数据保护影响评估：使用 Microsoft 专业服务的数据控制者指南

项目
04/09/2024

Microsoft 专业服务简介

Microsoft 专业服务包括多元化的技术架构师、工程师、顾问和支持专业人员社区，他们致力于履行 Microsoft 的使命，即让客户完成更多工作并实现更多目标。有关 Microsoft 专业服务的详细信息，请访问 Microsoft 专业服务信任网页。

Microsoft 专业服务非常重视《一般数据保护条例》(GDPR) 规定的义务。本文档中的信息旨在提供客户在根据 GDPR 准备数据保护影响评估时如何使用 Microsoft 的支持和咨询产品的信息， (DPIA) 。

DPIA 简介

根据 GDPR) (一般数据保护条例，数据控制者必须准备 DPIA，以便处理“可能给自然人的权利和自由带来高风险”的操作。 Microsoft 专业服务中没有任何固有的东西需要数据控制器使用它创建 DPIA。相反，是否需要 DPIA 取决于服务类型的详细信息和上下文，以及数据控制器如何使用专业服务。

此文档的目的是为数据控制者提供专业服务的相关信息，帮助他们确定是否需要 DPIA 以及要包含的详细信息（如果需要）。

第 1 部分：确定是否需要 DPIA

GDPR 第 35 条要求数据控制者创建数据保护影响评估，“此处的一种处理，特别是使用新技术，并考虑到处理的性质、范围、上下文和目的，可能会对自然人的权利和自由造成高风险。它进一步列出了指示这种高风险的特定因素，如下表所述：在确定是否需要 DPIA 时，数据控制者应考虑这些因素以及任何其他相关因素，根据数据控制者的具体实现 () 和使用 (专业服务) 。

风险因素	专业服务的相关信息
基于自动化处理对自然人的私人方面进行系统全面的评估（包括剖析以及会对自然人产生法律效应或显著影响自然人的决策）；	专业服务可执行某些例行或自动数据处理，如中断/修复支持（例如，在计算机中断时协助客户）、帐户迁移和系统漏洞分析。专业服务解决方案（不包括本表后面的说明中涵盖的客户开发）不用于执行基于哪些决策的处理，这些决策对个人产生法律或类似的重大影响。
处理大量 ¹ 特殊类别的数据，如种族或族裔、政治观点、宗教或哲学信仰、工会成员身份、基因数据、用于唯一标识自然人的生物识别数据、关于自然人性生活健康或性取向数据的数据，或与刑事犯罪和违法行为相关的个人数据；	专业服务不适用于需要处理特殊类别的个人数据的工作，但此表后面的备注中涵盖的客户开发除外。但是，数据控制者可以使用专业服务咨询解决方案来处理枚举的特殊类别数据。例如，专业服务提供医疗保健行业数据库开发，数据控制者可以使用这些数据来处理与健康状况相关的个人数据。控制者负责评估并根据需要限制或记录此使用情况。
大规模系统化监视公开可访问区域	专业服务不用于需要或促进此类监视的工作，不包括此表后面的说明中涵盖的客户开发。如果数据控制者使用专业服务开发此类系统，或者使用 IT 系统来处理通过此类监视收集的数据，则数据控制者的责任将如此表后面的说明。

注意

¹ 关于处理“大量”数据的标准，GDPR 的第 91 篇声明陈述如下：“如果涉及由个体医生、其他医疗保健专业人员或律师来处理患者或客户的个人数据，则个人数据的处理不应视为处理大量数据。在这种情况下，不得强制进行数据保护影响评估。”

[自定义开发说明]专业服务提供各种咨询解决方案。数据控制者可能会请求一个解决方案，根据上述条件，该解决方案是高风险解决方案。例如，数据控制者可能会请求专业服务创建一个解决方案，以开发用于就业决策或信用申请的商业智能引擎，或者一个涉及用户跟踪、人工智能 (AI) /Analytics 的专门使用或处理特殊类别个人数据的解决方案。

在开始参与时，专业服务会通过相关流程来评估和解决可能需要处理的高风险解决方案。作为流程的一部分，专业服务可能要求数据控制者针对 GDPR 合规性（例如合同条款）、DPIA 开发计划或 GDPR 要求数据处理者遵循的其他标准（例如达成的操作指南）提供保证。但是，无论 Microsoft 采取何种操作，数据控制者都有责任开发 DPIA，其中包含来自客户数据的处理者（如果适用）的输入。

第 2 部分：DPIA 的内容

第 35(7) 条规定，数据保护影响评估应指定处理的目的和预期处理的系统化说明。综合 DPIA 的系统化说明可能包括所处理数据的类型、数据保留时间、数据存储位置和传输位置以及有权访问数据的第三方等因素。此外，DPIA 还必须包括：

对与处理操作的目的相关的必要性和合理性的评估；
对自然人的权力和自由带来的风险的评估；以及
应对风险的措施（包括保护措施、安全措施和机制），以确保对个人数据的保护并证明符合此条例的规定（将数据使用者和其他相关人员的合法权益考虑在内）。

下表包含与其中每个元素相关的专业服务的相关信息。与第 1 部分一样，数据控制者必须在控制者的特定实现 () 的上下文中考虑表中提供的详细信息以及任何其他相关因素，并使用 (专业服务) 。

