📘 关键术语解析：个人数据、数据主体、数据控制者、数据处理者、数据保护官（DPO）

在 GDPR 合规审计中，准确理解核心术语是构建自查清单的基石。以下逐一解析五个关键角色与概念，并辅以图示与表格，帮助学员建立清晰的合规认知框架。

---

🔹 1. 个人数据（Personal Data）

定义： 指任何已识别或可识别自然人的信息。可识别自然人是指通过姓名、身份证号、位置数据、在线标识符或与该自然人的身体、生理、遗传、心理、经济、文化或社会身份相关的一个或多个因素，能够直接或间接识别的人。

类别	示例
直接标识符	姓名、身份证号、护照号
间接标识符	IP地址、Cookie ID、设备指纹
特殊类别数据	种族、政治观点、宗教信仰、基因数据、生物识别数据、健康数据、性生活/性取向

---

🔹 2. 数据主体（Data Subject）

定义： 指个人数据所指向的已识别或可识别的自然人。数据主体是 GDPR 权利的核心持有者，包括访问权、更正权、删除权（被遗忘权）、限制处理权、数据可携权、反对权等。

• 身份： 任何自然人（不包括法人、公司）
• 权利清单： 知情权、访问权、更正权、删除权、限制处理权、可携权、反对权、自动化决策拒绝权
• 审计要点： 是否建立主体权利响应机制？响应时限是否在1个月内？

---

🔹 3. 数据控制者（Data Controller）

定义： 单独或与他人共同决定个人数据处理目的和方式的自然人或法人、公共机构、行政机关或其他实体。控制者是 GDPR 合规的主要责任人。

角色	职责
决策者	确定“为什么”处理数据以及“如何”处理
合规负责人	确保处理活动符合GDPR原则，实施适当技术与组织措施
问责主体	对数据泄露、违规处理承担主要法律责任

---

🔹 4. 数据处理者（Data Processor）

定义： 代表控制者处理个人数据的自然人或法人、公共机构、行政机关或其他实体。处理者必须严格按照控制者的书面指令行事，并承担相应的合同与法定义务。

• 核心义务： 仅按控制者书面指令处理数据；确保处理人员保密；实施适当安全措施；协助控制者履行主体权利；数据泄露通知义务；处理结束后返还或删除数据。
• 审计重点： 是否签署GDPR合规的数据处理协议（DPA）？是否允许子处理者？是否记录所有处理活动？

---

🔹 5. 数据保护官（DPO - Data Protection Officer）

定义： 由控制者或处理者指定的、负责监督内部 GDPR 合规、提供数据保护建议、并作为监管机构联络点的专业人员。DPO 的指定具有法定强制性条件。

指定条件	核心职责
公共机构或机关（司法机构除外）	监控内部合规
核心活动需要大规模、定期、系统性地监控数据主体	提供数据保护影响评估（DPIA）建议
核心活动涉及大规模特殊类别数据或刑事定罪数据	作为监管机构联络点

---

📋 术语关系速查表

术语	角色	GDPR 责任层级	审计关注点
个人数据	客体	保护对象	分类、最小化、加密
数据主体	权利人	权利持有者	权利响应机制
数据控制者	决策者	主要责任人	合法基础、DPIA、记录
数据处理者	执行者	合同责任人	DPA、安全措施、子处理者
DPO	监督者	合规顾问	独立性、资源、报告线

---

💡 实战要点（自查清单制作提示）

1. 个人数据映射： 在自查清单中必须包含“数据流图”或“数据清单”，明确每类个人数据的来源、存储、共享与销毁。
2. 控制者 vs 处理者： 审计时需严格区分角色，避免将处理者责任误判为控制者责任，反之亦然。
3. DPO 有效性： 检查 DPO 是否参与 DPIA、是否定期向最高管理层报告、是否拥有足够资源。
4. 主体权利流程： 验证是否建立自动化或半自动化的主体请求处理系统，并测试1个月响应时限。

---

专注课程资料整理