GDPR 管得再严，个人也看不见数据到底有没有被保护

我的立场先说在前面：GDPR 严，我支持。它把个人权利放在企业成本之前。但严格的规则落到执行上，有一个缺口：个人没有办法自己查，数据到底有没有被保护。

欧盟自己也承认，趋同还没完成

IAPP 欧洲区总经理 Isabelle Roccia 在 10 月 8 日的专栏里提出一个问题：各国监管没法完全趋同，欧盟的“可预测”和“一致”能不能补上这个缺口。¹她区分了两个词：一致是各项规则互相配得上，趋同则需要各方真正朝同一个方向走，两者不能混用。¹她的出路是，既然完全对齐不太可能，企业至少可以借助可预测性来比较自己的合规和治理方案。¹文章还提到，欧盟正在推进“数字综合方案”（Digital Omnibus），目标是减少不必要的行政负担、整合重叠的要求、降低合规成本。¹这篇文章没有讨论审计怎么做，但它指出的方向，正好和下面的问题接上：规则在简化，核查还靠谁。

能核查的人有三类，个人不在其中

对照 GDPR 的条文，三方手里的工具很不一样。个人（数据主体）可以向企业要一份自己数据的副本，了解数据的用途、接收方和保存期限，²也可以向监管机构投诉。³但这些都是“要信息”和“报案”，条文没有给个人检查企业系统的权利。企业这一侧，委托别人处理数据的企业，有权要求对方提供证明，并允许审计和现场检查。⁴监管机构的权力最大：可以做数据保护审计、调取所有需要的数据，并进入企业场所检查设备。⁵

这意味着，个人拿到的是企业的说明，系统内部是否真的如说明所述，只有监管机构的定期检查或者由举报触发的调查才有可能发现。个人如果坚持要查，只能走投诉，而投诉会把成本压到监管机构和企业身上，也就是我担心的行政成本问题。

集中到少数数据中心，好查，但要算集中的账

我的一个设想是：建设规范的数据中心，让欧盟企业的数据集中到少数几处保护和监管，这样存储成本更低，监管审计也能随时介入。

从条文看，这个设想有一半站得住。监管机构的检查权包含进入场所和检查设备，⁵被检查的地点越少、越规范，每次检查的成本越低，也越容易做成常态。这也和“数字综合方案”想降低行政负担的方向一致。¹

另一半条文和这篇文章都没有回答：数据集中之后，一处出事牵动的企业和个人会成倍增加。这是我自己的推断，不是条文的结论，需要把“检查便利”和“集中风险”放在一起算。如果要做，更稳妥的路径是先规定数据中心必须向监管机构开放持续的审计接口，再谈集中。

GDPR 的严，是对个人权利的认真对待，我仍然支持。但“严”要配上“可查”。个人查不了，就更需要有人替个人查，而且查得起。