數據保護影響評估：使用 Dynamics 365 和 Power Platform 的數據控制器指引
在一般資料保護法規 (GDPR) 規範下，資料控制者需要為「可能導致自然人之權利和自由高風險」的處理作業準備資料保護影響評估 (DPIA)。 Dynamics 365和Power Platform中沒有任何固有的專案需要數據控制器使用它來建立 DPIA。 相反地，是否需要 DPIA 取決於數據控制器部署、設定及使用 Dynamics 365 或 Power Platform 的詳細數據和內容。 無論如何，DPIA 應該在專案生命週期的早期開始，並與規劃和開發程序並行執行。
本檔的目的是要為數據控制器提供 Dynamics 365 和 Power Platform 的相關信息，以協助您判斷是否需要 DPIA，如果需要的話，要包含哪些詳細數據。
注意事項
Microsoft 在本文章中不提供任何法律建議。 本文章僅供參考。 建議客戶與其隱私權主管 (和/或數據保護長 (DPO) ，其中指定) 和/或法律顧問和/或顧問，以判斷與使用 Microsoft Dynamics 365、Power Platform 或任何其他 Microsoft 在線服務相關之任何 DPI 的需求和內容。
第 1 部分：判斷是否需要 DPIA
GDPR 第 35 條要求數據控制者建立數據保護影響評估 『[w]這裡特別使用新技術的處理類型，並考慮到處理的本質、範圍、內容和目的，可能會對自然人的權利和自由造成高風險。 它會進一步設定指出高風險的特定因素，如下表所討論：在判斷是否需要 DPIA 時，數據控制器應該根據控制器的特定實作 () ，並使用 (Dynamics 365 和 Power Platform 的) 來考慮這些因素以及其他相關因素。
| 風險因素 | Dynamics 365 和 Power Platform 的相關信息 |
|---|---|
| 基於自動化處理對自然人的個人方面進行系統和廣泛的評估，包括概況分析，以及對自然人產生法律效果的決定或對自然人產生同樣重大影響的決定； | 某些 Dynamics 365 和 Power Platform 服務會執行特定的數據自動化處理，例如潛在客戶或商機評分 (，預測) 銷售的可能性。 不過，Dynamics 365 和 Power Platform 服務並非設計來處理哪些決策會對個人產生法律或同樣顯著的影響。 不過，由於 Dynamics 365和 Power Platform 是高度可自定義的服務，因此數據控制器可能會將它們設定為用於這類處理。 數據控制器應該根據其使用 Dynamics 365 和 Power Platform 來進行這項判斷。 |
| 大規模處理 1 種特殊類別的數據 (個人資料，揭露種族或種族來源、政治觀點、種族或種族傾向，或是同盟成員資格，以及處理基因數據、用來唯一識別自然人的生物特徵辨識數據、有關健康的數據，或有關自然人性生活或性方向) 的數據。 或與犯罪犯罪和犯罪有關的個人資料; | Dynamics 365和 Power Platform 服務並非設計來大規模處理特殊類別的個人資料。 不過，數據控制器可以使用 Dynamics 365 和Power Platform來處理列舉的特殊數據類別。 此外，Dynamics 365和 Power Platform 是高度可自定義的服務，可讓客戶追蹤或以其他方式處理個人資料，包括特殊類別的個人資料。 但身為資料處理者，Microsoft 對於這類使用無控制權，且通常僅有少許或完全沒有對該使用的瞭解。 |
| 大規模有系統地監視可公開進入的地區 | Dynamics 365 和Power Platform並非設計來大規模進行或促進這類監視。 不過，資料控制可以使用它來處理透過這類監視收集到的資料。 Dynamics 365 和 Power Platform 是高度可自定義的服務，可讓客戶追蹤或處理任何類型的數據，包括監視數據。 身為數據處理者，Microsoft 無法控制這類使用方式，也幾乎無法深入瞭解這類使用方式。 數據控制器會不一致地判斷數據控制器數據的適當使用方式。 |
注意事項
1 關於「大規模」處理的準則，GDPR 第 91 條闡明：「如果處理是有關於個別醫生、其他醫療保健專業人員或律師之病患或客戶的個人資料，則處理個人資料不應視為大規模。 在此類情況下，資料保護影響評估不應強制」。
