知规行远｜通用数据保护条例（GDPR）审计清单

1. 数据保护官应至少具有以下任务：

a) 通知并告知控制者或处理者以及根据本条例和其他欧盟或成员国数据保护规定履行其义务的员工

b) 监督本条例、其他欧盟或成员国数据保护规定以及控制者或处理者有关个人数据保护的政策的遵守情况，包括责任分配、提高认识和培训参与处理操作的员工以及相关审计；

c) 根据第35条的要求，就数据保护影响评估提供建议，并监督其绩效；

d) 与监管机构合作；

e) 作为监管机构在处理相关问题上的联络点，包括第36条所述的事先协商，并在适当情况下就任何其他事项进行协商

2. 数据保护官在执行任务时应适当考虑与处理操作相关的风险，同时考虑到处理的性质、范围、背景和目的。

2.如果下列情况之一适用，则第1款不适用：

a) 数据主体已明确同意出于一个或多个特定目的处理这些个人数据，除非欧盟或成员国法律规定数据主体不得解除第1款所述的禁令；

b) 为了履行控制者或数据主体在就业、社会保障和社会保护法领域的义务和行使特定权利，只要欧盟或成员国法律或根据成员国法律为数据主体的基本权利和利益提供适当保障的集体协议授权有必要处理的；

c) 如果数据主体在身体上或法律上无法给予同意，但有必要进行处理以保护数据主体或另一自然人的切身利益；

d) 处理是在其合法活动过程中由具有政治、哲学、宗教或工会目的的基金会、协会或任何其他非营利机构在适当的保障措施下进行的，条件是处理仅涉及该机构的成员或前成员或与其达成目的有经常联系的人，未经数据主体同意，个人数据不得在该机构外部披露；

e) 处理涉及数据主体明显已自主公开的个人数据；

f) 建立、行使或辩护法律索赔所必需的或者在法院以执行司法权而必要处理时；

g) 基于欧盟或成员国法律，出于重大公共利益的原因，有必要进行处理，该法律应与所追求的目标相一致，尊重数据实至保护权，并规定适当和具体的措施来维护数据主体的基本权利和利益；

h) 为了预防或职业医学的目的，为了评估员工的工作能力、医疗诊断、提供健康或社会护理或治疗，或者根据欧盟或成员国法律或根据与卫生专业人员的合同，在符合第3款所述条件和保障的情况下，管理健康或社会保健系统和服务，处理是必要的；

i) 出于公共卫生领域的公共利益，例如保护健康免受严重的跨境威胁，或确保医疗保健和药品或医疗器械的高质量和安全标准，根据欧盟或成员国法律进行处理是必要的，该法律规定了适当和具体的措施来保护数据主体的权利和自由，特别是职业保密；

j) 根据欧盟或成员国法律第89条第（1）款，出于公共利益、科学或历史研究目的或统计目的的归档目的，处理是必要的，应与追求的目标相称，尊重数据保护权的本质，并规定适当和具体的措施来维护数据主体的基本权利和利益。

1.只有在以下至少一项适用的情况下，处理才是合法的：

a) 数据主体已同意出于一个或多个特定目的处理其个人数据；

b) 处理是履行数据主体作为当事方的合同所必需的，或者是在签订合同之前应数据主体的要求采取措施所必需的；

c) 处理是遵守控制者所承担的法律义务所必需的；

d) 为了保护数据主体或其他自然人的切身利益，处理是必要的；

e) 处理是为了执行公共利益或行使赋予控制人的官方权力而进行的任务所必需的；

f) 为了控制者或第三方追求的合法利益，处理是必要的，除非这些利益被需要保护个人数据的数据主体的利益或基本权利和自由所压倒，特别是当数据主体是儿童时。

第一项第（f）点不适用于公共当局在执行任务时进行的处理。

1.禁止处理揭示种族或民族血统、政治观点、宗教或哲学信仰或工会会员资格的个人数据，禁止处理遗传数据、用于唯一识别自然人的生物特征数据、有关健康的数据或有关自然人性生活或性取向的数据。

根据第6（1）条，与刑事定罪和犯罪或相关安全措施有关的个人数据的处理只能在官方机构的控制下进行，或者在欧盟或成员国法律授权的情况下进行，这些法律为数据主体的权利和自由提供了适当的保障。任何全面的刑事定罪登记簿只能在官方机构的控制下保存。

5.第1款和第2款所述的义务不适用于雇佣人数少于250人的企业或组织，除非其进行的处理可能会对数据主体的权利和自由造成风险，处理不是偶然的，或者处理包括第9条第（1）款所述特殊类别的数据或与第10条所述刑事定罪和犯罪有关的个人数据。

