GDPR 设备清单:个人数据存在哪些设备上

只要个人数据被存储、缓存或同步到某台设备上,它就存在于该设备中,这包括笔记本、手机、U 盘和扫描仪,而不只是服务器。GDPR 设备清单列出每一台可能存放个人数据的设备、持有人、是否加密以及如何擦除,这样你既能依据第 32 条证明安全措施适当,也能在设备丢失时,于第 33 条规定的 72 小时内判断是否必须通知监管机构。GDPR 没有使用“设备清单”这个词,但无法列出的设备,既保护不了,也报告不了。

GDPR 为什么关心设备?

条例要求个人数据得到安全处理(第 5 条第 1 款 f 项),第 32 条要求控制者和处理者采取与风险相称的技术和组织措施,并把加密列为例子。一台存有客户导出文件的笔记本就属于这类风险。第 33 条进一步要求,发生个人数据泄露时应毫不延迟地通知监管机构,并在可行时于知悉后 72 小时内完成,除非该泄露不太可能对个人造成风险。第 33 条第 5 款还要求记录每一起泄露,包括你决定不报告的那些。

第 30 条要求保存处理活动记录,记录描述的是数据类别和系统,而不是单台设备。设备清单把这份记录与实物现实连接起来。

条例全文(包括第 5、30、32、33 条)发布于: eur-lex.europa.eu. 本文是实务指引,不构成法律意见。

个人数据实际存在设备的哪些位置?

团队往往只想到主系统,而忘了副本。划定清单范围时,请逐一检查这些位置。

GDPR 设备清单应记录什么?

保持足够简短,才能长期维护。下面这些字段能回答监管机构或客户在事故后最可能提出的问题。

• 设备和序列号:让丢失报告指向一件具体物品。
• 负责人:负责的人,以及分配的起止日期。
• 加密状态:是否加密,以及你如何得知,例如引用设备管理工具中的记录。
• 可能存放的数据:一行说明,例如“客服导出文件”。
• 位置:办公室、家中或仓库。
• 报废:处置日期和擦除证书。

存有个人数据的设备丢失后怎么办?

一旦知悉就开始计时。记录你何时知悉、是哪台设备、谁持有、是否加密,然后评估对相关个人的风险。你需要的事实正是上面的清单字段,所以设备丢失是对登记册最好的检验。从远程锁定到上报的完整步骤,见笔记本丢失或被盗的处理流程。

是否必须通知取决于风险评估。已加密且有强锁的设备可以降低风险,但你仍要按第 33 条第 5 款的要求记录这一决定。

退役设备、离职和远程员工怎么处理?

这是个人数据最容易流失的地方。离职者留着手机,笔记本未擦除就归还,抽屉里一堆旧硬盘:这些都不会出现在主系统中,却都可能存有数据。把清单与你的处置流程关联,让每台退役设备都有擦除记录,再与远程员工设备管理的做法关联,让寄出和退回都有记录。

InventorIA 适用在哪里?

InventorIA 维护硬件登记册,包含分配、状态、保修、位置和生命周期状态,通过人员与离职功能把每个人与其持有的设备关联起来,并可导出为 CSV 或 Excel。这样每台设备的负责人、位置和报废轨迹都在一处。它不会扫描设备,也不会检查磁盘是否加密,请从你的设备管理工具中获取并记录;它同样不会让你自动符合 GDPR。

想用示例数据查看登记册,可打开在线演示,或创建免费工作区(最多 10 项资产)。

常见问题

GDPR 要求设备清单吗?

没有以这个名称要求。第 32 条和第 33 条要求适当的安全措施和泄露通知,如果列不出存放个人数据的设备,这两项都很难做到。

用于工作的个人设备需要列入吗?

如果它们存有公司的个人数据,你就需要知道。要么制度禁止,要么登记并规定离职时如何清除数据。

GDPR 强制要求加密吗?

第 32 条把加密列为适当措施的例子。是否必须取决于风险,但对便携设备来说,它是通常的基线。

丢失已加密的笔记本需要上报吗?

取决于你的风险评估。加密可以使对个人的风险不太可能发生,但你仍需按第 33 条第 5 款记录这起泄露及你的理由。

用表格就够了吗?

够,只要完整、有负责人和日期并保持更新。工具主要帮助维护离职和处置的记录轨迹。