data-flow-mapping

国际数据流映射

概述

全面的国际数据流图是任何跨境传输合规计划的基础前提。GDPR 第 30 条要求控制者和处理者记录向第三国或国际组织传输数据的情况。除了满足监管合规要求外，数据流清单还能帮助识别未受保护的传输、指定适当的传输机制，并持续监控数据在各司法管辖区之间的流动。本技能提供了一套结构化方法，用于逐个系统开展数据流清单盘点、识别所有第三方接收方、指定传输机制并进行差距分析。

数据流清单方法

阶段 1：系统清单

识别组织内每个处理个人数据的信息系统、应用和服务。

Athena Global Logistics 的系统类别：

类别	系统	处理的个人数据
企业资源规划	SAP S/4HANA（托管于法兰克福数据中心）	员工数据、客户数据、供应商数据、财务数据
运输管理	CargoWise One（SaaS，托管于悉尼）	客户货运数据、收货人数据、报关行联系人
客户关系管理	Salesforce（SaaS，托管于法兰克福）	客户联系人、通信历史记录、销售管道
人力资源	Workday（SaaS，托管于都柏林）	员工个人数据、工资、福利、绩效、招聘
电子邮件与协作	Microsoft 365（SaaS，托管于欧盟数据中心）	员工通信、联系人、日历、文件存储
仓库管理	Manhattan Associates（托管于法兰克福数据中心）	仓库员工 ID、轮班安排、访问日志
车队管理	Fleetio（SaaS，托管于美国）	驾驶员姓名、驾照号码、GPS 跟踪数据、车辆分配
客户门户	自定义 Web 应用（托管于法兰克福数据中心）	客户登录凭据、货运跟踪、文档上传
分析平台	Snowflake（SaaS，托管于法兰克福）	汇总运营数据、假名化的客户分析数据
IT 服务管理	ServiceNow（SaaS，托管于阿姆斯特丹）	员工 IT 工单、联系方式、设备分配

第 2 阶段：数据流识别

针对每个系统，追踪所有跨越国境的个人数据流。

数据流追踪方法：

1. 入站流：个人数据从何处进入系统？（用户输入、API 集成、文件导入、电子邮件）
2. 内部处理：数据存储和处理在何处进行？（主数据中心、灾难恢复站点、开发／测试环境）
3. 出站流：个人数据流向何处？（第三方集成、数据导出、电子邮件传输、备份复制）
4. 子处理者链条：对于 SaaS 系统，识别提供商的子处理者及其所在地。
5. 支持访问：识别任何远程支持安排，包括第三国支持人员可能访问个人数据的情况。

Athena Global Logistics 数据流登记表示例（节选）：

流 ID	源系统	源位置	目的地	目的地国家／地区	数据类别	处理的法律依据	传输机制
DF-001	SAP S/4HANA	德国法兰克福	Athena Logistics (HK) Ltd — 本地 SAP 实例	中国香港特别行政区	客户姓名、地址、托运数据	第 6(1)(b) 条，合同	SCCs 模块 1
DF-002	CargoWise One	澳大利亚悉尼	Athena Global Logistics GmbH — API 拉取	澳大利亚	货运状态、收货人详细信息	第 6(1)(b) 条，合同	欧盟充分性决定（隐含——澳大利亚没有充分性决定；需使用 SCCs 模块 2）
DF-003	Workday	爱尔兰都柏林	Workday Inc 子处理者（美国备份数据中心）	美国	员工 HR 数据	第 6(1)(b) 条，雇佣合同	EU-US DPF + 备份 SCCs
DF-004	Fleetio	美国亚特兰大	不适用（主要处理在美国进行）	美国	司机姓名、驾照号码、GPS 数据	第 6(1)(f) 条，合法利益	EU-US DPF（需核实认证）
DF-005	SAP S/4HANA	德国法兰克福	Athena Freight Services India — SFTP 批量传输	印度	员工数据（薪资、福利）	第 6(1)(b) 条，雇佣合同	SCCs 模块 1
DF-006	自定义门户	德国法兰克福	TransPacific Freight Solutions — API	中国香港特别行政区	客户货运数据	第 6(1)(b) 条，合同	SCCs 模块 2
DF-007	Microsoft 365	欧盟数据中心	Microsoft Corp 子处理者（全球）	多个国家／地区（美国、新加坡、爱尔兰）	员工电子邮件、文件	第 6(1)(b) 条，合同	EU-US DPF（美国）；SCCs（新加坡）

