GDPR 合规检查清单

哪些组织需要遵守GDPR？

GDPR适用于位于欧洲经济区（EEA）的任何组织，包括所有27个欧盟成员国以及冰岛、列支敦士登和挪威。此外，位于EEA之外的组织，如果定期向EEA居民提供商品或服务（即使不涉及金钱交换）、定期监控EEA居民的活动（如使用跟踪cookie），或代表EEA组织处理数据，也必须遵守GDPR。GDPR不仅适用于企业，也适用于学校、医院和政府机构等几乎所有处理EEA居民数据的组织。

违反GDPR会有什么后果？

违反GDPR可能面临高额罚款，最严重的违规罚款最高可达2000万欧元或组织上一财年全球营业额的4%（以较高者为准）。GDPR监管机构还可以终止非法的数据处理活动，并强制组织进行整改。

GDPR中的个人数据、数据主体、数据控制者和数据处理者分别指什么？

个人数据是指与可识别自然人相关的任何信息，从电子邮件地址到政治观点都属于个人数据。数据主体是数据所属的个人，即数据所涉及的人。数据控制者是获取个人数据并决定其使用方式的任何组织、团体或个人。数据处理是對数据进行的任何操作，包括收集、存储或分析；数据处理者是执行此类操作的任何组织或行为者。一个公司可以同时是控制者和处理者。

GDPR要求组织遵循哪些数据处理原则？

GDPR要求组织遵循一系列数据处理原则，包括：有合法的处理依据；仅为特定目的收集数据并仅用于该目的（目的限制）；只收集必要的最小数据量（数据最小化）；保持数据准确和最新；在不再需要时删除数据；对儿童数据或特殊类别数据采取额外保护措施；记录所有数据处理活动（员工超过250人的组织必须记录，少于250人的组织在特定情况下也需记录）；以及控制者对确保合规负最终责任。

数据主体在GDPR下享有哪些权利？组织应如何响应？

数据主体享有访问权（获取数据副本及相关信息）、更正权（纠正或更新数据）、删除权（要求删除数据）、限制处理权（在数据不准确、不再必要或被滥用时限制使用）、反对权（反对处理并随时撤回同意）、数据可携权（转移数据）。组织必须提供简单的方式让数据主体行使这些权利，并通常在30天内响应所有数据主体访问请求。如果拒绝请求，必须解释原因并告知如何向数据保护官或监管机构申诉。此外，数据主体有权不受自动化决策的约束，组织必须提供质疑自动化决策的途径，并可要求人工复核。

GDPR对数据泄露通知有什么要求？

组织必须在72小时内向相关监管机构报告大多数个人数据泄露事件。如果泄露对数据主体构成风险，还必须通知数据主体。除非直接沟通不合理，否则应直接通知数据主体；在这种情况下，公开通知也可以接受。处理者发生泄露时，必须不无故延迟地通知相关控制者。

什么情况下组织需要任命数据保护官（DPO）？DPO的职责是什么？

组织在大规模监控数据主体或将处理特殊类别数据作为核心活动时，必须任命数据保护官（DPO）。所有公共机构也必须任命DPO。DPO负责确保组织保持GDPR合规，主要职责包括与数据保护机构协调、就GDPR要求向组织提供建议以及监督数据保护影响评估（DPIA）。DPO必须是独立官员，直接向最高管理层报告，组织不得因DPO履行职责而对其进行报复。

GDPR对向欧洲经济区（EEA）以外传输数据有何规定？

控制者只能在与第三方的数据传输满足以下至少一个条件时，才能将数据共享给位于EEA以外的第三方：欧盟委员会已认定该第三方所在国家的数据隐私法律足够充分；欧盟委员会已认定该第三方具有足够的数据保护政策和控制措施；或者控制者已采取所有必要步骤确保传输数据的安全和隐私。