第 37 條 📖 GDPR. 資料保護員之指定

第 37 條 GDPR. 資料保護員之指定

1. 於下列任一情形，控管者及處理者應指定資料保護員：

(a) 除法院行使其司法權外，該處理係由公務機關或機構執行；

(b) 控管者或處理者之核心活動，包括依其本質、範圍及/或其目的，需要定期且系統性地大規模監控資料主體；或

(c) 控管者或處理者之核心活動，包括第 9 條所稱之大規模處理特殊類型之資料及第 10 條所稱之前科與犯罪相關之個人資料。

第 9 條 GDPR. 特殊類型之個人資料處理

1. 揭露種族或人種、政治意見、宗教或哲學信仰或貿易聯盟會員之個人資料、以及基因資料、用以識別自然人之生物特徵識別資料、與健康相關或與自然人之性生活或性傾向有關個人資料之處理，應予禁止。

2. 有下列情形之一者，不適用第 1 項規定：

(a) 除歐盟法或會員國法律規定資料主體不得排除第 1 項所定之禁止外，資料主體已明確同意為一個或多個特定目的處理上開個人資料；

[…]

第 10 條 GDPR. 涉及前科及犯罪之個人資料處理

依第 6 條第 1 項處理涉及前科及犯罪之個人資料或相關安全措施，僅有下列情形之一者，始得為之：於公務機關控制下所為之處理，或歐盟或會員國法已為資料主體之權利與自由規範適當保護措施而授權之處理。任何全面性的前科紀錄僅限由公務機關控管保存。

2. 於各分支機構皆易於接近單一一名資料保護員時，企業集團得指定同一名資料保護員。

3. 於控管者或處理者為公務機關或機構時，考量其組織結構與規模，單一一名資料保護員得受指定至多個該等機關或機構。

4. 於第 1 項以外之情形，控管者、處理者或組織及其他代表控管者或處理者類型之機構得指定資料保護員，或於歐盟或會員國法要求時應指定之。

5. 資料保護員應依專業資格、尤其資料保護法律與實踐之專業知識、及完成第 39 條所稱職務之能力指定之。

第 39 條 GDPR. 資料保護員之職務

1. 資料保護員應至少有下列之職務：

(a) 依本規則及其他歐盟或會員國法之資料保護規定通知並建議控管者或處理者及執行其義務之員工；

(b) 監督本規則、其他歐盟或會員國法之資料保護規定及與個人資料保護相關對控管者或處理者之政策，包括責任分配、提高認識及工作人員關於處理活動之訓練、以及相關審計之遵循；

(c) 於受資料保護影響評估請求時，提供建議，並依第 35 條監督其執行；

(d) 與監管機關合作；

(e) 於處理相關之議題，包括第 36 條所稱之事前諮詢時，擔任監管機關之連絡站，並於適當時提供其他事項之諮詢；

2. 資料保護員於執行其職務時，應考量處理之本質、範圍、脈絡及目的，適當考慮處理活動所涉風險，

6. 資料保護員得為控管者或處理者之工作人員，或基於服務契約完成職務。

7. 控管者或處理者應公告資料保護員之契約細節，並向監管機關溝通之。

通用数据保护条例(EU GDPR)

Source: https://www.ndc.gov.tw/Content_List.aspx?n=F98A8C27A0F54C30

專家評論 ISO 27701 献技指南和案例法发表评论

專家評論

(EN) The article explains when and under what conditions a Data Protection Officer (DPO) should be appointed or hired. In most cases, at least one of the following conditions is sufficient for the company to be required to have a DPO:

if data processing is performed by state authorities (except for courts)

…

登入
访问全文

ISO 27701

(EN) ISO/IEC 27701, adopted in 2019, added a requirement additional to ISO/IEC 27002, section 6.1.1.

Here is the relevant paragraph to article 37 GDPR:

6.3.1.1 Information security roles and responsibilities

Implementation guidance

The organization should designate a point of contact for use by the customer regarding the processing of PII. When the organization is a PII controller, designate a point of contact for PII principals regarding the processing of their PII (see 7.3.2).

…

登入
访问全文

献技

(97) 於下述情形時，就資料保護之法律與實務有專業知識者應協助控管者或處理者內部監督本規則之遵守，亦即：當資料處理係由除了法院和獨立司法機關執行其司法權之公務機關執行時、於私部門之處理係由核心活動包括需要經常且有體系的監控大規模資料主體的控管者所為之處理活動、或於控管者及處理者之核心活動包括處理大規模特殊類型之個人資料及涉及前科及犯罪之資料時。在私部門中，控管者之核心活動係連結到其主要活動，而與作為輔助活動之個人資料處理無關。專業知識所需程度尤應依據所執行之資料處理活動及由控管者或處理者處理之個人資料所需之保護而定。該等資料保護員，不問是否為控管者之雇員，都應以獨立之態度堅守職位以執行其任務。

指南和案例法

(EN)

Document

Article 29 Working Party, Guidelines on Data Protection Officers (DPOs) (2017).

发表评论

[js-disqus]