2. 数据映射与资产盘点工程

在GDPR的合规体系中，理解核心角色与术语是构建合规框架的基石。每个角色都承担着特定的法律责任与义务，错误的角色定位可能导致严重的合规风险。以下是对五大关键角色的深度解析。

2.1 数据主体 (Data Subject)

定义：数据主体是能够被识别或可识别的自然人。这是GDPR保护的核心对象，所有合规义务的最终目的都是为了保护数据主体的权利与自由。

核心权利：

• 知情权：被告知个人数据如何被收集、使用和处理。
• 访问权：访问控制者持有的关于其本人的个人数据。
• 更正权：要求更正不准确或不完整的个人数据。
• 删除权（被遗忘权）：在某些条件下要求删除其个人数据。
• 限制处理权：在某些情况下要求限制对个人数据的处理。
• 数据可携带权：以结构化、通用和机器可读的格式接收其个人数据。
• 反对权：反对基于特定目的（如直接营销）处理其个人数据。

2.2 数据控制者 (Data Controller)

定义：单独或与他人共同决定个人数据处理的目的和方式的自然人或法人、公共机构、行政机关或其他实体。控制者是GDPR合规的“第一责任人”。

核心职责：

2.3 数据处理者 (Data Processor)

定义：代表控制者处理个人数据的自然人或法人、公共机构、行政机关或其他实体。处理者必须严格按照控制者的书面指令行事。

核心职责：

1. 仅按指令处理：除非法律要求，不得出于自身目的处理数据。
2. 保密性：确保授权处理数据的人员承担保密义务。
3. 安全措施：实施适当的技术和组织安全措施。
4. 子处理者管理：未经控制者事先书面授权，不得转包处理活动。
5. 协助义务：协助控制者履行数据主体权利、数据泄露通知、DPIA等义务。
6. 删除或返还：在服务结束后，根据控制者选择删除或返还所有个人数据。

2.4 监管机构 (Supervisory Authority)

定义：每个欧盟成员国设立的独立公共机构，负责监督GDPR在本国的适用情况，保护数据主体的基本权利与自由，并促进个人数据在欧盟内部的自由流动。

核心职责与权力：

• 监督与调查：进行数据保护审计、调查和检查。
• 纠正权力：发出警告、谴责，命令控制者/处理者满足数据主体权利请求，限制或禁止处理活动。
• 罚款权力：处以行政罚款（最高2000万欧元或企业全球年营业额的4%，取较高者）。
• 咨询角色：就数据保护影响评估（DPIA）提供咨询意见。
• 合作机制：通过“一站式服务”机制（Lead SA）与其他成员国监管机构合作。
• 法律行动：向法院提起诉讼，或介入法院案件。

2.5 数据保护官 (Data Protection Officer - DPO)

定义：由控制者或处理者指定的、具备数据保护法律与实践专业知识的人员。DPO是GDPR合规的“内部守护者”和“联络官”。

何时必须指定DPO：

DPO的核心职责：

1. 信息与建议：就GDPR及其他数据保护法律义务向控制者/处理者及其员工提供建议。
2. 监督合规：监督控制者/处理者遵守GDPR的情况，包括分配职责、提高意识、培训员工及相关审计。
3. 提供咨询：就数据保护影响评估（DPIA）提供建议并监督其执行。
4. 合作与联络：与监管机构合作，并作为监管机构在数据处理相关事宜上的联络点。
5. 风险导向：在处理活动中采用风险导向的方法，优先处理高风险领域。

角色职责速查表