GDPR的关键点和应对方法

之前发布了关于GDPR的一篇文章《GDPR生效在即，有欧洲生意的同学需要注意了！！》，发现关心的同学还是蛮多的，那么今天又整理了一些资料，让大家更进一步的了解GDPR有哪些重点信息我们需要了解以及应该如何去应对。

GDPR的关键点

为了便于理解，还是将一些术语放在前面。

公正和透明

企业必须始终合法，公正，透明地处理个人数据。

当Grande Banque du Nord要求Marie Dubois在其网站上注册为客时，Grande Banque必须明确通知Marie，该银行及其网站在收集她的哪些具体信息以及该银行未来如何使用该信息。 例如，如果Grande Banque追踪Marie的网站使用情况，Grande Banque必须在隐私声明中描述它们会追踪Marie的网站使用情况。

目的限制

企业可以收集个人数据仅用于指定的，明确的和合法的目的。 他们不能以与这些目的不相符的方式对人数据进一步处理。

当Grande Banque要求Marie 注册为客户时，银行必须通知她将会如何处理她的个人数据。 Grande Banque必须仅将Marie的个人数据用于该通知中描述的目的。 例如，如果隐私声明没有声明Grande Banque与搬家公司共享个人数据，则Grande Banque不得将其信息出售给寻找新客户的住宅搬家公司。

数据最小化

组织只收集足够的，相关的个人数据，并且仅限于预定目的所需的个人数据。

当Marie在Grande Banque移动应用上下载并设置账户时，Grande Banque只能收集与Marie服务相关的信息。 该应用不得记录她的确切位置，访问手机上的联系人，或收集手机上其他应用的信息。 Grande Banque不得要求Marie提供与抵押贷款流程无关的信息，例如她的宗教信仰或种族信息。

准确性

个人数据必须准确，并在必要时保持最新。

当Marie填写格兰特银行的详细表格以准备购买新的房产时，她提供了她目前的薪水。 然而，当她在工作中获得晋升和加薪时，她会与Grande Banque联系。 Grande Banque必须更新其记录以反映她最新的薪水。

数据删除

个人资料只有在需要实现收集的最初目的时才能保留。

Marie发现另一家银行PetitCréditdu Sud提供了低得多的利率。 Marie决定从Grande Banque转到PetitCrédit，她告诉Grande Banque她正在终止他们的关系。在没有合法理由保留的情况下， Grande Banque必须删除Marie的所有个人数据; 例如Marie收入，储蓄账户和债务的信息。

安全

企业必须使用适当的技术和组织安全措施来保护个人数据免遭未经授权的处理和意外泄露，访问，丢失，破坏或更改。 根据具体的使用情况和处理的个人数据，建议使用数据隔离，加密，假名和匿名处理，并在某些情况下需要提供保护个人数据的帮助。

作为抵押申请程序的其中一步，PetitCrédit要求Marie在其网站上填写一份表格，要求提供详细和敏感的个人信息。 PetitCrédit必须确保表单在安全的网页上，并且数据在传输过程中进行了加密。 当PetitCrédit将这些数据存储在其Salesforce实例中时，它必须确保只有那些有合法需求访问数据的PetitCrédit员工才有权限访问该数据。

问责制

数据控制方负责整个策略的实施以确保企业控制的个人数据按照GDPR原则处理。这包括指定数据保护官员，数据处理者受到合同条款约束，并使用“隐私设计”和“默认隐私”原则。此外，数据控制方必须能够证明合规性，包括保存处理记录活动和进行隐私影响评估等。

为了将Marie的个人数据放入PetitCrédit的Salesforce实例中，该银行必须确保其与Salesforce签署书面协议允许处理个人数据处理，例如数据处理附录。 PetitCrédit还必须记录银行如何以及为何收集Marie的信息，收集哪些类型的信息，与谁共享数据，以及保护数据的安全性。

以下是组织可以使用的三种方法将隐私原则运用到他们的文化中。

个人权利

GDPR授予数据主体关于控制方如何处理其数据的一些权利。 这些权利要求数据控制方制定适当的系统来回应并有效处理数据主体的要求。

数据访问：数据主体有权向数据控制方确认企业是否正在处理他们的个人数据。如果是，控制方必须向数据主体提供有关此类处理的信息，包括处理的具体数据，处理目的以及与其共享此类数据的其他方。

对象权：在某些情况下，数据主体可以随时反对处理他们的个人数据，特别是如果处理是出于直接营销目的。

数据整改：如果数据不准确或不完整，数据主体可要求控制方更正或完善个人数据。

处理限制：数据主体可以要求控制方停止访问和修改其个人数据。例如，控制方可以标记或使用技术手段来确保这些数据不会被任何一方进一步处理。

数据可移植性：在某些情况下，数据主体有权要求控制方以结构化，常用和机器可读的格式（例如.csv文件）提供其个人数据，以便他们可以将自己的个人数据数据发送给其他公司。

删除权：也称为“被遗忘权”，该权利授权数据主体请求数据控制方在下列情况下删除或移除其个人数据：当数据不再用于原始目的时，当数据主题撤回数据使用权时，或当数据主体反对处理方式时。

那么，组织如何实际遵守这些原则并回应数据主体的要求呢？接下来我们看下Salesforce对GDPR合规计划关键要素的想法。

Salesforce致力于保护隐私

在Salesforce，信任是我们的第一价值，没有什么比我们的客户取得成功和保护他们的数据更重要。 Salesforce是全球第一批通过欧洲数据保护机构批准的合规保护其客户数据的全球十大软件公司。 Salesforce也是全球首批认证符合欧盟 - 美国隐私保护框架和瑞士 - 美国隐私保护框架的公司之一。

