gdpr-data-mapping

GDPR 数据映射

创建用于证明符合 GDPR 的记录和工作流。

1. 数据清单（第 30 条处理活动记录）

针对每项处理活动，记录：

• 目的和合法依据（同意、合同、法律义务、重大利益、公共任务、合法利益——并记录合法利益平衡测试）
• 数据主体类别和个人数据类别（标记特殊类别：健康、生物识别、政治等）
• 接收方，包括子处理方和国际传输
• 保留期限及各期限的理由
• 安全措施（技术和组织措施）

2. 数据流映射

• 交叉参照系统清单：每个系统存储哪些数据字段，以及备份和日志会将这些数据复制到哪些位置
• 分别梳理营销、CRM 和分析数据流——同意状态随数据一同传递
• 第三国传输：识别适用机制（充分性决定、SCC、EU-US DPF），并开展传输影响评估

3. 数据主体权利保障准备（第 15–22 条）

• 确认是否具备在一个月内执行以下操作的能力：访问、更正、删除、限制处理、数据可携带和反对
• 在不过度收集数据的前提下验证身份
• 删除现实情况检查：备份、日志、分析数据存储——记录各系统中“删除”的具体含义
• 同意采集证明：记录时间、方式和所展示的内容（适用于基于同意的处理）

4. 违规事件响应（第 33–34 条）

• 在 72 小时内通知监管机构：准备好模板，并制定“对权利和自由构成风险”的决策树
• 内部升级路径应能快速联系到 DPO（检测 → 评估 → 通知）
• 记录每项违规事件决策，包括未通知的事件及其理由

5. 问责补充事项

• 针对高风险处理的 DPIA 流程（第 35 条）：标准、已完成的 DPIA、剩余风险审批
• 隐私声明与实际做法相符（第 13/14 条）
• 处理方合同包含第 28 条规定的条款

输出

RoPA 电子表格/登记册、数据流图、权利请求操作手册、违规事件决策树，以及按风险优先级排序的差距清单。