第 3 阶段：第三方识别

列出通过国际传输接收个人数据的所有第三方（处理者、子处理者、共同控制者、独立控制者）。

第三方	角色	国家／地区	接收的数据	用途	合同引用
TransPacific Freight Solutions Ltd	处理者	中国香港特别行政区	客户货运数据	货运整合和清关	DPA-2025-001
CloudVault Asia Pte Ltd	子处理者（TransPacific 的）	新加坡	客户货运数据（托管）	云基础设施	通过 TransPacific 签订的子处理者协议
Pinnacle Data Services Co Ltd	子处理者（TransPacific 的）	泰国	清关文件数据	数据录入和验证	通过 TransPacific 签订的子处理者协议
Athena Freight Services India Pvt Ltd	控制者（集团内部）	印度	员工 HR 数据	本地雇佣管理	集团内部 DPA-2024-005
Workday Inc	处理者	爱尔兰（主站点）、美国（备份）	员工 HR 数据	HRIS 平台	DPA-WD-2024-001
Fleetio Inc	处理者	美国	司机数据	车队管理	DPA-FL-2024-003
Microsoft Corporation	处理者	欧盟、美国、新加坡	员工电子邮件和文件	电子邮件和协作	DPA-MS-2024-001

第 4 阶段：分配传输机制

为每个已识别的国际数据流分配适当的传输机制：

For each flow:
  1. Check: Does the destination have an EU adequacy decision?
     → YES: Record "Adequacy Decision" as mechanism. Done.
     → NO: Continue.
  2. Check: Is the importer DPF-certified (for US transfers)?
     → YES: Record "EU-US DPF" as mechanism. Recommend SCCs as backup.
     → NO: Continue.
  3. Check: Are SCCs in place between the parties?
     → YES: Record "SCCs Module X" as mechanism. Verify TIA completed.
     → NO: Continue.
  4. Check: Are BCRs in place covering the transfer?
     → YES: Record "BCRs" as mechanism. Verify scope covers the data.
     → NO: Continue.
  5. Check: Does an Art. 49 derogation apply?
     → YES: Record "Art. 49(1)(x)" as mechanism. Document justification.
     → NO: FLAG AS UNPROTECTED TRANSFER — immediate action required.

第 5 阶段：差距分析

识别缺少有效传输机制的数据传输：

差距类型	描述	优先级	补救措施
无机制	数据传输未依据第 45、46 或 49 条的任何依据进行	严重	暂停传输，或在 30 天内签署 SCC
机制已过期	SCC 基于已被取代的 2010/2021 版本；DPF 认证已过期	高	在 60 天内续用机制
缺少 TIA	已签署 SCC，但未记录 TIA	高	在 30 天内完成 TIA
文档不完整	机制已建立，但附件字段不完整	中	在 60 天内完善文档
子处理方差距	进口方使用的子处理方未纳入 SCC 的覆盖范围	高	扩大 SCC 的覆盖范围，或要求进口方签署模块 3 SCC
未发现的数据流	映射过程中发现此前未知的数据流	高	在 30 天内进行评估、指定机制并记录

数据流可视化

可视化方法

1. 地理地图可视化：在世界地图上绘制数据流，并使用不同颜色的线条标记：

   • 绿色：数据传输受充分性决定覆盖
   • 蓝色：数据传输受 SCC/BCR 覆盖，且已完成 TIA
   • 黄色：数据传输受机制覆盖，但 TIA 待处理或正在审查
   • 红色：数据传输缺少有效机制——需要立即采取行动

2. 以系统为中心的图表：为每个主要系统绘制图表，显示所有入站和出站数据流、目的地国家及所用机制。

3. 第三方关系图：绘制网络图，以组织为中心显示所有第三方和向外延伸的数据流，并按司法管辖区分组。

4. 传输登记仪表板：以表格形式呈现，并可按机制类型、目的地国家、风险等级和审查状态筛选。

持续维护

1. 基于触发条件更新：发生以下情况时，重新绘制数据流：实施新系统、接入新供应商、公司重组、在新国家开展业务、出现新的数据类别。
2. 定期审查：至少每年全面审查一次数据流清单。
3. 自动发现：实施网络监控和数据丢失防护（DLP）工具，以检测未记录的跨境数据流。
4. 与 RoPA 集成：数据流图直接纳入第 30 条所述的处理活动记录。
5. 与供应商登记册集成：第三方数据接收方图纳入供应商管理和 DPA 跟踪系统。