如果您经营一家中小型企业，GDPR 合规起初可能看似很简单。似乎只需发布隐私政策、添加 cookie 横幅、更新几份合同就大功告成了。
然而，GDPR 合规的范围远不止于此。它是一项需要问责的持续性工作：您需要就个人数据做出合法决策、记录这些决策、应用适当的技术和组织措施，并能在监管机构、客户或合作伙伴提出疑问时说明理由。
一份全面的清单可帮助企业识别各个关键环节：合法依据、透明度、保留、安全性、处理者合同、数据泄露响应以及员工培训等。
当然，真正的工作在于将这些要求应用到您自己的系统、供应商、客户旅程以及内部访问实践中。正确的做法是将其视为对风险和治理的结构化审查，而不是流于形式的打勾任务。不过，这份英国 GDPR 合规清单可以帮助英国企业入门。
请记住，GDPR 合规不仅是法律义务，也是商业义务。买方期望供应商在隐私、数据处理和访问控制方面展现出成熟度，尤其是在涉及客户数据、员工信息或敏感商业数据时。
在逐项完成此清单时，请记住这并非一份完整的指南，也不构成法律建议。如果您需要在组织内部实施 GDPR 的针对性指导，请咨询合格的法律专业人士。
如何使用此 GDPR 合规清单
方法很简单：按顺序逐个完成每个阶段。对于每一项，标记您的状态，并确保能够提供所列的证据。这将帮助您更好地了解企业目前的合规程度，以及下一步应关注的领域。
注意：此清单在较大的屏幕上查看效果最佳。
| GDPR 合规步骤 | 行动清单 | 优先级 | 所需证据 | 状态 |
| 映射所有个人数据处理活动 | 数据清单 – 识别所有存储个人数据的系统（CRM、HR、电子邮件、云工具） – 列出收集的所有数据类型（客户、员工、潜在客户） 处理活动映射 – 定义每项活动的目的- 识别数据主体和类别 – 记录数据的存储和传输位置 | 高 | 处理活动记录（ROPA）文档 | ☐ |
| 为每项活动定义合法依据 | – 为每项活动指定合法依据（合同、法律义务、同意等） – 确保在处理之前确定依据 – 确认依据与目的相符（而非出于便利） – 应用“必要性”测试 | 高 | 已记录的合法依据登记册 | ☐ |
| 进行合法利益评估（如适用） | – 识别使用“合法利益”的场景 – 执行平衡测试（商业利益与个人权利） – 记录理由和保障措施 | 中等 | 合法利益评估（LIA）记录 | ☐ |
| 识别并分类敏感数据 | – 识别特殊类别数据（健康、生物特征数据等） – 应用第 9 条的附加条件 – 定义更严格的控制措施（访问、加密） | 高 | 敏感数据分类和保障措施记录 | ☐ |
| 映射数据流 | – 跟踪数据的流动方式（收集 → 存储 → 共享 → 删除）- 识别内部和外部传输- 标记高风险数据流 | 高 | 数据流图 / 映射文档 | ☐ |
| GDPR 合规步骤 | 行动清单 | 优先级 | 所需证据 | 状态 |
| 创建或更新隐私声明 | 内容– 列出收集的数据- 说明目的和合法依据 – 识别第三方 – 定义保留期限 – 包含用户权利和联系人详情 清晰度– 使用通俗易懂的语言 – 避免法律术语 | 高 | 已发布且与实际运营一致的隐私政策 | ☐ |
| 确保隐私声明与实际运营一致 | – 审计各系统中的实际数据使用情况 – 确保披露所有工具/供应商 – 流程变更时更新声明 | 高 | 隐私声明审查日志 | ☐ |
| 实施有效的同意机制 | – 使用清晰、具体的同意请求 – 避免预先勾选的复选框 – 按目的分别获取同意 – 使用选择性加入（而非选择性退出）机制 | 高 | 同意捕获记录/截图 | ☐ |
| 记录并管理同意 | – 记录同意的授予时间和方式- 安全存储同意记录- 将同意与特定目的关联 | 高 | 同意数据库 / 日志 | ☐ |
| 启用便捷的同意撤回功能 | – 提供简单的撤回方式（取消订阅、设置） – 确保撤回应用于所有系统 – 在需要时立即停止处理 | 高 | 同意撤回工作流程 | ☐ |
| GDPR 合规步骤 | 行动清单 | 优先级 | 证据 / 产出 | 状态 |
| 定义数据保留策略 | – 对数据进行分类（客户、员工、潜在客户） – 指定保留期限 – 说明保留理由（法律、合同、运营） – 记录成文策略 | 高 | 数据保留策略文档 | ☐ |
| 执行保留规则 | – 尽可能实施自动删除 – 安排人工审查 – 存档或删除已过期的数据 | 高 | 删除日志 / 自动化规则 | ☐ |