DPIA 的元素	专业服务的相关信息
处理目的	使用专业服务处理数据的目的由实施、配置和使用它的控制者确定。根据 MICROSOFT 专业服务数据保护附录 (MPSDPA) 指定，Microsoft 作为数据处理者，仅处理支持和咨询数据，以便向客户（数据控制者）提供请求的服务。 Microsoft 不会将支持和咨询数据或派生的信息用于任何广告或类似的商业目的。
使用专业服务处理数据的目的由实施、配置和使用它的控制者确定。	根据 MICROSOFT 专业服务数据保护附录 (MPSDPA) 指定，Microsoft 作为数据处理者，仅处理支持和咨询数据，以便向客户（数据控制者）提供请求的服务。 Microsoft 不会将支持和咨询数据或派生的信息用于任何广告或类似的商业目的。
处理的个人数据类别	支持和咨询数据是指客户或代表客户 (或客户授权 Microsoft 通过与 Microsoft 的约定从联机服务) 获取专业服务或支持而提供给 Microsoft 的所有数据，包括所有文本、声音、视频、图像文件或软件。这可能包括通过电话、聊天、电子邮件或 Web 表单收集的信息。它可能包括问题描述、传输到 Microsoft 以解决支持问题的文件、自动疑难解答，或者通过客户权限远程访问客户系统。客户数据和支持数据不包括客户联系人或计费数据（如订阅信息）和付款数据，Microsoft 以数据控制者的身份收集和处理这些数据，这些数据不在本文档的范围内。
数据保留	Microsoft 将在客户参与期间保留支持和咨询数据，并在参与结束后保留一段时间，以确保服务的质量和连续性。例如，在关闭支持案例之后，数据通常会保留一段时间，以确保在问题重新出现和重新打开案例时能够引用该数据。当专业服务提供支持时，在支持案例关闭时定义参与长度。当专业服务提供咨询服务时，参与时间通常由工作订单定义。在其他情况下，参与度长度由业务关系的维护定义。在所有情况下，支持和咨询数据都将根据请求或根据客户的指示使用专业服务数据主体权利指南中所述的功能删除或返回，而不会造成不当的延迟。
个人数据的位置和传输	由于专业服务的性质（包括需要提供全天候支持），数据可能会在全球范围内传输。 Microsoft 运营位置列表可按请求提供。对于咨询服务，如果同意在工作订单中，数据可以保存在国内。对于来自欧洲经济区、瑞士和英国的个人数据，Microsoft 确保向第三国或国际组织传输个人数据受到 GDPR 第 46 条中所述的适当安全措施的约束。在遵守针对数据处理者的标准合同条款以及其他模范合同以外，Microsoft 还将继续遵守隐私保护协议框架的条款，但不再将其作为从欧盟/欧洲经济区向美国传输数据的基础。
与第三方分享的数据	Microsoft 会与充当下级处理者角色的第三方分享数据，以实现客户和技术支持、服务维护和其他操作。 Microsoft 向其转移支持和咨询数据的任何分包商都将与 Microsoft 签订书面协议，这些协议的保护程度不低于 MPSDPA 的数据保护条款。在 MPSDPA 下共享支持和咨询数据的所有第三方子处理器均包含在 Microsoft 商业支持承包商列表中。除非法律要求，否则 Microsoft 不会向执法部门披露支持和咨询数据。如果执法部门联系 Microsoft，请求支持和咨询数据，Microsoft 会尝试重定向执法机构，直接向客户请求数据。如果强制向执法部门披露支持和咨询数据，Microsoft 将立即通知客户并提供要求的副本，除非法律禁止这样做。收到任何其他第三方支持和咨询数据请求后，Microsoft 将立即通知客户，除非法律禁止。除非法律要求遵守，否则 Microsoft 拒绝该请求。如果请求有效，Microsoft 会尝试重定向第三方以直接从客户请求数据。
数据主体权利	作为处理者运营时，Microsoft 向客户 (数据控制者提供) 其数据主体的个人数据，并在他们根据 GDPR 行使其权利时满足数据主体请求的能力。我们以与产品功能和我们作为处理者的角色一致的方式完成此操作。  如果我们收到客户数据主体的请求，要求根据 GDPR 行使其一项或多项权利，我们会将数据主体重定向为直接向数据控制者提出请求。专业服务数据主体请求 GDPR 文档介绍了客户如何在专业服务中履行其数据主体权利和义务。
对与处理操作的目的相关的必要性和合理性的评估	此类评估取决于控制者的需求和处理目的。为了向数据控制者提供服务，Microsoft 需要进行某些处理，此类是必要且合理的。 Microsoft 在 MPSDPA 中对此进行提交。
对数据使用者的权力和自由带来的风险的评估	使用专业服务对数据主体的权利和自由的主要风险在于数据控制者在何种情况下实施、配置和使用专业服务以及专业服务提供的任何解决方案。然而，与其他所有服务一样，该服务中保存的个人数据也可能存在未经授权访问或意外泄露的风险。本文稍后将讨论 Microsoft 为应对此类风险而采取的措施。
应对风险的措施（包括保护措施、安全措施和机制），以确保对个人数据的保护并证明符合此 GDPR 的规定（将数据使用者和其他相关人员的合法权益考虑在内）。	Microsoft 致力于帮助保护客户的信息安全。按照 GDPR 第 32 条的规定，Microsoft 已采取并且将维持和遵循适当的技术和组织措施，这些措施旨在防止支持和咨询数据意外泄露、未经授权或非法访问、公开、篡改、丢失或损坏。此外，Microsoft 履行 GDPR 规定的适用于数据处理者的所有其他义务，包括但不限于数据保护影响评估和记录保存。

了解更多

Microsoft 专业服务信任