谈谈GDPR的七大原则

谈谈GDPR的七大原则
写在前面：
GDPR的通过意味着欧盟对个人信息保护及其监管达到了前所未有的高度，堪称史上最严格的数据保护法案。

GDPR对于我国业务范围涉及欧盟成员国领土及其公民的企业进行合规运营、避免高昂处罚，以及对我国与数据相关的法学研究都具重要意义。

我不在欧洲，我需要关注GDPR吗？
首要原则——只要你搜集和处理欧盟成员国的用户的信息，就需要遵守GDPR。

常见的问题：
我是中国的开发者，我需要遵守GDPR吗？–你的APP有欧洲用户吗？如果有，请记住首要原则。

我是美国的开发者，我需要遵守GDPR吗？- 你的APP有欧洲用户吗？如果有，请记住首要原则。

我的APP不在欧洲发布，我需要遵守GDPR吗？- 你的APP有欧洲用户吗？如果没有，不需要遵守。

我看其他竞争对手也没遵守GDPR，我需要遵守吗？- 你的APP 有欧洲用户吗？如果有，请记住首要原则。

现实中常见的问题是，中国开发者认为：
自己不是欧洲的开发者，不需要遵守GDPR。

如果你这么想了，请看常见问题1。

自己的竞争对手并没有遵守GDPR，认为自己也不需要遵守。

如果你这么想了，请看常见问题4。

这是一个非常严格的隐私保护法案，只要你处理欧盟用户的数据，就需要遵守。

违反GDPR的后果是什么？
违反GDPR，将被除以2000万欧元的罚款，或者公司年收入的4%，两者之中，哪个金额大，以哪个作为处罚的金额。

一、您的数据很重要
我们生活在一个数据驱动的世界中。

您与大多数组织进行的几乎每笔交易和互动都涉及共享个人数据，例如姓名，地址和生日。

您也可以在线共享数据，每次访问网站，搜索或购买东西，使用社交媒体或发送电子邮件时。

共享数据有助于使生活更加轻松，便捷和连接。

但是您的数据就是您的数据。

它属于您，因此很重要的一点是，仅以合理预期的方式使用数据，并确保数据安全。

数据保护法确保正确合法地使用每个人的数据。

您的个人数据权利：
1、您有权被告知是否正在使用您的个人数据：组织必须通知您是否正在使用您的个人数据。

2、您获得数据副本的权利：您有权确定组织是否正在使用或存储
您的个人数据。

3、您有权更正数据：您可以确认组织保存的关于您的个人数据的准确性。

4、您删除数据的权利：您可以要求组织删除其持有的有关您的个人数据。

5、您限制组织如何使用您的数据的权利：您可以限制组织使用您的个人数据的方式。

6、您的数据携带权：您有权以可访问的方式从组织获取您的个人数据。

7、反对使用您的数据的权利：在某些情况下，您有权反对处理或使用您的个人数据。

8、您在无人参与的情况下与您有关的决策的权利：自动处理您的个人数据时，将为您做出决定。

9、您有权从公共机构获取信息：要求公共机构提供信息。

10、您提出关注的权利：告诉组织您是否担心他们如何使用数据。

二、GDPR的七大原则
原则（一）：合法，公正和透明
您必须根据GDPR规定有效的依据（称为“合法依据”）来收集和使用个人数据。

您必须确保对数据不做任何违反其他法律的行为。

您必须以公平的方式使用个人数据。

这意味着您不得以对相关个人过度有害，意外或误导的方式处理数据。

从一开始，您就必须与他人保持清晰，开放和诚实的态度，了解如何使用他们的个人数据。

检查清单
1、合法性
☐我们已为我们的处理确定了适当的合法依据。

☐如果我们正在处理特殊类别数据或刑事犯罪数据，我们已经确定了处理此类数据的条件。

☐我们不会对个人数据做任何通常非法的事情。

2、公平性
☐我们已经考虑了加工过程如何影响有关个人并证明任何不利影响是合理的。

☐我们仅以人们合理预期的方式处理人们的数据，或者我们可以解释为什么进行任何意外处理是合理的。

☐当我们收集人们的个人数据时，我们不会欺骗或误导人们。

3、透明度
☐我们开放和诚实，并遵守知情权的透明性义务。

原则（二）：目的限制
您必须从一开始就明确要处理的目的。

您需要将目的记录为文档义务的一部分，并在您的个人隐私信息中指定这些目的。

如果个人数据与您的原始目的兼容，征得您的同意或您有明确的义务或法律规定的功能，则您只能将其用于新的目的。

检查清单
☐我们已明确确定我们的加工目的。

☐我们已经记录了这些目的。

☐我们在个人隐私信息中包含我们目的的详细信息。

☐我们会定期审查我们的处理过程，并在必要时为个人更新我们的文档和我们的隐私信息。

☐如果我们计划将个人数据用于法律规定的法律义务或功能以外的新目的，则我们检查该数据是否与我们的原始目的兼容，或者我们已获得新目的的具体同意。

原则（三）：数据最小化
您必须确保正在处理的个人数据为：足够–足以正确实现您指定的目的；相关–与该目的有合理联系；限于必要的条件–您所拥有的不超过您为此目的所需要的。