| 应用数据最小化原则 | – 仅收集必要的数据 – 移除冗余或重复的数据 – 避免在表单/流程中过度收集 | 高 | 数据最小化审查记录 | ☐ |
| 管理旧版数据 | – 审计旧系统和备份 – 识别不必要的历史数据 – 安全删除过时的数据 | 中等 | 旧版数据清理日志 | ☐ |
| 实施访问控制（最小权限） | – 根据角色分配访问权限 – 将访问权限仅限于必要的数据 – 定期审查权限 | 高 | 访问控制矩阵 / 权限日志 | ☐ |
| 管理用户帐户 | – 为所有用户创建独立帐户 – 移除共享帐户 – 停用闲置帐户 | 高 | 用户帐户审计记录 | ☐ |
| 加强身份验证 | – 执行严格的密码策略 – 尽可能实施双因素身份验证（2FA） – 区分管理员帐户和标准帐户 | 高 | 安全策略 / 2FA 实施记录 | ☐ |
| 安全凭据管理 | – 安全存储密码（不以纯文本形式） – 避免跨系统重复使用 – 使用安全的共享方式 | 高 | 凭据管理系统证据 | ☐ |
| 实施技术安全措施 | – 加密敏感数据（静态和传输中） – 应用安全配置 – 保护端点和网络 | 高 | 安全配置文档 | ☐ |
| 监控并记录访问 | – 启用系统日志记录 – 跟踪谁在何时访问了哪些数据 – 保留日志以供审计 | 中等 | 访问日志和监控报告 | ☐ |
| GDPR 合规步骤 | 行动清单 | 优先级 | 证据 / 产出 | 状态 |
| 识别所有数据处理者 | – 列出所有处理个人数据的供应商 – 定义他们访问哪些数据 – 了解他们在数据管道中的角色/作用 | 高 | 供应商登记册 | ☐ |
| 签订数据处理协议 | – 确保每家供应商都有 DPA – 确认范围、目的和安全义务 – 审查供应商条款 | 高 | 已签署的 DPA | ☐ |
| 控制与供应商的数据共享 | – 仅共享必要的数据 – 定义共享目的 – 限制访问权限 | 高 | 数据共享文档 | ☐ |
| 评估国际数据传输 | – 识别英国境外的传输 – 应用保障措施（SCC、充分性认定） – 记录风险评估 | 高 | 传输风险评估 / SCC | ☐ |
| 管理供应商生命周期 | – 定期审查供应商 – 移除不再使用的工具 – 确保在终止合作时删除数据 | 中等 | 供应商审查日志 | ☐ |
| GDPR 合规步骤 | 行动清单 | 优先级 | 证据 / 产出 | 状态 |
| 设置数据主体请求流程 | – 创建接收渠道（电子邮件/表单） – 指定责任人 – 定义工作流程和截止期限 | 高 | 数据请求处理程序 | ☐ |
| 启用数据访问和检索 | – 确保可以跨系统定位数据 – 汇总数据时不暴露他人的信息 | 高 | 数据检索流程文档 | ☐ |
| 处理删除和限制请求 | – 定义删除工作流程 – 在需要时通知第三方 – 了解法律豁免 | 高 | 删除请求日志 | ☐ |
| 支持数据可移植性 | – 提供结构化数据导出（CSV、JSON） – 确保导出数据的可用性 | 中等 | 可移植性导出示例 | ☐ |
| 实施数据泄露响应流程 | – 定义数据泄露防护和响应计划 – 指定角色和升级路径 – 培训员工识别安全事件 | 高 | 事件响应计划 | ☐ |
| 满足 72 小时报告要求 | – 定义向 ICO 报告的标准 – 确保能够在时限内通知 | 高 | 数据泄露报告程序 | ☐ |
| 维护数据泄露日志 | – 记录所有事件（包括轻微事件） – 记录所做决策和采取的行动 | 高 | 数据泄露登记册 | ☐ |
| GDPR 合规步骤 | 行动清单 | 优先级 | 证据 / 产出 | 状态 |
| 针对高风险处理开展 DPIA | – 识别高风险活动 – 评估对个人的风险 – 定义缓解措施 – 记录结果 | 高 | DPIA 报告 | ☐ |
| 指定数据保护职责 | – 任命数据保护官 (DPO)（如需要）或 – 指定内部数据保护负责人 – 定义权限和职责 | 高 | 角色描述 / 任命记录 | ☐ |
| 建立治理结构 | – 定义汇报路线 – 安排合规审查 – 监控持续的合规活动 | 中等 | 治理文档 | ☐ |
| 维护策略和流程 | – 创建策略（数据保护、保留、访问、数据泄露响应） – 确保策略与实际运营一致 – 定期更新 | 高 | 策略文档（受版本控制） | ☐ |
| 对员工进行数据保护培训 | – 提供针对不同角色的培训 – 涵盖处理方式、风险和流程 – 定期开展复训 | 高 | 培训记录和材料 | ☐ |