1.数据主体有权从控制者处获得关于其个人数据是否正在处理的确认，在这种情况下，有权访问个人数据和以下信息：

a) 处理的目的；

b) 相关个人数据的类别；

c) 个人数据已经或将被披露的接收者或接收者类别，特别是第三国或国际组织的接收者；

d) 在可能的情况下，个人数据将被存储的预期期限，如被告知不可能，应确定存储期限的标准；

e) 有权要求控制者更正或删除个人数据，或限制处理与数据主体有关的个人数据，也有权反对此类处理；

f) 向监管机构提出投诉的权利；

g) 如果个人数据不是从数据主体那里收集的，则应提供有关其来源的任何可用信息；

h) 第22条第（1）款和第（4）款所述的自动决策的存在，包括分析，至少在这些情况下，关于所涉及的逻辑的有意义的信息，以及这种处理对数据主体的重要性和预期后果。

1.数据主体有权要求控制者删除与其有关的个人数据，不得无故拖延，控制者有义务在以下理由之一适用的情况下立即删除个人数据：

a) 个人数据不再需要用于收集或以其他方式处理的目的；

b) 数据主体根据第6条第（1）款第（a）点或第9条第（2）款（a）项撤回处理所依据的同意，并且没有其他法律依据进行处理；

c) 数据主体反对根据第21（1）条进行的处理，并且没有压倒一切的合法理由进行处理，或者数据主体反对按照第21（2）条进行处理；

d) 个人数据被非法处理；

e) 为了遵守欧盟或成员国法律中控制者所承担的法律义务，必须删除个人数据；

f) 收集的个人数据与第8（1）条所述的信息社会服务的提供有关。

1. 考虑到最新技术、实施成本和处理的性质、范围、背景和目的，以及自然人权利和自由的可能性和严重程度不同的风险，控制者和处理者应采取适当的技术和组织措施，以确保与风险相适应的安全水平，包括酌情：

a) 个人数据的假名化和加密；

b) 确保处理系统和服务的持续保密性、完整性、可用性和弹性的能力；

c) 在发生物理或技术事故时及时恢复个人数据的可用性和访问权限的能力；

d) 定期测试、评估和评价技术和组织措施的有效性以确保处理安全的过程。

2. 在评估适当的安全级别时，应特别考虑处理带来的风险，特别是意外或非法破坏、丢失、更改、未经授权披露或访问传输、存储或以其他方式处理的个人数据所带来的风险。

3. 遵守第40条所述经批准的行为准则或第42条所述的经批准的认证机制，可作为证明符合本条第1款规定要求的要素。

控制者和处理者应采取措施，确保在控制者或处理者授权下行事的任何有权访问个人数据的自然人，除非根据控制者的指示，否则不会处理这些数据，除非欧盟或成员国法律要求他或她这样做。

1. 在没有根据第45条第（3）款作出决定的情况下，只有在控制者或处理者提供了适当的保障措施，并且数据主体享有可执行的数据主体权利和有效的法律补救措施的条件下，控制者或处理器才可将个人数据传输给第三国或国际组织。

2. 第1款所述的适当保障措施可以通过以下方式提供，而无需监管机构的任何具体授权：

a) 公共当局或机构之间具有法律约束力和可执行性的文书；

b) 根据第47条制定具有约束力的公司规则；

c) 委员会根据第93（2）条所述审查程序通过的标准数据保护条款；

d) 监管机构根据第93（2）条所述的审查程序通过并经委员会批准的标准数据保护条款；

e) 根据第40条批准的行为准则，以及第三国控制者或处理者有约束力和可执行的承诺，以实施适当的保障措施，包括数据主体的权利；或

f) 根据第42条批准的认证机制，以及第三国的控制者或处理者有约束力和可执行的承诺，以实施适当的保障措施，包括数据主体的权利。

3. 经主管监管机构授权，第1款所述的适当保障措施也可特别通过以下方式提供：

a) 控制者或处理者与第三国或国际组织的控制者、处理者或个人数据接收者之间的合同条款；或

b) 在公共当局或机构之间的行政安排中插入的条款，包括可执行和有效的数据主体权利。

4. 在本条第3款所述的情况下，监管机构应适用第63条所述的一致性机制。

5. 成员国或监管机构根据指令95/46/EC第26（2）条作出的授权应保持有效，直至该监管机构进行必要的修订、替换或废除。委员会根据指令95/46/EC第26（4）条通过的决定应继续有效，直至根据本条第2款通过的委员会决定进行必要的修订、替换或废除。

1. 如果委员会决定第三国、第三国境内的一个或多个特定部门或有关国际组织确保了足够的保护水平，则可以将个人数据转移到第三国或国际组织。此类转让不需要任何特定授权。