Salesforce欢迎GDPR，这是在整个欧盟流程化数据保护要求方面迈出的重要一步。 在GDPR的开发和批准过程中，Salesforce与欧洲立法者，欧盟数据保护机构和行业协会密切合作。Salesforce致力于遵守GDPR为客户提供服务。致力于确保Salesforce的客户在遵守GDPR的同时继续使用我们的服务。 我们知道，与现有法律要求类似，遵守GDPR要求Salesforce与我们的客户建立伙伴关系。

Salesforce拥有强大的安全和隐私程序，符合行业最高标准。 它们使我们能够遵守适用于Salesforce的各种数据保护法律和法规。 我们的服务基于我们用于保护客户个人数据的管理，技术和物理安全措施，赢得了众多安全相关认证。 对于我们的一些服务，这些认证包括国际标准化组织（ISO）27001和27018标准，美国注册会计师协会（AICPA）系统和组织控制（SOC）报告，支付卡行业数据安全标准（PCI） ，德国莱茵TÜV认证云服务以及英国网络基础计划。 我们的服务还获得了TRUSTe认证印章，表明隐私认证机构TRUSTe审查了我们的隐私惯例，并证实了符合其认证标准。

此外，Salesforce为客户提供强大的数据处理附录，其中包含很少有软件公司可以匹配的强大隐私承诺。 本附录包含数据传输框架，确保客户可以依靠Salesforce具有约束力的公司规则，Salesforce的隐私保护证书或标准合同条款，允许个人数据合法地转移到欧盟以外的Salesforce系统中。

最后，Salesforce为我们的每项主要服务发布信任与合规文档。 该文档描述了每种服务的体系结构，服务所获得的与安全性和隐私相关的审核和认证以及适用的管理，技术和物理控制。 该文件还介绍了我们提供服务的基础设施环境和实体材料。

我们来看一下Salesforce用来促进跨境数据传输的三种机制。

准备GDPR合规

建立你的团队

企业需要建立一种隐私文化，而不仅仅是将数据合规工作只交给一个人来管理。招聘并建立你的跨职能团队来执行GDPR政策和流程。 团队应该由技术，产品，营销，人力资源以及企业的其他团队成员的组成。

评估你的企业

一旦企业组建了跨职能团队，团队就可以分析企业现有的隐私和安全隐患，确定重点关注的重点领域。 分析的一个重要环节是了解企业存储个人数据的位置。 许多企业有数十个存储个人数据的不同数据库和系统。 个人数据可以来自员工，求职者，网站上的填写表格，或忠诚度计划，购买记录，填写退税或保修卡，参加活动或通过电子邮件，电话以及社交媒体与客户服务团队进行联系。

注意

存储个人数据的数据库和系统可能被公司内部许多不同的部门使用。市场营销，销售，人力资源，财务，IT，采购，工资单，风险管理，健康与安全，审计和法律部门都可以运行这些系统，或当与不同的供应商合作管理个人数据。

当企业识别出存储这些数据的位置时，团队可以建立一个数据清单，为每个存储系统显示存储的数据类型，数据来源，用途，访问权限，如何获得保障，传输过给哪些第三方以及会保留多久。在完成这项工作时，团队还可以识别企业从哪些第三方接收个人数据，以及给哪些第三方传输个人数据。

通过分析，企业可以创建数据处理活动的登记册，并确定哪些活动对数据隐私构成高风险。对于每项高风险活动，企业可以进行数据保护影响评估，以确定他们需要采取的行动，以确保他们正确保护个人隐私权。

建立控制和流程

一旦企业对其数据有了更好的理解，该团队就可以创建必要的操作和技术变更的路线图。路线图可以确保组织有适当的控制和流程，例如：

隐私声明：必须在收集个人数据的任何地方提供隐私声明，包括通过使用网站Cookie和标签。

使用限制：可以使用管理或技术控制来限制企业对其收集数据的目的使用数据。

安全：行政，物理和技术安全措施对于防止未经授权的访问，使用，修改，披露或删除个人数据是必要的。

数据主体权利：需要机制和程序来管理数据主体同意偏好，并对投诉和访问请求，整改，限制，可移植性和删除进行响应。

供应商管理：组织必须与收集或接收个人数据的分支机构，供应商和其他第三方签订合同，其中包括标准合同条款或其他机制，以合法化欧盟境外的数据传输。

事件响应：必须创建流程来检测和响应安全漏洞，包括纠正漏洞并通知所有必要的参与方。

培训：必须提供员工和供应商培训，以提高有关隐私政策，流程和要求的意识，并报告关注事项和可疑数据活动。

评估：必须对每个高风险数据处理活动进行数据保护影响评估。

文件合规性

一旦企业走上合规之路，团队可以专注于记录合规工作。企业可以编辑隐私声明和同意书的副本，数据清单和数据处理活动的注册，书面政策和程序，培训材料，内部公司数据传输协议和供应商合同。如果需要，企业可以指定一名数据保护官员并确定适当的欧盟监管机构。对于企业来说，对隐私计划进行定期评估或审计以确保一切按计划运行也非常有必要的。

遵守GDPR的途径充满了许多问题，选择和复杂的分析。这是一个漫长而有趣的旅程，牢记GDPR开头的那句话，就会让合规变的更容易：保护个人数据是一项基本权利。