如果沒有審核，就不可能正確執行 GDPR 的要求

當我與潛在客戶交談時，我經常聽到他們說他們不需要任何審計，他們只想遵守 GDPR。我們行業中確實有一些實體以文件範本、條款和一般建議的形式提供現成的 GDPR 合規「包」。然而，值得問自己的是，當你收到這樣的包裹時，你會知道如何處理它嗎？此外，GDPR 的實施不僅僅是文件範本、條款和一般建議。儘管 iSecure 專家從事個人資料保護工作已有十多年，但為了在客戶站點可靠地實施 GDPR，他們必須先充分了解它。即使客戶已經擁有先前進行的審計的報告，剛開始為客戶工作的審計員也只能使用這些報告，但為了能夠承擔遵守 GDPR 的責任，他或她必須驗證哪些領域需要任何糾正和/或更新措施。



所以標題中提出的問題的答案是：






開始審核時，您應確定GDPR 的規定應適用於哪些領域和資訊。有些領域不需 馬來西亞電話號碼 要這樣做，例如生產部門只處理生產，而不處理需要存取個人資料的活動，但我們不能事先假設上述所有情況。該部門不會處理個人數據，例如為了控制該製作而進行的視訊監控。我們只有在與該部門的代表交談後才能了解這一點。










一旦確定了處理個人資料的區域，就必須確定與該資料相關的組織的狀態。在大多數情況下，被審計公司將是資料控制者，但對於其中一些公司來說，它可能是共同控制者、處理者（處理者）甚至子處理者。角色的確定也與確定這些特定資料處理的合法性密切相關。數據處理是否是因為法律要求？或者我們是否需要在執行合約時處理它們？或者也許我們有所謂的其處理的合理利益（例如，我們記錄信件以便能夠輕鬆存取特定日期和特定收件人的信件），如果是這樣，那麼在 GDPR 條款的含義範圍內確實合理嗎？最大的風險是基於資料主體同意的資料處理所產生的。 GDPR 包含有關資料處理條件的單獨條款，具體條款可能會產生要求，例如《電子服務提供法》或《電信法》。