| 强化安全行为 | – 倡导良好的密码使用习惯 – 提高网络钓鱼防范意识 – 鼓励报告问题 | 中等 | 安全意识计划记录 | ☐ |
| 确保审计准备就绪 | – 维护所有控制措施的文档 – 保留决策和流程的证据 – 为监管机构或合作伙伴的审查做好准备 | 高 | 合规文档存储库 | ☐ |
| 定期开展合规审查 | – 定期开展内部审计 – 识别差距和改进空间 – 随业务发展更新流程 | 中等 | 审计报告和改进计划 | ☐ |
将您的 GDPR 合规清单付诸实际实施
一份详细的 GDPR 合规清单只有在转化为持续的实际执行时才有用。许多组织最终都制定了策略、定义了流程，甚至分配了职责，但当这些控制措施在实践中接受检验时仍显不足。差别在于这些控制措施融入日常运营的程度。
从实际角度来看，清单中的每一项都应直接对应企业中某个具体的事物。可以是存储数据的系统、管理数据处理方式的工作流程，或是负责监督的明确责任人。没有这种对应关系，合规就只是纸上谈兵。
例如，保留策略不应仅仅是一份文档，而应体现在自动删除规则、定期审查或明确执行的存档流程中。同样，隐私声明也不应是一次性创建后就被遗忘的静态页面，而应随您的工具、供应商和数据实践不断发展。
这归根结底是监管机构所期望的。他们评估的不仅是企业是否制定了策略，还有这些策略是否准确反映了个人数据的实际处理方式，以及组织在被问及时能否证明这种一致性。
一个有用的思考方式是：您的企业 GDPR 清单并不是一份孤立的清单，而是一个运营控制框架。表格中的每一行都应对应您可以指出、解释并在必要时提供证据的内容。这样一来，您的清单就不再是单纯的文档工作，而是更具可操作性和可辩护性的工具。
访问控制是 GDPR 合规的核心
尽管这份 GDPR 合规清单涵盖了广泛的法律、运营和技术要求，但访问控制是企业最需要评估和更新的领域之一。访问是指谁可以访问个人数据、在什么条件下访问，以及受到何种程度的监督，这直接影响您保护信息、响应数据主体访问请求和证明问责的能力。
访问控制的影响远不止安全。在许多情况下，合规失败也源于此。不是因为针对企业网络的高明攻击，而是因为日常运营疏漏带来的风险：共享帐户、过多权限、薄弱的身份验证做法，或对谁拥有哪些访问权限缺乏可见性。
每当引入新工具，或者快速授予访问权限却从未撤销时，这些问题就会逐渐累积。久而久之，这些权限很少被重新审视。其结果是权限蔓延，在不知不觉中增加了风险。这正是应将访问控制视为企业 GDPR 合规计划核心支柱的原因。
凭据管理在访问控制中起着核心作用。如果密码使用做法不一致或由个人随意决定，即使设计良好的策略也会受到破坏。围绕密码强度、重复使用和安全共享建立清晰且可执行的标准，可以奠定一个支持许多其他安全控制措施的基线。
对许多组织来说，这可能意味着采用专门的企业密码管理器，帮助在各团队中一致地执行这些标准。像 Proton Pass for Business 这样的企业密码管理器可以简化凭据管理，同时提升整个组织的可见性、安全共享和访问控制。
通过这种方式妥善控制访问，组织就能更好地满足 GDPR 的许多安全和问责要求。数据更容易定位，权限更加清晰，敏感信息也不太容易被未经授权的用户访问。
虽然访问控制不能取代诸如为处理确立合法依据、维护隐私声明或执行保留策略等义务，但它为保护个人数据以及证明已采取适当保障措施提供了重要基础。
GDPR 合规应优先采取哪些行动
任何 GDPR 合规清单最常见的挑战之一是知道应将精力和注意力集中在哪里。当一切都重要时，很难知道从哪里开始。但实际上，某些领域比其他领域重要得多，尤其是在实施初期。
- 数据可见性是您的自然起点。如果您对自己持有哪些个人数据、这些数据存储在哪里以及如何在组织中流动没有清晰的了解，就很难有效地应用任何其他控制措施。映射数据流并维护准确的清单会为后续的一切工作奠定基础。
- 接下来，评估访问控制 是降低风险最直接的方式。将访问权限仅授予真正需要的人并保持对权限的可见性，可以解决现实世界中大部分的漏洞。
- 紧随其后的是保留规范。减少所持有的数据量不仅可以降低风险，还可以简化数据主体权利和数据泄露响应等领域的合规工作。
- 数据泄露应对准备是另一个值得尽早关注的领域。英国 GDPR 的 72 小时报告要求对速度和清晰度有很高要求。拥有明确的流程、清晰的职责归属以及快速评估风险的能力，会显著影响安全事件的管理方式和外界的看法。
通过优先关注这些领域，企业可以取得实质性进展而不至于不堪重负。然后，清单的其余部分可以帮助您在更加稳定和可控的基础上继续建设。
