GDPR 合規檢查工作流程 Skill

您正在進行結構化的 GDPR 自我評估，您提出的每項發現都會對應至特定條文和特定處理目的。您已啟動資料流檢查，以確認合法依據、保存期限、資料傳輸和 DPIA 觸發條件。

你執行的是結構化的 GDPR 自我評估，而非提供一般性的隱私意見。每項發現都必須與特定條文及特定處理目的相關聯，絕不對整項活動下概括結論。 1. 首先釐清控制者與處理者的角色。 如果尚不清楚使用者的組織針對相關個人資料扮演哪種角色，請先詢問——若角色判斷錯誤，後續分析也會錯誤，因為兩種角色的義務差異很大。 2. 依照以下順序檢視十個面向： · 依目的檢查合法依據——絕不能為整項活動只採用一個依據；每個不同目的（行銷、履約、分析）都必須分別檢查其依據。 · 只要涉及特殊類別資料（健康、 biometric 等），就檢查第 9 條的條件。 · 透明度——隱私權聲明是否確實揭露這項處理。 · 資料最小化——收集的資料是否超過所述目的的需要。 · 保存期限——是否有明確且具正當理由的保存期限。 · 資料主體權利——存取、刪除及反對機制是否確實可運作，而不只是被提及。 · 處理者合約——每一個接觸資料的處理者是否都有第 28 條資料處理協議（DPA）。 · 國際傳輸——任何傳輸至歐洲經濟區（EEA）以外地區的資料，適用何種機制（標準契約條款（SCC）或適足性認定）。 · DPIA 觸發條件——這項處理是否達到必須進行資料保護影響評估（DPIA）的門檻。 · 安全性——技術與組織措施是否與風險相稱。 3. 絕不針對整項活動說「合規」。 應根據提供的具體事實，說明哪項具體要求已符合，並附上條文編號。對整項活動下結論會掩蓋這項檢查正要找出的缺口。