2. 在评估保护水平的充分性时，委员会应特别考虑以下因素：

a) 法治、尊重人权和基本自由、一般和部门相关立法，包括有关公共安全、国防、国家安全和刑法以及公共当局获取个人数据的立法，以及此类立法、数据保护规则、专业规则和安全措施的实施，包括将个人数据转移到另一个第三国或国际组织的规则，这些规则在该国或国际组织得到遵守，判例法，以及有效和可执行的数据主体权利，以及为个人数据被转移的数据主体提供有效的行政和司法补救；

b) 第三国或国际组织所属的一个或多个独立监管机构的存在和有效运作，负责确保和执行数据保护规则的遵守，包括足够的执法权力，协助和建议数据主体行使权利，并与成员国的监管机构合作；

c) 第三国或有关国际组织已作出的国际承诺，或因具有法律约束力的公约或文书以及因其参与多边或区域体系而产生的其他义务，特别是与保护个人数据有关的义务。

3. 委员会在评估保护水平的充分性后，可通过实施法案决定第三国、第三国领土或第三国境内的一个或多个特定部门，或国际组织确保本条第2款所指的充分保护水平。实施法应规定至少每四年进行一次定期审查的机制，审查应考虑到第三国或国际组织的所有相关发展。实施法案应明确其领土和部门适用性，并在适用的情况下确定本条第2款（b）项所述的监督机构。实施法案应按照第93（2）条所述的审查程序通过。

4. 欧盟委员会应持续监测第三国和国际组织可能影响根据本条第3款通过的决定和根据指令95/46/EC第25（6）条通过的决定的运作的事态发展。

5. 如果现有信息显示，特别是在本条第3款所述的审查之后，第三国、第三国土或第三国境内的一个或多个特定部门或国际组织不再确保本条第2款所指的充分保护水平，委员会应在必要的情况下，通过实施不具有追溯效力的法案，废除、修改或暂停本条第三款所述决定。这些实施法案应按照第93条第（2）款所述的审查程序通过。

6. 在有正当理由的紧急情况下，委员会应根据第93（3）条所述程序通过立即适用的实施法案。

7. 委员会应与第三国或国际组织进行磋商，以纠正导致根据第5款作出决定的情况。

8. 根据本条第5款作出的决定不影响根据第46条至第49条向第三国、该第三国境内的一个或多个特定部门或有关国际组织转移个人数据。

9. 委员会应在《欧洲联盟公报》及其网站上公布一份第三国、第三国领土和第三国特定部门以及委员会决定不再确保充分保护的国际组织的名单。

委员会根据指令95/46/EC第25（6）条通过的决定应继续有效，直至根据本条第3款或第5款通过的委员会决定进行修订、替换或废除。

2.第1款所述具有约束力的公司规则应至少规定：

a) 从事联合经济活动的企业集团或企业集团及其每个成员的结构和联系方式；

b) 数据传输或传输集，包括个人数据类别、处理类型及其目的、受影响的数据主体类型以及所涉第三国的身份；

c) 它们在内部和外部都具有法律约束力；

d) 一般数据保护原则的应用，特别是目的限制、数据最小化、有限的存储期、数据质量、设计和默认的数据保护、处理的法律依据、特殊类别个人数据的处理、确保数据安全的措施，以及向不受约束性公司规则约束的机构转移数据的要求；

e) 数据主体在处理方面的权利和行使这些权利的手段，包括不受仅基于自动处理的决定的影响的权利，包括根据第22条进行特征分析的权利，根据第79条向主管监管机构和成员国主管法院提出申诉的权利，以及因违反具有约束力的公司规则而获得补救和适当赔偿的权利；

f) 在成员国境内设立的控制者或处理者接受对非欧盟成员国违反具有约束力的公司规则的责任；只有当控制者或处理者证明该成员不对导致损害的事件负责时，才应全部或部分免除该责任；

g) 除第13条和第14条外，如何向数据主体提供关于具有约束力的公司规则的信息，特别是关于本款第（d）、（e）和（f）点所述规定的信息；

h) 根据第37条指定的任何数据保护官员或负责监督企业集团或从事联合经济活动的企业集团内遵守具有约束力的公司规则的任何其他个人或实体的任务，以及监督培训和投诉处理；

i) 投诉程序；

j) 从事联合经济活动的企业集团或企业集团内部的机制，以确保核查遵守具有约束力的公司规则的情况。此类机制应包括数据保护审计和确保采取纠正措施以保护数据主体权利的方法。此类核查的结果应传达给（h）点所述的个人或实体以及企业集团或从事联合经济活动的企业集团的控制企业董事会，并应要求提供给主管监管机构；

k) 报告和记录规则变更并向监管机构报告这些变更的机制；

l) 与监管机构的合作机制，以确保从事联合经济活动的企业集团或企业集团的任何成员遵守规定，特别是向监管机构提供第（j）点所述措施的核查结果；

m) 向主管监管机构报告企业集团或从事联合经济活动的企业集团成员在第三国受到的任何法律要求的机制，这些要求可能对具有约束力的公司规则提供的担保产生重大不利影响；

n) 对永久或定期访问个人数据的人员进行适当的数据保护培训。