第 2 部分：DPIA 的內容
第 35 條 (7) GDPR 規定數據保護影響評估會指定處理目的，以及構想處理的系統描述。 完整 DPIA 中的系統描述可能包含一些因素，例如所處理的數據類型、保留數據的時間長度、數據的所在位置和傳輸位置，以及哪些第三方可以存取數據。 在理想情況下，數據流圖支援描述。 此外，DPIA 也必須包含：
- 評估處理作業相對於用途的需求和比例性;
- 評估自然人的權利和自由風險;和
- 用來解決風險的量值，包括保護措施、安全性措施和機制，以確保個人資料的保護，並示範符合GDPR的規範，並考慮到數據主體和其他相關人員的權利和合法利益。
下表包含與每個元素相關的 Dynamics 365 和 Power Platform 相關信息。 如同第 1 部分，數據控制器必須在數據控制器的特定實作 () 內容中考慮下方所提供的詳細數據，以及任何其他相關因素，並使用 (Dynamics 365 或 Power Platform 的) 。
| DPIA 的要素 | Dynamics 365 和 Power Platform 的相關信息 |
|---|---|
| 處理的目的 | 使用 Dynamics 365 和 Power Platform 處理數據的目的 () 是由實作、設定及使用數據的控制器所決定。 如產品條款和 Microsoft 產品及服務數據保護增補 (DPA) 所指定，Microsoft 以數據處理者身分處理客戶數據，根據客戶記載的指示向客戶提供在線服務。 如 產品條款 和 產品及服務數據保護增補 (DPA) 所述，Microsoft 也會使用個人資料來支援一組有限的商務作業。 Microsoft 是個人資料處理的控制者，以支持這些特定的商務作業。 一般而言，Microsoft 會先匯總個人資料，再將其用於我們的商務營運，以移除 Microsoft 識別特定個人的能力。 Microsoft 會以最不易識別的形式使用個人資料，以支援商務作業所需的處理。 Microsoft 不會使用客戶數據或衍生自它的資訊進行分析，也不會用於廣告或類似的商業用途。 Dynamics 365 是一個在線平臺，可處理數個個別的 線上服務，每個都有不同的處理目的。 您可以在這裡找到每個 Dynamics 365 服務供應專案的描述，以及這裡的 Power Platform 服務供應專案。 Dynamics 365 和 Power Platform 只會處理個人資料，以提供客戶其 線上服務，包括與提供這些服務相容的用途。 |
| 處理的個人資料類別 |
客戶數據：客戶提供給 Microsoft 的所有數據，包括文字、音效、視訊或圖像檔案和軟體，或是透過使用 Microsoft 線上服務 來代表客戶提供。 其包括客戶上傳用於儲存或處理以及自訂的資料。 服務產生的數據：Microsoft 在您操作服務時所產生的數據，例如使用或效能數據。 這些資料大部分都包含由 Microsoft 產生的 pseudonymous 識別碼。 專業服務數據：所有數據，包括客戶 (或客戶授權 Microsoft 從產品) 取得，或透過與 Microsoft 的約定取得專業服務，由 Microsoft 取得或代表 Microsoft 取得或代表 Microsoft 取得或處理的所有文字、音效、視訊、圖像檔或軟體。 如需 Dynamics 365 和 Power Platform 所處理數據的詳細資訊，請參閱產品條款和 Microsoft 產品與服務數據保護增補。 |
| 資料保留 | Microsoft 會在客戶有權使用服務期間保留客戶數據，直到根據客戶的指示或產品條款及產品及服務數據保護增補 (DPA) 刪除或傳回所有客戶數據為止。 在客戶的訂用帳戶期間，客戶將能夠存取和擷取儲存在每個在線服務中的客戶數據。 Microsoft 通常會在客戶訂閱到期或終止之後，將儲存在在線服務的客戶數據保留在有限的函式帳戶中 90 天，讓客戶可以擷取數據。 在 90 天的保留期間結束後，Microsoft 會停用客戶帳戶並刪除客戶數據。 客戶可以使用 Dynamics 365 和 Power Platform 數據主體權利指南中所述的功能，隨時刪除客戶數據和匿名數據。 |
