3、建立和实施个人数据保护影响评估机制
1、个人数据保护影响评估DPIA
1、系统性地描述数据处理的目的
2、对处理操作的必要性和适当性进行评估
3、对数据主体的权利和自由的可能影响或造成的风险进行评估
4、对将采取的保障措施和安全机制是否符合GDPR要求进行评估
2、如何进行DPIA
1、以下必须进行DPIA
1、使用系统性的、广泛的、具有重要影响的用户画像
2、大规模地处理特殊类型或刑事犯罪数据
3、大规模、系统性地监视可公开进入的场所
2、DPIA应该包括这些步骤
1、识别进行DPIA的需求
2、对个人数据处理进行描述
3、对咨询方面进行考虑
4、评估数据访问的必要时与适当性
5、识别并评估风险
6、识别降低风险的措施
7、确认并记录结果
8、将结果整合至行动中
9、持续审查
4、管控数据处理者的数据合规风险
1、建议企业选用能够就数据安全提供充分保证的、可采取合适技术与组织措施的、<br>处理方式符合GDPR要求且有能力保障数据主体权限的数据处理者<br>
2、签订数据处理合同中对处理者进行约束
1、处理的内容和限期
2、处理的性质和目的
3、个人数据的类型和数据主体的类别
4、数据处理者的义务
6、个人数据泄露的处理机制
1、个人数据处理者在发生数据泄露后立即通知数据控制者，而无需对数据泄露事件可能的风险进行评估
2、数据控制者应该在知晓数据泄露事件后72小时内向监管机构进行报告，未能在72小时内进行通知的，应当对迟延理由加以说明
3、数据控制者向监管机构进行的报告应当明确泄露涉及的个人数据的种类、数量、DPO的姓名及联系方式、泄露可能导致的后果以及已经或可能采取的补救措施等
4、若泄露可能给自然人的权利与自由带来高风险时，应当及时(72小时)将泄露告知数据主体，除非
1、已经对被泄露数据采取适当的技术性和组织性保障措施
2、确保该类高风险情形不会再出现
3、进行告知需要不成比例的工作量
5、数据控制者应该完整记录泄露的情况，包括原因，受影响的数据主体，影响的后果，补救措施等