检查清单
☐我们仅出于指定目的收集我们实际需要的个人数据。

☐我们有足够的个人数据来正确实现这些目的。

☐我们会定期审查我们持有的数据，并删除不需要的任何内容。

原则（四）：准确性
您应采取所有合理步骤，以确保您所持有的个人数据在任何事实上均正确且不具有误导性。

您可能需要更新个人数据，尽管这取决于您使用它的目的。

如果发现个人数据不正确或具有误导性，则必须采取合理的步骤来尽快对其进行纠正或删除。

您必须仔细考虑对个人数据准确性的任何挑战。

检查清单
☐我们确保我们创建的任何个人数据的准确性。

☐我们有适当的程序来检查我们收集的数据的准确性，并记录该数据的来源。

☐我们有一个流程来确定何时需要更新数据以正确实现我们的目的，并在必要时进行更新。

☐如果我们需要保存错误记录，我们将其明确标识为错误。

☐我们的记录清楚地表明了任何见解，并在适当情况下确定了其观点以及对基本事实的任何相关更改。

☐我们遵守个人的纠正权，并认真考虑对个人数据准确性提出的任何挑战。

☐作为良好实践，我们会记录对个人数据准确性的任何挑战。

原则（五）：储存限制
您保存的个人数据的时间不得超过所需时间。

你需要考虑-并能够证明- 你多久保留个人数据。

这将取决于您保存数据的目的。

您需要尽可能地设置标准保留期限的策略，以符合文档要求。

您还应该定期查看所保存的数据，并在不再需要它们时将其删除或匿名化。

您必须仔细考虑对数据保留的任何挑战。

如果您不再需要数据，个人有权删除。

如果您仅出于公共利益存档，科学研究或历史研究或统计目的保
留个人数据，则可以保留更长的时间。

检查清单
☐我们知道我们拥有什么个人数据以及为什么需要它。

☐我们会仔细考虑并证明我们将个人数据保留多长时间。

☐我们有一项政策，规定了标准的保留期限，并符合文件规定的义务。

☐我们会定期检查我们的信息，并在不再需要时将其删除或匿名化。

☐我们有适当的程序来满足个人在“被遗忘权”下的删除要求。

☐我们明确标识了出于公共利益存档，科学研究或历史研究或统计目的需要保留的任何个人数据。

原则（六）：完整性和机密性（安全）
GDPR的一项关键原则是您通过“适当的技术和组织措施”安全地处理个人数据，这就是“安全原则”。

为此，您需要考虑诸如风险分析，组织策略以及物理和技术措施之类的事情。

您还必须考虑有关处理安全性的其他要求，这些要求也适用于数据处理器。

在决定采取何种措施时，您可以考虑最新的技术水平和实施成本–但是这些措施必须既适合您的情况，又适合您的处理过程带来的风险。

在适当的地方，您应该考虑使用假名和加密等措施。

您的措施必须确保系统和服务以及在其中进行处理的个人数据的“机密性，完整性和可用性”。

如果发生物理或技术事件，这些措施还必须使您能够及时恢复对个人数据的访问和可用性。

您还需要确保拥有适当的流程来测试您的措施的有效性，并进行任何必要的改进。

检查清单
☐我们会对处理过程中存在的风险进行分析，并以此评估我们需要采取的适当安全级别。

☐在决定实施哪些措施时，我们会考虑最新技术水平和实施成本。

☐我们有一个信息安全政策（或等效政策），并采取措施确保该政策得到实施。

☐必要时，我们还有其他政策，并确保有控制措施以执行这些措施。

☐我们确保定期检查我们的信息安全政策和措施，并在必要时进行改进。

☐我们已经建立了基本的技术控制，例如已建立的框架（如Cyber Essentials）指定的那些技术控制。

☐我们了解，根据我们的情况和处理的个人数据类型，我们可能还需要采取其他技术措施。

☐我们在适当的情况下使用加密和/或假名。

☐我们了解我们处理的个人数据的机密性，完整性和可用性的要求。

☐我们确保在发生任何事件时可以恢复对个人数据的访问，例如通过建立适当的备份过程。

☐我们对我们的措施进行定期测试和审查，以确保其有效性，并根据测试结果采取措施，突出强调需要改进的地方。

☐在适当的情况下，我们将采取符合已批准的行为准则或认证机制的措施。

☐我们确保我们使用的任何数据处理器也执行适当的技术和组织措施。

原则（七）：问责原则
