第 36 條 📖 GDPR. 事前諮詢

第 36 條 GDPR. 事前諮詢

1. 當資料保護影響評估依第 35條顯現若控管者未採取降低風險之措施，該處理將導致高風險時，控管者應於處理前諮詢監管機關。

第 35 條 GDPR. 資料保護影響評估

2. 當監管機關認為第 1 項所稱之處理將違反本規則，尤其是當控管者未能完全指出或減低風險時，監管機關應於收受諮詢請求後 8 周內，提供書面意見予控管者並視情形予處理者，並得行使其於第 58 條所載之任何權力。該期間可因處理之複雜程度再延長 6 周。監管機關應於收受諮詢請求後 1 個月內通知控管者並視情形通知處理者上開延期情況及延期原因。該等期間得中止至監管機關取得提供諮詢所需之資訊。

第 58 條 GDPR. 權力

3. 依第 1 項諮詢監管機關時，控管者應提供監管機關：

(a) 於可適用時，涉及處理之控管者、共同控管者及處理者分別之責任，尤其是在企業集團內所為之處理；

(b) 該處理之目的及方法；

(c) 依本規則保護資料主體權利及自由之措施及保護方式；

(d) 於可適用時，資料保護員之詳細聯絡方式；

(e) 依第 35 條提供之資料保護影響評估；及

第 35 條 GDPR. 資料保護影響評估

(f) 其他任何監管機關要求之資訊。

4. 會員國應於提出將由國會採納之立法措施建議之準備期間，或依該立法措施之管制措施的準備期間，視何者與處理有關，而諮詢監管機關。

5. 會員國法得不受第 1 項之拘束，要求控管者針對由控管者為公共利益履行任務之處理，包含與社會保護及公共健康有關之處理，諮詢並自監管機關取得事前授權。

通用数据保护条例(EU GDPR)

Source: https://www.ndc.gov.tw/Content_List.aspx?n=F98A8C27A0F54C30

ISO 27701 献技发表评论

ISO 27701

(EN) ISO/IEC 27701, adopted in 2019, added a requirement additional to ISO/IEC 27001, section 4.2.

Here is the relevant paragraph to article 36 GDPR:

5.2.2 Understanding the needs and expectations of interested parties

The organization shall include among its interested parties (see ISO/IEC 27001:2013, 4.2), those parties having interests or responsibilities associated with the processing of PII, including the PII principals.

…

登入
访问全文

献技

(94) 當資料保護影響評估指出某處理在缺乏保護措施、安全措施及機制以降低風險時可能導致對當事人之權利與自由有高風險，且控管者同意該風險無法在可及技術及執行成本下以合理措施降低時，應於處理活動開始前向監管機關諮詢。此種高風險可能肇因於某類型之處理及處理之程度與頻率，也可能導致損害之實現與對當事人之權利與自由之干擾。監管機關應於特定期限內回應諮詢之請求。然而，監管機關於一定期限內之不作為不應損及監管機關依照本規則所定之任務與權力所為之任何介入。作為諮詢過程之一部分，為待決資料處理所執行之資料保護影響評估結果得提交予監管機關，尤其是預定用以降低對當事人權利與自由之風險的措施。

(95) 當有必要且受到請求時，處理者應協助控管者確實遵循衍生自執行資料保護影響評估之義務及衍生自先前監管機關諮詢之義務。

(96) 規範個人資料處理之立法或行政措施之準備階段亦應進行監管機關之諮詢，以確保所欲進行之處理遵循本規則，尤其要降低資料主體所涉之風險。

发表评论

[js-disqus]