📘 核心概念定义

个人数据 · 敏感数据 · 数据主体 · 控制者与处理者 ⭐ 中小学生色系 · 合规小课堂

👤 个人数据

GDPR 第4条 任何已识别或可识别自然人的信息。

  • 直接标识符：姓名、身份证号、护照、手机号
  • 间接标识符：IP地址、Cookie ID、设备指纹
  • 特殊关联：位置数据、生物特征、社保信息

🔹 例：员工工号 + 绩效记录 = 个人数据

⚠️ 敏感数据

特殊类别 一旦泄露可能造成严重歧视或伤害。

  1. 种族或民族起源
  2. 政治观点、宗教/哲学信仰
  3. 工会成员资格
  4. 基因数据、生物特征（用于识别）
  5. 健康、性生活或性取向
  6. 刑事定罪与犯罪记录

🔸 处理敏感数据需明确同意或法律授权

🧑‍💼 数据主体

个人数据所指向的自然人。在培训场景中：

  • 员工 (求职者、在职、离职)
  • 客户 / 合作伙伴 (如联系方式)
  • 访客 (监控、门禁记录)

🟢 数据主体享有知情权、删除权、可携带权等

⚙️ 控制者 & 处理者

控制者 决定“为什么”和“如何”处理数据。

处理者 代表控制者操作数据 (如云服务商)。

  • 控制者：公司HR部门、IT策略团队
  • 处理者：薪资外包、SaaS工具、考勤系统供应商

🔹 必须签署数据处理协议 (DPA)

角色 / 概念 定义核心 示例 (企业场景) 合规要点
个人数据 可识别自然人的任何信息 员工姓名、私人邮箱、考勤记录 最小化收集 + 加密
敏感数据 特殊类别，高风险 健康证明、工会会员、指纹 单独同意 + 影响评估
数据主体 数据指向的自然人 员工、应聘者、退休人员 保障主体权利请求
数据控制者 决定目的与方式 公司 (HR部门、法务) 责任主体，登记处理活动
数据处理者 按指令处理数据 薪酬外包、云存储、IT运维 DPA + 审计权限
🧑 数据主体 员工 / 客户 🏢 数据控制者 决定目的 & 方式 ⚙️ 数据处理者 按指令处理 📦 个人数据 (含敏感数据) 提供数据 委托处理 存储 / 分析 管理使用 直接关联 控制者 处理者 个人/敏感数据 数据主体
📌 数据关系架构图 · 控制者与处理者围绕数据主体与个人数据
/* 员工数据隐私保护 · 核心原则 */
1. 个人数据：  识别员工身份的任何信息 → 加密存储
2. 敏感数据：  健康、生物特征、工会等 → 额外授权
3. 数据主体：  员工有权访问、更正、删除自己的数据
4. 控制者：    公司HR/IT决定处理目的 → 登记处理活动
5. 处理者：    外包商/供应商 → 必须签署DPA并接受审计
📘 课程资料