问责制是数据保护原则之一-它使您有责任遵守GDPR，并必须能够证明自己的遵守情况。

您需要采取适当的技术和组织措施以满足问责制的要求。

您可以采取某些措施，在某些情况下必须采取以下措施：
采纳和实施数据保护政策；
采取“通过设计和默认方式保护数据”的方法；
与代表您处理个人数据的组织签订书面合同；
维护您的加工活动的文档；
实施适当的安全措施；
记录并在必要时报告个人数据泄露；
对可能会对个人利益造成高风险的个人数据的使用进行数据保护影响评估；
任命一名数据保护官；
遵守相关的行为准则并签署认证计划。

问责义务正在进行中。

您必须检查并在必要时更新已采取的措施。

如果您实施隐私管理框架，则可以帮助您嵌入问责措施并在整个组织中创建隐私文化。

检查清单
☐我们有责任在最高管理层和整个组织内遵守GDPR。

☐我们保留了为遵守GDPR而采取的措施的证据。

我们采取了适当的技术和组织措施，例如：
☐通过和实施数据保护政策（适当时）；
☐采用“设计和默认的数据保护”方法-在我们的处理操作的整个生命周期中采取适当的数据保护措施；
☐与代表我们处理个人数据的组织签订书面合同；
☐保留我们加工活动的文件；
☐实施适当的安全措施；
☐记录并在必要时报告个人数据泄露；
☐对可能会对个人利益造成高风险的个人数据的使用进行数据保护影响评估；
☐任命一名数据保护官（必要时）；
☐遵守相关的行为准则并签署认证计划（如果可能）。

☐我们会在适当的时间间隔审查和更新我们的问责措施。

三、数据保护影响评估
数据保护影响评估（DPIA）是帮助您识别和最小化项目数据保护风险的过程。

DPIA必须：
描述处理的性质，范围，背景和目的；评估必要性，事宜性和合
规性措施；识别和评估个人风险；确定减轻这些风险的任何其他措施。

要评估风险级别，必须同时考虑对个人造成影响的可能性和严重性。

高风险可能是由于某些伤害的可能性较高，或者是严重伤害的可能性较低。

1、什么是DPIA
DPIA是您系统地，全面地分析处理并帮助您识别和最小化数据保护风险的一种方式。

DPIA应考虑合规风险，但也应考虑个人权利和自由的更大风险，包括潜在的重大社会或经济不利条件。

重点是对个人或整个社会的潜在损害，无论是物质，物质还是非物质。

为了评估风险水平，DPIA必须同时考虑对个人造成影响的可能性和严重性。

DPIA不必表明已消除了所有风险。

但是，它应该可以帮助您记录下来并评估是否存在任何剩余风险。

DPIA是可能具有高风险的法律要求。

但是，有效的DPIA还可带来更广泛的合规性，财务和声誉方面的好处，帮助您展示责任心并建立与个人的信任和参与。

DPIA可以涵盖单个处理操作或一组类似的处理操作。

将DPIA嵌入您的组织流程中并确保结果可以影响您的计划非常重要。

DPIA不是一次性的练习。

您应该将其视为一个持续进行的过程，需要定期检查。

2、什么时候需要DPIA
在开始任何“可能导致高风险”的处理之前，必须执行DPIA。

这意味着，尽管您尚未评估实际风险水平，但仍需要筛选出一些因素，这些因素表明可能对个人造成广泛或严重的影响。

GDPR特别指出，如果您打算执行以下操作，则必须执行DPIA：使用系统的，广泛的性能分析；
大规模处理特殊类别或刑事犯罪数据；
有系统地大规模监控公共场所。

在考虑您的数据使用是否可能导致高风险时，应考虑相关的欧洲准则。

虽然准则建议在大多数情况下，涉及两个或多个这样的处理操作都需要DPIA，但您可能会认为仅满足一个标准就可能需要DPIA。

如果您打算执行以下操作，ICO还要求您执行DPIA：
使用创新技术（结合欧洲准则中的任何标准）；
使用配置文件或特殊类别数据来决定对服务的访问；
大规模描述个人；
处理生物特征数据（结合欧洲准则中的任何标准）；
处理遗传数据（结合欧洲准则中的任何标准）；
匹配数据或合并来自不同来源的数据集；
从个人以外的来源收集个人数据，而没有向他们提供隐私声明（“隐形处理”）（结合欧洲准则中的任何标准）；
跟踪个人的位置或行为（结合欧洲准则中的任何标准）；
对孩子进行简介或针对他们进行营销或在线服务；
在发生安全漏洞时处理可能危害个人身体健康或安全的数据。

