GDPR是什么？

本章阐述了个人数据处理的基本原则。第5条概述了核心原则，包括合法性、公平性、透明度、目的限制、数据最小化、准确性、存储限制和个人数据处理的完整性。第6条详细说明了合法的处理条件，如同意和合同必要性。第7-11条详细阐述了个人数据处理和个人权利的各个方面。

本章概述了数据主体的权利。第12条说明了行使数据主体权利的方式，以及建立清晰透明的沟通的方法。它还包括提供有关他们在GDPR下的权利的信息。第13条和第14条指示企业在数据收集期间必须提供的具体细节，如控制者身份和流程目的。第15条至第22条解释了数据主体的权利，包括数据访问、更正、删除数据、处理限制、反对和数据可移植性。

第4章解释了数据控制者和处理方的职责。它授权控制者实施适当措施，确保GDPR合规和数据保护原则。第33条和第34条要求控制者及时向监管机构报表数据泄露，并向受影响的数据主体传达泄露。

本章概述了有关在国际国家之间传输个人数据的法规（第44-50条）。本章阐述了从欧盟传输数据时要遵循的一般原则、与此类传输相关的公司规则，并讨论了监管机构之间为促进数据保护实践的一致性而开展的国际合作。

GDPR第6章（第51-59条）详细说明了负责执行GDPR合规的独立监管机构。每个欧盟成员国都任命这些当局来监督其管辖范围内的GDPR的执行情况。这些当局是各自司法管辖区内数据隐私和安全的主要监护人，旨在保护个人权利并促进公平合法的数据处理实践。

GDPR第7章（第60-76条）解释了监管机构在欧盟中的作用、任务和权力。它概述了监管机构的能力，交换信息和协调活动，以有效执行GDPR。本章还强调了GDPR要求适用时一致性的重要性，以确保监管机构之间做出一致的决定。

《通用数据保护条例》第8章详细说明了如何向监管机构提出投诉，并对控制者或处理者寻求司法补救措施。概述了暂停诉讼的条件和对违约行为造成的损害进行赔偿的权利。监管机构负责处以与违规严重程度相称的罚款，对较轻和更严重的违规行为处以不同的最高罚款。

GDPR第9章涵盖第85-91条，涉及由于处理活动的性质或其社会影响而可能需要特定规则或豁免的领域。此外，它还解决了宗教机构的存档和研究目的、保密义务和数据保护规则的保障措施。

第10章包括第92条和第93条，涉及与授权行为和执行行为有关的程序事项。

第11章包含有关该法规的实施和执行的最终条款。它包括废除先前的数据处理指令（第94条），澄清与现有电子通信规则（第95条）的关系，并确保国际数据传输协议的连续性。

出于具体、明确的目的收集个人数据，确保透明度，并避免进一步处理与初衷不符，同时遵守法律和公平原则。如果为了公共利益、科学研究或统计目的而进行进一步处理，则必须遵守第89（1）条。组织可以遵守这一要求，在在线表格中明确说明数据收集的目的，并获得数据主体的明确同意。

使用ManageEngine满足这一要求

ManageEngine Log360监控数据库中的关键变化，并为未经授权选择、创建、更改或删除个人数据等异常活动提供即时告警。任何偏离既定模式的行为都可以标记以进行进一步调查，确保数据不会以与其所述目的不符的方式进行处理。借助预定义的告警配置文件，每当有可疑活动时，Log360可以生成即时电子邮件或短信通知。

它要求保持准确和最新的个人数据，及时纠正不准确之处，并确保持有的有关个人的信息的可靠性和正确性。组织必须建立强大的系统，通过更新数据来保持准确性，并使用工具或软件来识别任何不准确之处。他们还应该深入了解他们的数据存储实践，包括实施跟踪数据存储持续时间的系统。一旦达到指定的存储期限，就可以及时删除数据。

使用ManageEngine满足这一要求

通过实时监控，ManageEngine Log360提醒管理员任何数据篡改，提高准确性。此外，Log360有助于进行数据库审计，以确定数据存储的持续时间，一旦满足存储阈值，就可以删除个人数据，从而确保遵守保持数据准确和最新的要求。

它要求实施安全措施来保护个人数据，包括加密和定期测试，确保数据的机密性、完整性和可用性，并遵守经批准的行为准则或认证机制。组织必须采取技术措施来保护个人数据免受未经授权或非法处理、意外丢失、破坏或损坏。这涉及实施数据加密技术、备份系统和其他适当的安全措施。

使用ManageEngine满足这一要求

通过预定义的告警配置文件，ManageEngine Log360及时通知管理员未经授权的访问、修改或删除数据，以保护其完整性。它还提供了有关未经授权更改的详细信息，在必要时促进事件报表。此外，Log360提供关于在SQL和Oracle数据库上执行的数据机器语言（DML）和数据定义语言（DDL）操作的审计报表，以确保存储在这些数据库中的个人数据的处理是合法的。

