排 定 的 会一般数据保护条例(Gdpr)制定了涵盖欧盟(Eu)和欧洲经济区(eea)内个人数据保护和隐私的各个方面的指南,包括组织应如何处理,处理和保护个人数据。 以下是gdpr指南中涵盖的主要内容的概述:
1。范围和适用性
Gdpr 适用于:
- 所有组织(包括公司,非营利组织和政府)处理欧盟或欧洲经济区个人数据,无论组织位于何处。
- 数据控制器(谁确定处理的目的和手段)和数据处理器(代表控制者处理数据)。
它适用于任何类型的个人数据处理,包括收集,记录,存储,更改,检索,咨询,使用,披露,删除和销毁。
2.关键定义
- 个人数据任何可以直接或间接识别个人的信息(e.G., 姓名,电子邮件地址,IP地址,位置数据等。如有任何疑问,请与我们联系。
- 敏感个人数据需要额外保护的特殊类别数据,如种族或民族血统,政治观点,宗教信仰,健康数据,生物识别数据和性取向。
- 数据主体: 个人数据所属的个人。
- 数据控制器: 确定处理个人数据的目的和手段的实体。
- 数据处理器: 代表控制器处理数据的实体。
3.数据处理原则
Gdpr基于以下内容:七个关键原则数据处理:
- 合法性、公平性和透明度数据必须以合法、公平和透明的方式处理。 必须告知个人其数据的处理。
- 目的限制个人数据必须出于特定,明确和合法的目的收集,并且不得以与这些目的不兼容的方式使用。
- 数据最小化收集的数据必须是充分的,相关的,并且仅限于预期目的所必需的。
- 联系方式个人数据必须准确并保持最新。
- 存储限制数据存储的时间不得超过收集目的所需的时间。
- 诚信和保密数据必须安全处理,以确保防止未经授权或非法访问,丢失或损坏。
- 问责制数据控制者负责确保遵守上述原则,并且必须能够证明合规性。
4.处理的法律依据
只有在有有效的法律依据的情况下,才能处理个人数据,例如:
- 联系我们个人对特定目的给予明确同意。
- 联系方式: 处理对于履行与个人的合同是必要的。
- 法律义务: 处理需要遵守法律。
- 重大利益处理对于保护某人的生命是必要的。
- 公共任务处理是为了公共利益执行任务所必需的。
- 合法利益除非被个人的权利覆盖,否则处理对于数据控制者的合法利益是必要的。
5.数据主体权利
Gdpr 授予个人有关其个人数据的多项权利:
- 被告知权个人有权知道如何收集,使用和共享他们的数据(通过隐私政策)。
- 访问权个人可以要求访问他们的个人数据及其处理方式。
- 更正权个人可以要求更正不准确或不完整的数据。
- 删除权("被遗忘权")在某些情况下,个人可以要求删除其个人数据(e.G.当不再需要数据时)。
- 限制处理的权利个人可以要求在某些条件下限制他们的数据处理。
- 数据可移植性的权利个人可以要求将他们的数据以结构化,常用和机器可读的格式传输到另一个组织或直接传输给自己。
- 反对权个人可以出于某些目的反对处理其个人数据,包括直接营销。
- 与自动决策和分析相关的权利个人有权不受仅基于自动处理(包括分析)的决定的约束,除非满足某些条件。
6.数据保护影响评估(Dpia)
当数据处理活动可能对个人的权利和自由造成高风险时,必须进行Dpia。 这通常适用于敏感数据的大规模处理、分析或处理。
7.数据泄露通知
组织必须通知相关数据保护机构(在英国,这是信息专员办公室或Ico)。72 小时意识到个人数据泄露事件对个人的权利和自由构成风险。 如果违规行为可能导致高风险,还必须告知受影响的个人。
联系我们。欧盟/欧洲经济区以外的数据传输
只有在以下情况下才允许将个人数据传输到欧盟/欧洲经济区以外的国家/地区:
- 接收国提供适当的保护水平由欧盟委员会决定。
- 适当的保障措施,如标准合同条款(Scc)或具有约束力的公司规则(Bcr)已到位。
- 数据主体已明确同意。
9.设计和默认数据保护
组织必须从涉及个人数据处理的任何项目或过程开始就纳入数据保护措施。 这一原则被称为隐私的设计和默认这意味着必须在设计阶段和整个数据处理生命周期中考虑隐私。
10.数据保护官(Dpo)
如果:
- 该组织是一个公共机构。
- 核心活动涉及定期和系统地监测个人。
- 组织处理大量敏感的个人数据。
Dpo的职责包括:
- 监控Gdpr的遵守情况。
- 就数据保护义务提供建议。
- 作为与数据保护当局的联络点。
联系我们。罚款和处罚
不遵守Gdpr的组织可能面临巨额罚款:
- 联系我们2000万欧元或公司全球年营业额的4%以更高者为准,对于最严重的违规行为。
- 更少的违规行为可能导致高达罚款1 000万欧元或年营业额的2%如果您不同意本站基于目的 C～f 使用您的信息,请在您的帐户中查看。
12.问责制和记录保存
组织必须维护文档以证明 Gdpr 符合性,包括:
- 加工活动记录。
- 数据保护政策和程序。
- 必要时的Dpia。
- 数据主体请求和响应的记录。
13.同意要求
当依赖同意作为处理个人数据的法律依据时,必须遵循以下准则:
- 必须自由给予同意,具体,知情和明确。
- 必须通过明确的扶持行动给予同意(e。G.选择加入),而不是通过预先选出的盒子。
- 组织必须能够证明已获得同意。
- 个人必须有权随时撤回同意。
Gdpr为数据保护设定了高标准,旨在让个人更好地控制自己的个人数据。 通过遵守这些准则,组织可以确保合规并避免处罚风险。