您还应该仔细考虑对任何其他大规模处理，涉及概要分析或监视，决定对服务或机会的访问，或涉及敏感数据或易受攻击的个人的DPIA 进行DPIA。

即使没有明确的迹象表明可能会有高风险，对于任何涉及使用个人数据的重大新项目，也要进行DPIA。

3、如何执行DPIA
DPIA应该在项目生命周期的早期开始，然后再开始进行处理，并与计划和开发流程一起运行。

它应包括以下步骤：
您必须征询数据保护官的建议（如果有）。

在整个过程中，您还应咨询个人和其他利益相关者。

您可以参考欧洲准则创建自己的检查清单，其中列出可接受的DPIA的标准，尽管发布DPIA并不是GDPR 的要求，但您应该积极考虑发布的好处。

除了证明合规性，还可以帮助建立信任和信心。

因此，我们建议您在可能的情况下发布DPIA，并在必要时删除敏感信息。

DPIA意识清单
☐我们提供培训，以便我们的员工了解在涉及个人数据的任何计划的早期阶段都需要考虑DPIA的必要性。

☐我们现有的政策，流程和程序包括对DPIA要求的引用。

☐我们了解需要DPIA的处理类型，并在必要时使用筛选清单确定对DPIA的需求。

☐我们创建并记录了DPIA流程。

☐我们为相关人员提供有关如何执行DPIA的培训。

DPIA筛选清单
☐我们考虑在涉及个人数据使用的任何重大项目中执行DPIA。

如果我们计划进行以下任何其他活动，我们将考虑是否进行DPIA：
☐评估或评分；
☐具有重大影响的自动化决策；
☐系统监控；
☐处理敏感数据或高度个人化的数据；
☐大规模加工；
☐处理与脆弱数据主体有关的数据；
☐创新的技术或组织解决方案；
☐处理涉及阻止数据主体行使权利或使用服务或合同。

如果我们计划：
☐使用系统的，广泛的配置文件或自动决策来做出有关人员的重大决策；
☐大规模处理特殊数据或犯罪数据；
☐有系统地大规模监视公共场所；
☐与欧洲准则中的任何标准结合使用创新技术；
☐使用配置文件，自动决策或特殊类别数据来帮助做出有关某人获得服务，机会或利益的决策；
☐进行大规模分析；
☐处理生物特征或遗传数据，并结合欧洲准则中的任何标准；
☐合并，比较或匹配来自多个来源的数据；
☐结合欧洲准则中的任何标准处理个人数据，而无需直接向个人提供隐私声明；
☐与欧洲准则中的任何标准相结合，以涉及跟踪个人在线或离线位置或行为的方式处理个人数据；
☐处理儿童的个人数据以进行概要分析或自动决策或用于营销目的，或直接向他们提供在线服务；
☐处理个人数据，如果出现安全漏洞，可能会造成人身伤害的风险。

☐如果我们处理的性质，范围，背景或目的发生变化，我们将执行新的DPIA。

☐如果我们决定不执行DPIA，则会记录我们的原因。

DPIA流程清单
☐我们描述了处理的性质，范围，背景和目的。

☐我们要求数据处理者帮助我们理解和记录其处理活动，并确定任何相关风险。

☐我们考虑如何最好地咨询个人（或其代表）和其他相关利益相关者。

☐我们要求数据保护人员的建议。

☐我们检查处理对于实现我们的目的是必要的并与我们的目的相称，并描述我们将如何确保遵守数据保护原则。

☐我们对个人权益的任何风险的可能性和严重性进行客观评估。

☐我们确定可以采取的措施来消除或减少高风险。

☐我们在DPIA的结果中记录我们的决策，包括与DPO或咨询的个人的意见分歧。

☐我们执行已确定的措施，并将其整合到我们的项目计划中。

☐如果无法减轻高风险，我们会在处理之前咨询ICO。

☐我们会对DPIA进行审查，并在必要时对其进行重新审核。

欢迎加入数据管理者。