controller-ropa-creation

控制者 RoPA 创建

概述

GDPR 第 30(1) 条要求每位控制者以书面形式维护其负责开展的处理活动记录。本技能提供了创建控制者 RoPA 条目的完整方法，以满足第 30(1)(a) 至 (g) 条规定的全部七项强制字段要求，确保组织能够证明其履责情况（第 5(2) 条），并响应监管机构根据第 30(4) 条提出的要求。

强制字段要求

字段 1：控制者身份与联系方式 — 第 30(1)(a) 条

此字段必须标明：

• 法律实体名称：控制者在国家商业登记册（例如 Companies House、Handelsregister、Registre du Commerce）中登记的名称。
• 注册地址：官方登记的办公地址。
• 联系方式：用于数据保护咨询的一般联系邮箱和电话号码。
• 共同控制者：如果根据第 26 条共同确定处理方式，则需列出各共同控制者的身份和联系方式，并注明第 26 条安排的相关信息。
• 欧盟代表：如果控制者未在 EEA 设立，则需列出第 27 条代表的身份和联系方式。
• 数据保护官：根据第 37 条任命的 DPO 的姓名、邮箱和电话号码；或者说明无需任命 DPO，并给出理由。

Helix Biotech Solutions 示例：

子字段	值
法律实体名称	Helix Biotech Solutions GmbH
注册地址	Leopoldstraße 42, 80802 Munich, Germany
注册信息	HRB 267891, Amtsgericht Munich
联系邮箱	[email protected]
DPO	Dr. Elena Voss, [email protected], +49 89 7654 3210
欧盟代表	不适用（在 EEA 设立）
共同控制者	此处理活动无共同控制者

字段 2：处理目的 — 第 30(1)(b) 条

每项处理活动都必须记录一个或多个具体、明确且合法的目的。目的必须足够细致，以证明符合第 5(1)(b) 条规定的目的限制原则。

避免使用以下含糊目的：

• “业务运营”
• “内部使用”
• “一般目的”
• “按需处理”

可接受的目的示例：

处理活动	目的说明	合法性依据
员工薪资处理	根据劳动合同义务计算和发放月薪及法定扣款	第 6(1)(b) 条 — 履行合同
临床试验数据收集	按照 III 期肿瘤试验方案 HBX-2025-ONC-04，记录参与者的生命体征、不良事件和治疗结果	第 6(1)(a) 条 — 明确同意；第 9(2)(a) 条 — 针对健康数据的明确同意
客户账户管理	维护客户身份、联系和账单记录，以履行实验室试剂订单的供应协议	第 6(1)(b) 条 — 履行合同
药物警戒报告	收集和评估药品不良反应报告，并根据欧盟法规 726/2004 提交至 EMA	第 6(1)(c) 条 — 法律义务

字段 3：数据主体类别 — 第 30(1)(c) 条

列出每项活动中个人数据被处理的所有人群。务必完整列出；遗漏任何数据主体类别都会造成合规缺口。

生物技术组织的常见类别：

• 员工（长期和固定期限）
• 承包商和顾问
• 求职者
• 临床试验参与者
• 患者（上市后监测）
• 医疗专业人员（关键意见领袖互动）
• 供应商及供应商代表
• 网站访客
• 股东和投资者

字段 4：个人数据类别 — 第 30(1)(c) 条

对于每项处理活动，说明收集和处理的个人数据类型。标明第 9(1) 条所指的特殊类别数据，以及第 10 条所指的犯罪定罪数据。

按处理活动划分的数据类别示例：

处理活动	个人数据类别	特殊类别（第 9 条）
员工薪资管理	姓名、员工 ID、银行账户（IBAN）、税务 ID、薪资等级、工作时长	否
临床试验管理	参与者 ID、出生日期、性别、病史、遗传标记、治疗分组、不良事件	是 — 健康数据、遗传数据
药物警戒	报告者姓名、患者姓名首字母、年龄、诊断、用药史、不良反应描述	是 — 健康数据
访客管理	姓名、公司隶属关系、带照片的身份证件、到访日期／时间、接待员工	否

字段 5：接收方类别 — 第 30(1)(d) 条

记录所有接收个人数据的实体，包括：

• 内部接收方：有权访问数据的部门或职能角色（人力资源、财务、IT）
• 处理者：依据第 28 条 DPA 行事的第三方服务提供商（注明名称并引用 DPA）
• 共同控制者：根据第 26 条共同决定处理目的的实体
• 公共机构：监管机构、税务机关、执法机构（注明披露的法律依据）
• 其他控制者：接收数据的独立控制者（例如，保险提供商）

示例：

接收方	类型	DPA／协议参考编号
SAP SuccessFactors (SAP SE)	处理者	DPA-2024-SAP-001，签署日期：2024-02-15
ADP Employer Services GmbH	处理者	DPA-2023-ADP-002，签署日期：2023-09-01
Finanzamt Munich	公共机构	AO 第 93 条 — 税务申报义务
AOK Bayern	其他控制者	根据 SGB V 进行法定医疗保险申报
Helix Biotech Solutions Ltd (UK subsidiary)	集团内控制者	第 26 条共同控制者安排，参考编号：JCA-2024-UK-001

