資料保護影響評估：資料控制者使用 Microsoft Azure 的指引

  • 發行項

根據一般數據保護規定 (GDPR) ，數據控制者必須準備數據保護影響評估 (DPIA) ，以處理「可能會對自然人的權利和自由造成高風險」的處理作業。Microsoft Azure 本身並無任何固有需要數據控制者使用它建立 DPIA 的功能。 相反，是否需要 DPIA 將取決於資料控制者如何部署、設定和使用 Microsoft Azure 的詳細資料和內容。 無論如何，DPIA 應該在專案生命週期的早期開始，並與規劃和開發程序並行執行。

本文件旨在提供資料控制者有關 Microsoft Azure 的資訊，協助他們判斷是否需要 DPIA，以及若需要，應包含哪些詳細資料。

注意事項

Microsoft 在本文章中不提供任何法律建議。 本文章僅供參考。 我們鼓勵客戶與其隱私權主管 (和/或指定的資料保護主管 (DPO)) 和/或法律顧問和/或顧問合作，以確定與使用 Microsoft Azure 或其他任何 Microsoft 線上服務相關之任何 DPIA 的必要性和內容。

第 1 部分：判斷是否需要 DPIA

GDPR 第 35 條規定，「如果某種處理，特別是使用新技術，並考慮到處理的性質、範圍、背景和目的，可能會對自然人的權利和自由造成高度風險」，資料控制者需要建立資料保護影響評估 (DPIA)。它進一步闡述會發生這類高風險的特定因素，如下表所述：若要判斷是否需要 DPIA，資料控制者應根據控制者的特定 Microsoft Azure 實作和使用，考慮這些因素，以及任何其他相關因素。

高風險因素 Microsoft Azure 的相關資訊
基於自動化處理對自然人的個人方面進行系統和廣泛的評估，包括概況分析，以及對自然人產生法律效果的決定或對自然人產生同樣重大影響的決定。 Microsoft Azure 服務的設計並不是要根據哪些決策來執行處理，而這些決策會對個人產生法律或類似的重大影響。

不過，因為 Azure 是高度可自定義的服務，所以數據控制器可能會設定要用於這類處理的 Azure 服務。 控制器應該根據其 Azure 的使用量來進行這項判斷。
大規模處理特殊類別的資料 (揭露種族或民族血統、政治傾向、宗教或哲學信仰，或貿易同盟會員資格的個人資料，用於唯一識別自然人的基因資料、計量生物學資料，有關健康的資料或有關自然人性生活或性向的資料)，或與刑事定罪和犯罪行為有關的個人資料。 Microsoft Azure 並非設計來大規模處理特殊類別的個人資料。

不過，數據控制器可以使用 Microsoft Azure 來處理列舉的特殊數據類別。 Microsoft Azure 是高度可自定義的服務，可讓客戶追蹤或處理個人資料，包括特殊類別的個人資料。 但身為資料處理者，Microsoft 對於這類使用無控制權，且只有少許或完全沒有對該使用的瞭解。 資料控制器擁有權，可決定資料控制器資料的適當使用。
大規模有系統地監視可公開進入的地區。 Microsoft Azure 並非設計來大規模進行或促進這類監視。

不過，數據控制器可以使用 Azure 來處理透過這類監視收集的數據。 Microsoft Azure 是高度可自定義的服務，可讓客戶追蹤或處理任何類型的數據，包括監視數據。 但身為資料處理者，Microsoft 對於這類使用無控制權，且只有少許或完全沒有對該使用的瞭解。 資料控制器擁有權，可決定資料控制器資料的適當使用。

第 2 部分：DPIA 的內容

第 35 條 (7) GDPR 規定數據保護影響評估會指定處理目的，以及構想處理的系統描述。 完整 DPIA 的系統描述可能包含一些因素，例如所處理的數據類型、保留數據的時間長度、數據的所在位置和傳輸位置，以及哪些第三方可以存取數據並受到數據流圖支援。 此外，DPIA 也必須包含：

  • 評估處理作業相對於用途的需求和比例性;
  • 評估自然人的權利和自由風險;和
  • 為了解決風險所制定的量值，包括保護措施、安全性措施和機制，以確保個人資料的保護，並示範是否符合此規定，並考慮到數據主體和其他相關人員的權利和合法利益。

