gdpr-dpa-cooperation

GDPR 监管机构合作

概述

第 31 条要求控制者和处理者在监管机构提出要求时，配合其履行职责。这项义务是无条件的，适用于与数据保护机构的所有互动，包括正式调查、审计要求、信息请求以及因投诉引发的询问。不配合本身可能导致依据第 83(5)(e) 条处以行政罚款。

监管机构互动类型

1. 信息请求（第 58(1)(a) 条）

监管机构可命令控制者和处理者提供其履行职责所需的任何信息。通常须在 4 周内作出答复，除非另行规定了更短的期限。

2. 数据保护审计（第 58(1)(b) 条）

监管机构可通过数据保护审计开展调查，审查文档、访谈员工并测试控制措施。

3. 现场检查（第 58(1)(f) 条）

监管机构可进入控制者和处理者的场所，包括接触任何数据处理设备和工具。

4. 因投诉引发的调查（第 77 条）

数据主体提出投诉后，监管机构会展开调查，并可要求控制者提供文档、说明和纠正措施。

5. 跨境合作（第 56、60-66 条）

在跨境处理案件中，牵头监管机构根据一致性机制与相关监管机构合作。控制者可能需要向多个监管机构提供信息。

响应流程

收到监管机构请求

1. 记录请求：在监管往来登记册中记录日期、监管机构、参考编号、范围和截止期限。
2. 立即通知关键利益相关方：数据保护官（DPO）、总法律顾问、CEO/董事总经理以及相关处理活动负责人。
3. 评估范围：确定涉及哪些处理活动、文档和人员。
4. 法律特权审查：识别可能受法律专业保密特权保护的文档，并咨询外部法律顾问。
5. 组建响应团队：数据保护官（DPO，牵头）、法律顾问、相关处理活动负责人、IT/安全人员（如请求涉及技术信息）。

准备答复

1. 收集证据：从问责材料库中收集所有请求的文档。
2. 核实准确性：提交前交叉核对所有文档的一致性和时效性。
3. 起草答复函：针对请求的每个事项提供具体证据或说明。
4. 质量审查：由数据保护官（DPO）和法律顾问审查完整的答复材料。
5. 按时提交：通过监管机构首选的渠道提交答复，并确认送达。
6. 归档：将答复副本存入监管往来登记册。

现场检查期间

1. 准备工作：确保检查室已准备就绪，并备妥相关文档。向所有可能接受访谈的员工说明情况。
2. 陪同流程：监管机构检查人员必须始终由指定代表陪同。
3. 记录：记录检查期间提出的所有问题、审查的文档和作出的口头陈述。
4. 范围管理：礼貌但坚定地确保检查不超出所述范围。如请求似乎超出既定目的，应向监管机构寻求澄清。
5. 技术访问：按要求提供系统访问权限，但确保访问受到监督并留有记录。
6. 检查后续工作：准备详细的内部检查记录，并确定已承诺的后续行动。

合作义务与法律权利

虽然第 31 条规定了合作义务，但控制者和处理者仍保留某些权利：

• 在访谈和检查期间获得法律代理的权利
• 对律师与客户之间的通信主张法律职业特权的权利
• 要求澄清调查的法律依据和范围的权利
• 对监管机构调查结果中的事实错误提出异议的权利
• 在采取纠正措施前陈述意见的权利（第 58(4) 条）
• 对监管机构的决定寻求司法救济的权利（第 78 条）

常见陷阱

1. 延迟响应：错过响应期限本身就是合规失败，可能导致罚款。
2. 响应不完整：仅提供部分信息，却未说明某些内容为何无法提供。
3. 文档不一致：提交的文件相互矛盾，或与组织公开的隐私声明相矛盾。
4. 沟通缺乏协调：多名员工向监管机构提供不同的答复。
5. 妨碍调查：任何被视为妨碍监管机构调查的行为，包括销毁文件、隐瞒信息或提供误导性陈述。