资源
这份免费的 RoPA 模板为您提供了一份今天就可以开始填写的处理活动记录，其中包含欧盟《通用数据保护条例》（GDPR）第 30(1) 条要求的每一列，并附有一行可供照抄的完整示例。它是一份简洁的 Excel RoPA 模板，专为需要一份准确的登记册、又不想先购买软件的数据保护负责人、数据保护官（DPO）或 CISO 打造。RoPA 是一张展示您的组织如何使用个人数据的地图，也是监管机构首先要求查看的文件。请在下方下载，然后继续阅读，了解每一列的含义、GDPR 下真正重要的是哪些义务，以及当电子表格不再能够应付规模增长时，如何让这份记录保持最新。无需安装，开始之前也无需重新调整任何格式。
免费下载
获取 GDPR RoPA 模板
一份处理活动记录，包含第 30(1) 条要求的各列以及一行已填写的示例。控制者版本，可直接调整使用。
GDPR RoPA 模板涵盖哪些内容
该文件是一张 Excel 工作表，第 30(1) 条要求的每个字段各占一列，因此既没有遗漏，也没有多余的填充内容。从左到右依次为：控制者的名称和联系方式，以及为任何共同控制者、欧盟代表和数据保护官预留的填写空间；处理目的；数据主体类别和个人数据类别；接收数据的接收方类别；任何向第三国的传输以及保护这些传输的保障措施；在您能够说明的情况下，预计的保存或删除期限；以及对第 32 条规定的技术和组织安全措施的一般性描述。
第一行已经为您填好了一个贴近实际的示例，即一项薪资处理活动，让您在撰写自己的内容之前，就能看到审计师期望的详细程度。第二个工作表列出了大多数团队会重复使用的类别，例如员工、客户和网站访客，让您不必从零开始编造标签。删除示例，复制行格式，然后沿着工作表一次填写一项活动。请对这项工作的实际形态保持清醒的认识。填写一行只需要几分钟。而要弄清薪资、CRM 以及那个遗留报表数据库中真正发生了什么，则需要数周时间，因为答案存在于人们的脑子里，而这些人都很忙。RoPA 其实是一项附带电子表格的访谈工作。
如实看待 GDPR：真正重要的是什么
处理活动记录并不是可有可无的文书工作。根据 GDPR 第 30(1) 条，控制者必须以书面形式记录其处理活动，而且该记录必须包含上文列出的具体字段。它是监管机构在调查中首先要求提供的文件，因为它能表明您是否真正清楚自己持有哪些个人数据以及持有的原因。第 30 条是 GDPR 中起草得较好的部分之一：它明确列出了各个字段，因此在记录中应当包含哪些内容这一点上，不存在需要争论的解释空间。这项义务满足起来格外便宜，而未能履行的代价却格外高昂，这使它成为应当最先完成的事情，也是最不该拖延的事情。
有两点常常让人犯错。第一，控制者和处理者保存的记录不同。如果由您决定处理的目的和方式，您就是控制者，第 30(1) 条完全适用。如果您只是根据另一个组织的指示处理数据，您就是处理者，需要保存第 30(2) 条规定的范围较窄的记录。许多组织在不同的活动中兼具这两种身份，因此两种记录都需要。人们的本能是为整个公司选定一个标签，而这几乎总是错的。请逐项活动确定角色，并将其写在对应的行上，因为答案会改变您所承担的义务。
第二，豁免条款几乎从来都帮不上忙。第 30(5) 条看似豁免了员工少于 250 人的组织，但这一例外的范围很窄：只要您的处理并非偶发、可能危及数据主体的权利，或者涉及特殊类别数据，豁免就不再适用。对大多数真实的企业而言，其中至少有一项总是成立的，因此务实的做法是无论员工人数多少都保存 RoPA。一次性把它妥善建好，要比日后围绕豁免条款争论更省成本。
RoPA 还为您 GDPR 合规计划的其余部分提供输入。它是数据保护影响评估的起点，因此请将它与我们的 DPIA 模板搭配使用；它还能直接映射到更全面的 GDPR 合规检查清单。
如何使用 GDPR RoPA 模板
- 通过上方的表单下载模板，并在进行任何编辑之前保存一份干净的主副本。
- 将每项处理活动单独列为一行。先从显而易见的开始：薪资、招聘、营销和客户支持。每一行的粒度应当是业务人员能够认出来的程度。登记册在两个方向上都会失败：只写一行“客户数据”对谁都没有任何意义，而每张数据库表各占一行，则会变成一种维护负担，您会在第二次审查之前就悄悄放弃它。
- 对于每一行，从左到右填写第 30(1) 条要求的各列，并以示例行作为参考，把握合适的详细程度。
- 尽可能写明保存期限。如果某个期限确实尚未确定，请改为记录您用来做出决定的标准。保存期限是让大多数登记册停滞不前的那一列，因为它迫使业务部门做出一个一直在回避的决定，而且总会有人说“永久保存吧，以防万一”。不要让整个登记册因为这场争论而停下来。记录相关标准，将该行标记为待决定，然后继续推进。
- 请 DPO 或数据保护负责人进行审核，然后设定一个定期回顾的日期。RoPA 只有在保持最新时才有用。
在 Venvera 中自动完成这些工作
电子表格是开始的正确地方，却不是结束的正确地方。一旦活动发生变化、负责人调动，或者有新系统开始处理数据，静态的 RoPA 模板就会逐渐过时，而直到审计时才会有人发现。Venvera 让同一份处理活动记录保持实时：各项活动与其背后的系统和控制措施相关联，保存期限和接收方会就地更新，而您为欧盟《通用数据保护条例》（GDPR）收集的证据可以在您需要报告的其他框架中复用，因此您不必把同一项处理活动重复记录五次。您可以在 GDPR 框架页面上了解其工作方式，套餐起价为 EUR 399/月。模板能让您在本周就拥有一份站得住脚的记录；平台则能让它在明年依然站得住脚。
常见问题
根据 GDPR，RoPA 是强制性的吗？
对控制者而言，是的。第 30(1) 条要求控制者以书面形式保存其处理活动记录，并包含所列出的各个字段。处理者则根据第 30(2) 条保存范围较窄的记录。第 30(5) 条针对员工少于 250 人的组织的豁免范围很窄，而且通常并不适用，因此大多数组织无论如何都会保存 RoPA。
控制者 RoPA 和处理者 RoPA 有什么区别？
控制者决定处理的目的和方式，并根据第 30(1) 条保存更完整的记录，涵盖处理目的、数据主体、接收方、数据传输、保存期限和安全措施。处理者根据控制者的指示行事，并保存第 30(2) 条所述的范围较窄的记录。兼具两种身份的组织需要同时保存两种记录。
RoPA 模板应当包含哪些列？
即第 30(1) 条规定的字段：控制者和 DPO 的联系方式、处理目的、数据主体类别和个人数据类别、接收方类别、向第三国的传输及其保障措施、在可能的情况下预计的保存期限，以及对第 32 条安全措施的一般性描述。这份免费的 RoPA 模板为每一项都设置了一列。
如果我已经有了 RoPA，还需要做 DPIA 吗？
需要，两者的作用不同。RoPA 记录发生了哪些处理活动；数据保护影响评估则在高风险处理开始之前评估其风险。RoPA 往往能告诉您哪些活动需要进行 DPIA，因此团队会同时保存两者并将它们关联起来。请参阅我们的 DPIA 模板，进一步了解。