下表包含與每個元素相關的 Microsoft Azure 相關信息。 如同第 1 部分，數據控制器必須在控制器特定實作 (的) 內容中考慮數據表中提供的詳細數據，以及任何其他相關因素，並使用 (的 Microsoft Azure) 。

DPIA 的要素 Microsoft Azure 的相關資訊
處理的目的 使用 Microsoft Azure 進行處理的目的取決於實作、設定及使用 Microsoft Azure 的控制者。

如 產品條款 和 產品及服務數據保護增補 (DPA) 所指定，Microsoft 作為數據處理者，會根據客戶記載的指示，處理客戶數據，為客戶提供在線服務。

如標準 產品條款 及 產品及服務數據保護增補 (DPA) 所述，Microsoft 也會使用個人資料來支援一組有限的商務作業。

Microsoft 是個人資料處理的控制者，以支持這些特定的商務作業。 一般而言，Microsoft 會先匯總個人資料，再將其用於我們的商務營運、移除 Microsoft 識別特定個人的能力，並以最低可識別的形式使用個人資料，以支援商務營運所需的處理。

Microsoft 不會將客戶資料或其衍生的資料用於分析、廣告或類似的商業用途。

注意：Microsoft Azure 是一個在線雲端平臺，其處理是由數個個別 線上服務 所組成，每個平臺都有不同的處理用途。 您可以 在這裡找到每個 Microsoft Azure 服務供應專案的描述。

Microsoft Azure 只會處理個人資料，為客戶提供其 線上服務，包括與提供個人化、安全性、詐騙和惡意代碼防護、疑難解答和改進等服務相容的用途。
處理的個人資料類別 客戶數據：所有數據，包括所有文字、音效、視訊或圖像檔案，以及透過使用企業服務，或代表客戶提供給 Microsoft 的軟體。 客戶數據包括 (1) 使用者的可識別資訊 (例如，Microsoft Entra ID) 中的使用者名稱和聯繫人資訊，以及客戶上傳至特定服務或在特定服務中建立的客戶內容 (例如，Azure 記憶體帳戶中的客戶內容、Azure SQL 資料庫的客戶內容，或 Azure 中客戶的虛擬機映射虛擬機器) 。

服務產生的數據：這是 Microsoft 透過服務作業所產生或衍生的數據，例如使用或效能數據。 這些資料大部分都包含由 Microsoft 產生的 pseudonymous 識別碼。

支援資料：這是為了獲得線上服務的技術支援，由客戶或代表客戶 (或客戶授權 Microsoft 從線上服務取得) 透過與 Microsoft 的合作向 Microsoft 提供的資料。

如需 Azure 所處理資料的詳細資訊，請參閱產品條款，包括) 和 Microsoft 信任中心 ([產品與服務數據處理合約 (DPA) ]https://www.microsoft.com/licensing/docs/view/Microsoft-Products-and-Services-Data-Protection-Addendum-DPA。
資料保留 Microsoft 會在客戶有權使用在線服務期間保留和處理客戶數據，直到客戶擷取所有客戶數據或根據 產品條款 和 產品及服務數據保護增補 (DPA 條款刪除為止，) 。 在客戶訂閱期間，客戶可隨時存取及擷取儲存在每個線上服務中的客戶資料。 除了免費試用版和 LinkedIn 服務，Microsoft 將在客戶訂閱到期或終止訂閱後的 90 天內，將儲存在線上服務中的客戶資料保留在功能有限的帳戶中，以便客戶可以存取資料。 90 天的保留期間結束後，Microsoft 將停用客戶的帳戶並刪除客戶資料。 客戶可以使用 Azure 資料主體要求 GDPR 文件中描述的功能，根據資料主體要求刪除個人資料。
個人資料的位置和傳輸 客戶能夠在指定的 地理區域內布建待用客戶數據，但受限於 產品條款 和 Microsoft 產品及服務數據保護增補 (DPA) 中所設定的特定例外狀況。 如需有關服務部署和數據落地的其他詳細數據，請參閱 Microsoft 數據保護增補 (DPA) 至產品條款 和 Azure 全域基礎結構 網頁。