字段 6：国际传输 — 第 30(1)(e) 条

记录向第三国（欧洲经济区以外）或国际组织传输个人数据的所有情况。对于每项传输，记录：

• 目的地国家
• 接收实体
• 所依据的传输机制：
  • 第 45 条所指的充分性决定（注明具体决定）
  • 第 46(2)(c) 条所指的标准合同条款（注明模块和签署日期）
  • 第 47 条所指的具有约束力的公司规则（注明批准参考编号）
  • 第 49 条所指的减损条款（注明适用的具体条款及其适用理由）
• 传输影响评估参考编号（根据 EDPB《建议 01/2020》，使用 SCC 时必须提供）

示例：

目的地	接收方	机制	TIA 参考编号
United States	Veeva Systems Inc.	欧盟—美国数据隐私框架充分性决定（2023 年 7 月 10 日）— Veeva 列入 DPF 清单	TIA-2024-VEEVA-001
United Kingdom	Helix Biotech Solutions Ltd	英国充分性决定（2021 年 6 月 28 日，已延期）	无需（充分性）
India	Wipro Ltd (IT support)	欧盟 SCC 模块 2（控制者至处理者），签署日期：2024-06-01	TIA-2024-WIPRO-003

字段 7：保留期限 — 第 30(1)(f) 条

说明每类数据预期的删除期限，或用于确定保留期限的标准。期限必须具体且客观可确定。

保留期限计划示例：

数据类别	保留期限	保留的法律依据	删除方式
员工工资记录	自劳动关系终止之日起 10 年	《德国商法典》第 257 条、《德国税法》第 147 条	从 SAP HCM 自动删除
临床试验数据	自试验完成之日起 25 年	GCP-V 第 13(10) 条；ICH E6(R2)	归档后按 SOP-DM-012 销毁
求职者数据	自招聘决定之日起 6 个月	AGG 规定的诉讼时效	从 ATS 自动清除
网站分析数据	自收集之日起 14 个月	CNIL 关于分析数据保留的建议	GA4 自动到期删除数据
CCTV 录像	滚动保留 72 小时	比例原则评估（经 DPO 批准）	NVR 自动覆盖

安全措施说明 — 第 30(1)(g) 条

虽然这不像其他内容那样是一个编号“字段”，但第 30(1)(g) 条要求对第 32 条规定的技术和组织安全措施作出一般性描述。此描述应内容充实，但不得泄露具体漏洞。

示例：

技术措施：所有包含个人数据的数据库均采用 AES-256 静态加密；数据传输采用 TLS 1.3；实施基于角色的访问控制（RBAC），并每季度进行访问权限审查；所有处理个人数据的系统均启用多因素身份验证；每日进行加密备份，保留 30 天；通过网络分段将临床试验系统与企业 IT 隔离；所有工作站均部署端点检测与响应（EDR）；每年由独立评估方进行渗透测试。

组织措施：所有员工必须参加数据保护培训（每年复训）；对可访问特殊类别数据的员工进行背景调查；实行清桌政策；实施数据分类方案（公开、内部、机密、受限）；制定事件响应流程，首次评估的 SLA 为 4 小时；在建立合作关系前进行供应商安全评估；通过 ISO 27001:2022 认证的 ISMS（证书编号：IS 782341）。

RoPA 条目编制工作流

1. 确定处理活动：从一项具体的处理活动入手，而不是从部门或系统入手。一个系统可能支持多项处理活动，每项活动都需要单独的 RoPA 条目。

2. 访谈处理负责人：围绕全部七个字段开展结构化访谈。以数据流为叙述主线：“数据来自 [来源]，涉及 [数据主体]，包含 [数据类别]，用于 [目的]，与 [接收方] 共享，传输至 [国家/地区]，保留 [期限]，并通过 [措施] 加以保护。”

3. 对照源系统进行验证：将访谈答复与实际系统配置、数据流图和合同文件进行交叉核对。

4. 起草 RoPA 条目：使用上述模板和示例填写全部七个字段。

5. 请 DPO 审核：DPO 审核条目的法律准确性，尤其关注目的说明、合法依据是否一致以及传输机制是否充分。

6. 取得处理负责人签字确认：业务负责人确认数据流、接收方和保留期限的事实准确性。

7. 录入 RoPA 管理系统：将经验证的记录录入组织的 RoPA 工具（例如 OneTrust、TrustArc 或结构化电子表格）。

8. 设定审查日期：安排在创建后不迟于 12 个月进行下一次审查；如处理活动风险较高，则应提前审查。

常见陷阱

1. 按部门而非按处理活动记录：一条涵盖所有人力资源处理活动的“HR”记录不符合要求。每项独立的处理活动（薪资发放、招聘、绩效管理、工时跟踪）都需要单独记录。

2. 缺少处理者链条文档：处理者聘用次级处理者时，RoPA 必须反映完整的处理链条，而不仅是主要处理者。

3. 混淆控制者与处理者的角色：组织既作为控制者（处理自身数据），又作为处理者（处理客户数据）时，必须分别根据第 30(1) 条和第 30(2) 条填写 RoPA 条目。

4. 忽视非正式处理活动：基于电子表格的处理、共享驱动器以及通过电子邮件处理数据，都是需要填写 RoPA 条目的处理活动。

5. 对动态数据采用固定保留期限：同一处理活动中的不同数据元素可能有不同的保留期限（例如，入职期间收集的合同数据与营销偏好）。