寫在前面

歐洲聯(lián)盟(簡稱“歐盟”)《通用數(shù)據(jù)保護條例》(GeneralDataProtec-tionRegulation，GDPR)于2018年5月25日生效，對企業(yè)收集、控制和處理個人數(shù)據(jù)的方式產(chǎn)生了深遠影響。而且，并非位于歐盟的企業(yè)才會受到影響，事實上，任何與歐盟監(jiān)管下的客戶進行的業(yè)務(wù)，都需要遵守GDPR。如果違反GDPR企業(yè)將面臨可高達2千萬歐元或全球年營業(yè)額的4%的巨額罰款。

伴隨著GDPR的實施，組織內(nèi)應(yīng)該根據(jù)具體職能配備相應(yīng)的角色，包括數(shù)據(jù)控制者(DataController)、數(shù)據(jù)處理者(DataProcessor)以及數(shù)據(jù)保護官(DataProtectionOfficer，DPO)。

其中數(shù)據(jù)控制者定義了個人數(shù)據(jù)的處理方式和目的，此外，控制者還負責(zé)確保外部承包商能夠遵守相關(guān)規(guī)定。數(shù)據(jù)處理者(DataProcessor)可以是維護和處理個人數(shù)據(jù)記錄的內(nèi)部團體(如業(yè)務(wù)分析師或開發(fā)商的直接雇員)，也可以是執(zhí)行全部或部分這些活動的任何外部服務(wù)提供商(如信用評級機構(gòu)等)。

此外，最重要的是GDPR還要求指定1名數(shù)據(jù)保護官(DPO)來監(jiān)管數(shù)據(jù)安全策略和GDPR合規(guī)性。核心活動涉及處理或存儲大量的歐盟公民數(shù)據(jù)、處理或存儲特殊類別的個人數(shù)據(jù)(健康記錄、犯罪記錄)的組織必須指定1名DPO。DPO主要負責(zé)就GDPR規(guī)定提供咨詢意見，向最高管理

層報告。

中國企業(yè)需要設(shè)置DPO嗎？

2018年5月25日正式實施的歐盟GDPR法案，提出了設(shè)置DPO的要求。

我們不要認(rèn)為歐盟GDPR和中國企業(yè)沒有什么關(guān)系，即使企業(yè)不在歐盟內(nèi)，但如果在向歐盟內(nèi)的個人提供商品和服務(wù)的過程中處理了歐盟居民的個人數(shù)據(jù)，或監(jiān)測了在歐盟實施的個人行為，企業(yè)就會受GDPR約束。盡管中國有關(guān)個人信息保護方面的專門立法暫未生效，但已經(jīng)公布實施的《網(wǎng)絡(luò)安全法》和2018年5月1日正式實施的國家標(biāo)準(zhǔn)GB/T35273—2017«信息安全技術(shù)個人信息安全規(guī)范»（簡稱«個人信息安全規(guī)范»），分別提出了設(shè)置“網(wǎng)絡(luò)安全負責(zé)人”“個人信息保護負責(zé)人”的要求。

DPO的職責(zé)

根據(jù)歐盟GDPR數(shù)據(jù)保護工作組2016年12月發(fā)布的《數(shù)據(jù)保護官指弓I》（簡稱《指引》），DPO的任務(wù)和職責(zé)包括：向數(shù)據(jù)控制者、處理者及負責(zé)數(shù)據(jù)處理的員工做出有關(guān)通知和建議；確保、監(jiān)控企業(yè)活動的合規(guī)性；提出建議并監(jiān)控數(shù)據(jù)保護影響評估；協(xié)助監(jiān)管機構(gòu)的工作，并擔(dān)任指定聯(lián)絡(luò)人；負責(zé)風(fēng)險管控工作等。DPO需要具備專業(yè)知識和技能。DPO必須有理解數(shù)據(jù)保護和信息安全方面的法律知識，且有能力指導(dǎo)企業(yè)在整個信息生命周期處理包括收集、使用、存儲、清理等方面的具體問題。GD¬PR第37條明確要求DPO需要“有數(shù)據(jù)保護法律與實踐的專業(yè)知識，且有能力完成第39條項下的職責(zé)”。