| 個人資料的位置和傳輸 | 客戶能夠在指定的地理區域內布建待用客戶數據，但受限於 產品和服務數據保護增補 (DPA) 中所設定的特定例外狀況。 如需有關服務部署和數據落地的詳細資訊，請造訪 Microsoft 信任中心和 Dynamics 365 與 Power Platform 文章，以瞭解 microsoft Power Platform Dynamics 365 可用性和數據位置以及國際可用性的數據位置和可用性。 對於從歐洲經濟區域、瑞士和英國傳輸的個人資料，Microsoft 將確保將個人資料傳輸到第三個國家或國際組織，受限於 GDPR 第 46 條中所述的適當保護措施。 除了 Microsoft 在處理者和其他模型合約的標準合約條款下的承諾之外，Microsoft 還會繼續遵守 數據隱私權架構的條款。 |
| 評估與目的有關的處理操作的必要性和比例性 | 這類評估取決於資料控制者的需求和處理的目的。 Microsoft 會採取一些措施，例如 Microsoft 用來支援商務營運的個人資料匯總，以支援服務的布建，將這類處理的風險降到使用服務的數據主體。 關於 Microsoft 所執行的處理，這類處理對於提供數據控制器的服務是必要且成正比的。 |
| 評估資料主體的權利和自由風險 | 數據主體使用 Dynamics 365 或 Power Platform 的權利和自由的主要風險，將取決於數據控制器實作、設定及使用數據主體的方式和內容。 Microsoft 會採取一些措施，例如在用來支援商務營運時匯總個人資料，以降低對使用服務之數據主體進行這類處理的風險。 但是，與任何服務一樣，服務中保存的個人資料可能存在未經授權的存取或無意揭露的風險。 以下討論 Microsoft 為解決這類風險所採取的量值。 |
| 與第三方子處理者共用資料 | Microsoft 會與第三方共用數據，作為 GDPR) 中所定義的轉包處理者 (，以支援客戶和技術支援、服務維護和其他作業等功能。 Microsoft 傳送客戶數據、支持數據或個人資料的任何轉包處理者，都會與 Microsoft 簽訂書面協定，其保護範圍不小於產品條款和產品及服務數據保護增補 (DPA) 中的條款。 所有共用 Microsoft 核心線上服務所含之客戶資料的第三方次要處理者，都會納入線上服務轉包商清單中。 |
| 資料主體權利 | 以處理者的身分操作時，Microsoft 會為客戶 (資料控制者) 提供資料主體的個人資料，及其依據 GDPR 行使其權利時履行資料主體要求的能力。 Microsoft 會以與產品功能和我們身為處理者的角色一致的方式來執行此作業。 如果 Microsoft 收到來自客戶數據主體的要求，要求在 GDPR 下執行其一或多個許可權，我們會將數據主體重新導向，以直接向數據控制者提出要求。 如需有關如何使用 Dynamics 365 和 Power Platform 中功能來支援數據主體許可權的數據控制器資訊，請參閱 Dynamics 365 和 Power Platform 數據主體要求指南。 Microsoft 通常會先匯總個人資料，再將其用於我們的商務營運，而且無法識別匯總中特定個人的個人資料。 這可降低個人的隱私權風險。 Microsoft 在無法識別個人身分的情況下，便無法支援存取、清除、可攜性、處理限制或異議等方面的資料主體權利。 |
| 旨在解決風險的措施，包括保障措施、安全措施和機制，以確保保護個人資料，並在考慮到資料主體和其他有關人員的權利和合法利益的情況下證明符合 GDPR | Microsoft 致力於協助保護客戶數據的安全性。 Microsoft 所採取的安全性措施會在 產品條款中詳細說明。 Microsoft 採行嚴格的安全性標準和領先業界的資料保護方法。 Microsoft 持續不斷地改善其系統，以因應新的威脅。 如需雲端治理和隱私權做法的詳細資訊，請參閱 信任中心的管理雲端合規性 頁面。 Microsoft 採取合理且適當的技術和組織措施來保護其所處理的個人資料。 這些措施包括但不限於內部隱私策略和做法、合約承諾，以及國際和地區標準認證。 如需詳細資訊，請參閱 信任中心的 [隱私權] 頁面。 如需 microsoft 管理控件的詳細清單， (技術和商務程式控制) Dynamics 365 和 Power Platform 所實作的安全性，請造訪服務信任入口網站。 此外，當 Microsoft 做為數據處理者時，它會遵守套用至數據處理者的所有其他 GDPR 義務。 Microsoft 在其商務營運中處理個人資料時，會遵守適用於數據控制者的 GDPR 義務。 |