ManageEngine AD360提供全面的审计功能，允许组织实时监控和跟踪其AD环境的变化。这包括更改用户权限、组成员身份和其他与安全相关的配置，有助于确保个人数据的完整性。AD360的MFA通过建立一个集中和统一的IAM平台，有助于保护数据访问。通过这样做，组织确保只有拥有授权访问权限的用户才能控制某些资源。

组织必须确保他们有系统来满足数据主体访问其个人数据的请求。这包括确认个人数据是否正在处理，提供对个人数据本身的访问，以及披露具体信息，如处理目的、涉及的数据类别、数据接收者和存储持续时间。

根据这一要求，组织必须应数据主体的要求及时删除个人数据。如果不再需要数据或撤销同意，控制者必须删除数据。他们还必须将擦除请求通知处理相同数据的其他数据控制者。

组织必须实施适当的技术和组织措施，以确保遵守法规。为了遵守，控制者应考虑到数据处理的性质、范围、背景和目的，以及对个人权利的潜在风险，进行彻底的评估。基于这一评估，控制者应实施适当的措施和协议，以有效保护个人数据。

使用ManageEngine满足这一要求

AD360提供强大的审计功能，允许组织实时监控和跟踪其AD环境的变化。这包括更改用户帐户、组成员身份和安全配置，以确保数据处理活动的问责制和透明度。

为了遵守规定，组织应仔细评估收集的个人数据数量、处理范围、存储时间及其可访问性。组织应采取数据最小化、假名化和加密等做法，以确保在没有个人干预的情况下，个人数据不会被无限数量的个人访问，从而加强个人的隐私和数据保护。

使用ManageEngine满足这一要求

在AD360的帮助下，组织可以构建自定义工作流程，并自动化耗时的常规AD任务，如用户配置和取消配置、密码重置、创建和修改AD组以及权限更改。

通过实施适当的技术和组织措施，考虑到数据处理活动的性质、范围和风险，确保处理系统和服务的持续保密性、完整性、可用性和弹性。组织必须持续监控和审计存储个人数据的存储系统和处理个人数据的服务或应用程序。他们还应该实施全面的灾难恢复和业务连续性计划。

使用ManageEngine满足这一要求

ManageEngine Log360有助于检测存储个人数据的系统和服务上用户活动中的未经授权的访问尝试和异常。具体来说，在MS SQL和Oracle等数据库中，Log360识别对数据库服务器和任何包含个人数据的服务器的未经授权的访问尝试，确保持续的机密性和完整性。

它需要一个定期测试、评估和评估技术和组织措施的有效性的过程，以确保数据处理的安全性。这涉及定期检查和验证已到位的安全措施，以识别任何漏洞，并确保它们随着时间的推移保持有效。

使用ManageEngine满足这一要求

ManageEngine Log360将来自处理个人数据的各种设备和应用程序的日志数据相关化，包括防火墙、漏洞扫描仪、文件服务器、数据库、Linux/Unix系统和IBM AS400系统。然后，它分析这些数据，以实时识别并提醒用户任何可疑活动。

通过考虑与数据处理活动相关的风险来评估适当的安全水平，例如意外或非法破坏、丢失、更改、未经授权披露或访问个人数据。这涉及评估因相应处理和定制安全措施而对个人权利和自由构成的潜在风险，以有效减轻这些风险。

使用ManageEngine满足这一要求

借助ManageEngine Log360的预定义报表和实时告警，组织可以及时检测未经授权的活动，如数据库修改、登录失败和权限更改，从而增强数据安全性并遵守GDPR要求。它还提供集中和相关的安全数据，以快速识别潜在的数据泄露。

AD360的SSO通过允许用户进行一次身份验证并访问多个应用程序和系统，而无需反复输入凭据，从而增强了安全性并简化了访问管理。通过集中身份验证，SSO可以帮助组织实施更强大的身份验证方法和访问控制，降低未经授权访问个人数据的风险。

它概述了在发生个人数据泄露时通知监管机构和其他相关方的程序。如果发生违规行为，控制者必须立即通知监管机构，最好在意识到后72小时内。

使用ManageEngine满足这一要求

ManageEngine Log360通过其实时告警控制台和关联引擎，立即识别漏洞，检测幷包含各种攻击模式，如DoS、DDoS、SQL注入和勒索软件攻击，这些攻击可能会损害个人数据。Log360还可以帮助导出所有可用的取证信息，这也有助于构建事件报表。

如果处理涉及以下，组织必须在处理个人数据之前进行DPIA：

• 新技术或大规模处理：这包括对影响人员的个人方面（剖析）的系统评估或对健康信息或犯罪记录等敏感数据的大规模处理。
• 公共监测：定期大规模监测公共区域。

GDPR还允许监管机构发布一份总是需要DPIA或豁免的处理活动清单。DPIA本身应该是一份记录在案的评估，评估处理、其对个人隐私权的风险以及为减轻这些风险而采取的步骤。