实世界的人，身边有很多重要的事情要处理，况且与数据控制者打官司也是不小的费用。因此追责应该由数据保护官负责。而且还应该有专门的数据保护上诉法院专门处理数据泄漏事件。

第三，GDPR将对大数据行业产生深刻影响，很明显，GDPR的颁布对大数据行业，特别是欧美的大数据行业将产生深远的影响，因为在GDPR的约束之下，数据将被用于近乎严苛的管理和使用。而大数据行业需要正是海量的数据，大数据行业将会被GDPR严格限制（如果GDPR能够严格执行的话），这对于新兴的大数据分析将是重大的挑战。

总之，即使GDPR仍然有需要完善和改进的地方，但是作为数据保护的先行者，GDPR已经给全世界的数据保护提供了参考和借鉴。