一、了解GDPR的核心原则
- 合法、公平和透明 ：收集个人数据必须有合法理由，且不得用于非法目的。数据主体应清楚其个人数据的用途。
- 目的限制 ：个人数据只能用于收集时指定的特定目的，不能用于其他未声明的用途。
- 数据最小化 ：组织应仅收集满足其目的所需的最少数据量，避免收集额外的个人数据元素以备后用。
- 数据准确性 ：组织需通过适当的技术和行政流程，确保所收集和处理的数据准确无误。数据主体有权更正其个人数据中的不准确之处。
- 存储期限限制 ：个人数据的存储时间应仅限于实现数据控制者明确目的所需的时间。除非用于研究、存档或统计分析，否则不应长期存储。
- 完整性和保密性 ：必须采取适当的且足够的安全措施，防止个人数据未经授权的使用和数据泄露。若数据丢失或被破坏，应能够恢复所收集的个人数据。
- ** Accountability（问责制）** ：所有参与个人数据处理的实体都必须遵守合规标准，并在必要时提供遵守措施的书面证据。
二、确定合法处理基础
GDPR规定了六种合法处理基础：同意、合同、法律义务、切身利益、公共任务和合法利益。组织应根据具体情况选择合适的合法处理基础，并明确记录所选基础。
三、获取有效同意
- 自愿给予 ：数据主体的同意必须是自愿的，不能通过捆绑或预勾选框等方式强迫获得。
- 具体明确 ：同意请求应具体说明数据处理的目的、方式和范围，避免模糊或广泛的描述。
- 清晰的同意机制 ：提供清晰的同意机制，如勾选框、滑块等，让用户能够轻松理解和控制他们的数据使用方式。
- 易于撤回 ：用户应能够方便地撤回其同意，且撤回同意的过程不应比给予同意的过程更复杂。
四、保护数据主体权利
GDPR赋予数据主体多项权利，组织需建立相应的流程和机制，以便及时响应数据主体的权利请求，包括知情权、访问权、更正权、删除权、限制处理权、数据可携权、反对权以及与自动化决策和画像相关的权利。
五、任命数据保护官（DPO）
- 强制任命情形 ：以下三类组织必须任命DPO：公共机关、主要活动涉及大规模系统性监控的组织，以及大规模处理特殊类别数据的组织。
- DPO的职责 ：DPO负责就GDPR合规问题提供建议，监督组织对GDPR的遵守情况，并作为与监管机构的联络点。
六、进行数据保护影响评估（DPIA）
- 触发情形 ：在以下几种情况下需要进行DPIA：系统性和广泛性的画像活动且可能产生重大影响；大规模处理特殊类别数据；大规模、系统性地监控公共场所。
- 评估内容 ：DPIA应评估数据处理活动的必要性和比例性，识别数据保护风险，并提出风险最小化措施。
七、遵守数据泄露报告要求
- 报告时间 ：数据控制者在知晓数据泄露后，必须在72小时内向监管机构报告可能导致数据主体权利和自由风险的数据泄露事件。
- 通知数据主体 ：如果数据泄露可能导致数据主体的高风险，组织必须毫不延迟地通知受影响的数据主体。
八、实施隐私设计原则
- 数据最小化 ：仅收集必要的数据。
- 目的限制 ：数据处理目的明确且有限。
- 存储期限限制 ：设定合理的数据存储期限，并在期限届满后及时删除或匿名化处理数据。
- 数据准确性 ：确保数据的准确性，并及时更新和纠正错误数据。
- 完整性和保密性 ：采取加密、访问控制等技术措施，保护数据的完整性和保密性。
- ** Accountability（问责制）** ：明确数据处理过程中的责任主体，并建立相应的监督和审计机制。
九、维护数据处理活动记录
组织需维护详细的记录，涵盖数据处理的目的、数据主体类别、个人数据类别、数据接收者、数据传输至第三国的情况以及删除时间限制和安全措施。
十、合规的数据传输
- 充分性决定 ：欧盟委员会已认定某些国家或地区具有足够的数据保护水平，可自由向这些地区传输数据。
- 适当保障措施 ：在没有充分性决定的情况下，组织可依据标准合同条款、约束性企业规则等适当保障措施进行数据传输。
十一、数据保留和删除
组织应制定并执行数据保留政策，依据业务需求和法定义务确定数据的保留期限。不再需要的数据应及时安全删除或匿名化处理，包括备份和存档中的数据。
十二、定期进行合规评估
组织应定期审查和更新数据保护政策和实践，确保持续符合GDPR要求，包括评估数据处理活动、更新记录、重新审视合规流程等。
十三、评估第三方风险
组织需持续了解所有安全风险，并针对每个风险制定补救措施。实施安全评分和风险评估解决方案，如UpGuard VendorRisk，可助力组织执行供应商尽职调查，识别和协助补救供应商的安全漏洞。
十四、设立数据保护计划
即使企业已制定了数据保护计划，也需定期审查和更新，确保其与GDPR要求保持一致，同时应对移动设备相关的风险，确保涉及个人身份信息（PII）的个人应用程序以符合GDPR的方式访问和存储数据。
十五、记录合规进展
企业必须证明在完成数据处理活动记录（RoPA）方面取得了进展，这是GDPR法规第30条的要求。通过建立RoPA，组织能够识别个人数据的处理位置、处理人员及处理方式。
十六、实施风险缓解措施
在识别风险及其缓解方法后，组织需将这些措施付诸实践，通常需要修订现有的风险缓解措施。
十七、测试事件响应计划
GDPR要求企业在72小时内报告数据泄露事件。响应团队在最小化泄露损害方面表现如何，将直接影响企业因泄露而被罚款的风险。确保能够在规定时间内充分报告和响应泄露事件。
十八、建立持续评估流程
为确保持续合规，企业需要进行监控和持续改进。一些公司正在考虑将遵守新政策纳入员工合同中的强制性要求，并对违反GDPR规定的行为设定惩罚措施，对合规行为给予奖励。
十九、小型组织寻求帮助
小型企业也会受到GDPR的影响，且某些企业受到的影响可能更为显著。它们可能没有满足要求所需的资源，可以寻求外部资源提供咨询和技术专家的帮助，以尽量减少内部干扰。
处理GDPR合规要求需要组织全面审视和改进其数据处理和保护实践，涉及政策更新、流程开发、技术控制实施、员工培训、供应商管理、文档维护以及持续监控等多个方面。通过遵循上述步骤，组织可以更好地确保合规，降低数据泄露风险，保护个人数据隐私。