對於從歐洲經濟區域、瑞士和英國傳輸的個人資料，Microsoft 將確保將個人資料傳輸到第三個國家或國際組織，受限於第 46 條 GDPR 中所述的適當保護措施。 除了 Microsoft 在處理者和其他模型合約的標準合約條款下的承諾之外，Microsoft 也遵守 數據隱私權架構條款。
與第三方子處理者共用資料 Microsoft 會與第三方共用數據，作為 GDPR) 中所定義的轉包處理者 (，以支援客戶和技術支援、服務維護和其他作業等功能。 Microsoft 傳送客戶數據、支持數據或個人資料的任何轉包處理者，都會與 Microsoft 簽訂書面協定，其保護措施不低於 Microsoft 產品和服務數據保護增補條款。 在線服務轉包處理者清單中包含共用 Microsoft Core Online Services 中客戶數據的所有第三方轉包處理者。 所有可存取支持數據 (的第三方轉包處理者，包括客戶選擇在支援互動期間共用的客戶數據) 都包含在 在線服務轉包處理者清單中。 
資料主體權利 以處理者的身分操作時，Microsoft 會為客戶 (也稱為資料控制者) 提供資料主體的個人資料，及其依據 GDPR 行使其權利時履行資料主體要求的能力。 Microsoft 執行此作業的方式與產品功能一致，且其角色如同是資料處理者。  如果 Microsoft 收到客戶資料主體中的要求，指出想要依據 GDPR 行使其一或多項權利，該要求將會重新導向至資料控制者。

資料控制者可參考 Azure 的資料主體要求指南，以了解如何使用 Azure 中的功能來支援資料主體權利。

應依照 Microsoft 隱私聲明中所述，將數據主體要求在 GDPR 下執行許可權，以處理以支援合法商務程式的個人資料。應將要求導向 Microsoft。

Microsoft 通常會先匯總個人，再將其用於我們的商務營運，而且無法識別匯總中特定個人的個人資料。 此動作可降低個人的隱私權風險。 Microsoft 在無法識別個人身分的情況下，便無法支援存取、清除、可攜性、處理限制或異議等方面的資料主體權利。

Azure 資料主體要求 GDPR 文件中說明如何使用 Azure 的功能支援資料主題權利。
評估與目的有關的處理操作的必要性和比例性 這類評估取決於資料控制者的需求和處理的目的。

Microsoft 會採取一些措施，例如 Microsoft 用來支援商務營運的個人資料匯總，以支援服務的布建，將這類處理的風險降到使用服務的數據主體。

關於 Microsoft 所執行的處理，這類處理對於提供數據控制器的服務是必要且成正比的。
評估資料主體的權利和自由風險 數據主體使用 Microsoft Azure 的權利和自由的主要風險將取決於數據控制器實作、設定及使用 Microsoft Azure 的方式和內容。

Microsoft 會採取一些措施，例如 Microsoft 用來支援商務營運的個人資料匯總，以支援服務的布建，將這類處理的風險降到使用服務的數據主體。

但是，與任何服務一樣，服務中保存的個人資料可能存在未經授權的存取或無意揭露的風險。 Microsoft 為解決這類風險所採取的量值會在 產品條款中討論，如本文稍後的進一步詳細說明。
旨在解決風險的措施，包括保障措施、安全措施和機制，以確保保護個人資料，並在考慮到資料主體和其他有關人員的權利和合法利益的情況下證明符合 GDPR Microsoft 致力於協助保護客戶數據的安全性。 Microsoft 所採取的安全性措施會在 產品條款中詳細說明。

Microsoft 採行嚴格的安全性標準和領先業界的資料保護方法。 Microsoft 持續不斷地改善其系統，以因應新的威脅。 如需雲端治理和隱私權做法的詳細資訊，請參閱 信任中心的管理雲端合規性 頁面。

Microsoft 採取合理且適當的技術和組織措施來保護其所處理的個人資料。 這些措施包括（但不限於）內部隱私政策和做法、合約承諾，以及國際和地區性標準認證。 如需詳細資訊，請參閱 信任中心的 [隱私權] 頁面。

Microsoft 提供重要、透明的客戶面向安全性和隱私權數據，以協助說明 Microsoft 個人資料的使用和處理。 我們歡迎客戶與 Microsoft 連絡並提出問題。

此外，當 Microsoft 做為數據處理者時，它會符合適用於數據處理者之 GDPR 的適用條款。

Microsoft 在其商務營運中處理個人資料時，會遵守適用於數據控制者的 GDPR 義務。

深入了解