Question 1

什么是 GDPR？它适用于哪些组织？

Accepted Answer

欧盟《通用数据保护条例》（GDPR，Regulation 2016/679）是欧盟的数据保护法律，规范组织如何收集、处理、存储和传输欧洲经济区（EEA）内个人的个人数据。它适用于任何处理欧盟居民个人数据的组织，无论该组织位于何处。这包括总部位于欧盟的公司、向欧盟居民提供商品或服务的非欧盟公司，以及监测欧盟居民行为的组织。GDPR 确立了数据主体的权利、数据控制者和处理者的义务，以及执法机制，罚款最高可达 2,000 万欧元或全球年营业额的 4%。

Question 2

第 30 条规定的处理活动记录（ROPA）是什么？

Accepted Answer

GDPR 第 30 条要求数据控制者和数据处理者均须保存书面的处理活动记录（ROPA）。对于控制者，该记录必须包括控制者的名称和联系方式、处理目的、数据主体和个人数据的类别、接收方的类别、国际传输（包括保障措施）、保存期限，以及技术和组织安全措施的总体描述。对于处理者，该记录必须包括其代表进行处理的每个控制者的名称、处理类别、国际传输以及安全措施。在您记录处理活动的同时，Venvera 会自动维护您的 ROPA，并提供导出功能以应对监管机构的要求。

Question 3

什么是数据保护影响评估（DPIA）？

Accepted Answer

数据保护影响评估（DPIA）是 GDPR 第 35 条所要求的一项流程，用于识别并尽量降低某个项目或处理活动的数据保护风险。当处理可能对个人造成高风险时，DPIA 是强制性的，包括产生重大影响的系统性、大范围画像分析，大规模处理特殊类别数据，以及对公共可进入区域的系统性监控。DPIA 必须描述处理操作，评估必要性和相称性，评价对数据主体的风险，并确定应对这些风险的措施。如果 DPIA 显示存在较高的剩余风险，控制者必须依据第 36 条咨询监管机构。Venvera 提供结构化的 DPIA 模板，支持风险评分和缓解措施跟踪。

Question 4

什么是 72 小时泄露通知要求？

Accepted Answer

GDPR 第 33 条要求数据控制者在知悉个人数据泄露后 72 小时内通知其监管机构，除非该泄露不太可能对自然人的权利和自由造成风险。通知内容必须包括泄露的性质、受影响数据主体和记录的类别及大致数量、数据保护官（DPO）的姓名和联系方式、可能产生的后果，以及为应对泄露已采取或拟采取的措施。如果无法在 72 小时内完成通知，必须说明延迟的理由。如果泄露可能对个人造成高风险，第 34 条还要求控制者在不无故拖延的情况下将泄露情况告知受影响的数据主体。

Question 5

GDPR 如何规范跨境数据传输？

Accepted Answer

GDPR 限制将个人数据传输到 EEA 以外的国家，除非能确保充分的保护。传输机制包括：欧盟委员会作出的充分性认定（认定某个第三国能够提供充分保护）、欧盟委员会通过的标准合同条款（SCC）、经监管机构批准的约束性企业规则（BCR），以及第 49 条规定的特定情形下的例外。在 Schrems II 裁决之后，组织还必须开展传输影响评估（TIA），以评估接收国的法律是否提供实质上同等的保护。Venvera 跟踪所有跨境传输，记录每项传输的法律依据，并标记传输至未获充分性认定国家的情况，以便完成 TIA。

Question 6

GDPR 规定了哪些数据主体权利？

Accepted Answer

GDPR 赋予数据主体八项关键权利：知情权（第 13-14 条），即了解其数据如何被处理；访问权（第 15 条），即获取其个人数据的副本；更正权（第 16 条），即更正不准确的数据；删除权，即“被遗忘权”（第 17 条）；限制处理权（第 18 条）；数据可携带权（第 20 条），即以机器可读格式获取数据；反对权（第 21 条），即反对基于正当利益或直接营销的处理；以及不受包括画像分析在内的自动化决策约束的权利（第 22 条）。控制者必须在一个月内回应数据主体请求，对于复杂请求可再延长两个月。Venvera 通过截止期限监控，帮助您跟踪和管理数据主体请求。

Question 7

违反 GDPR 会受到哪些处罚？

Accepted Answer

GDPR 确立了两级处罚结构。较低一级（Article 83(4)）适用于违反控制者、处理者、认证机构和监督机构所负义务的行为，罚款最高可达 1,000 万欧元或全球年营业总额的 2%，以较高者为准。较高一级（Article 83(5)）适用于违反基本处理原则、同意条件、数据主体权利和国际传输规定的行为，罚款最高可达 2,000 万欧元或全球年营业总额的 4%，以较高者为准。监管机构会考虑多项因素，包括违规行为的性质、严重程度和持续时间，是故意还是过失，为减轻损害所采取的措施，以往的违规记录，以及与监管机构的合作程度。

Question 8

有没有针对 GDPR 的合规软件？

Accepted Answer

有。Venvera 是一款 GDPR 合规软件，涵盖您的处理活动记录、DPIA、泄露通知以及数据主体请求处理。它为您提供限定范围的控制措施集、对照该条例为您的就绪度评分的差距评估，以及每一条款背后的证据工作区。由于 Venvera 会跨框架映射控制措施，您已为 ISO 27001 准备的证据可以预先填充您 GDPR 合规态势的大部分内容。在正式投入之前，可先从一次免费合规检查开始。

领域	NIST SP 800-53	GDPR
加密	SC-13密码技术保护 SC-28静态信息保护 SC-8传输机密性和完整性	Art. 32(1)(a)是否在适当情况下对个人数据进行假名化和加密？
密钥管理	SC-12密码密钥的建立与管理	Art. 32(1)(a)是否在适当情况下对个人数据进行假名化和加密？
访问控制	AC-3访问控制执行 AC-6最小权限	Art. 32(4)获授权处理个人数据的人员是否已承诺保密，或负有适当的法定义务？
事件管理	IR-4事件处理	Art. 33(1)组织是否有检测、报告和调查个人数据泄露的流程？
事件报告	IR-6事件报告	Art. 33(1)组织能否在知悉个人数据泄露后 72 小时内通知监管机构？
业务连续性	CP-2应急计划	Art. 32(1)(c)组织是否有能力在发生事件时及时恢复个人数据的可用性和对个人数据的访问？
供应商合同	SR-5采购战略、工具和方法 PS-7外部人员安全	Art. 28是否已与所有数据处理者订立书面合同或法律文件，且其中包含第 28 条规定的强制性条款？
数据分类	MP-4介质存储	Art. 5(1)(c)个人数据是否充分、相关，并且限于实现其处理目的所必需的范围？
安全测试	SA-11开发人员测试与评价 CA-2控制措施评估	Art. 32(1)(d)是否有流程定期测试、评估和评价技术性和组织性安全措施的有效性？
泄露通知	IR-6事件报告 SR-8通知协议	Art. 33(1)组织能否在知悉个人数据泄露后 72 小时内通知监管机构？ Art. 34(1)组织是否有流程，在泄露对受影响数据主体的权利和自由构成高风险时，无不当延误地将泄露情况告知这些数据主体？
数据保护影响评估	RA-8隐私影响评估	Art. 35(1)当某类处理可能对自然人的权利和自由造成高风险时，组织是否开展 DPIA？

GDPR 罚款可达全球营业额的 4%。

GDPR 的要求，您已经具备了多少？

覆盖登记册、DPIA 与通知时限的 GDPR 合规软件

什么是 GDPR？为什么您不能忽视它？

您的第 30 条登记册，始终保持最新。

赶在 72 小时时限之前完成泄露通知。

在上线之前就揭示高风险处理的 DPIA。

每一项跨境传输，法律依据均已存档。

在一个月时限内答复数据主体请求。

每项数据保护策略，都有版本管理和员工确认。

电子表格还是 Venvera？

GDPR 常见问题解答。

GDPR 指南

证明您的 GDPR 合规状况赶在监管机构检验之前。