引言

DPIA 是資料控管者所執行的紀錄程序，旨在敘述、評估和管理專案的資料保護風險，以及確實遵守資料保護義務。在此處，「專案」可能是指由某機構外包而涉及使用 Google 產品，或利用 Google Workspace for Education 來支援教學、學習及合作。

機構只需要針對自己以「控管者」形式處理的個人資料，完成相關 DPIA。「控管者」定義於 GDPR 中，基本意指決定個人資料處理方式及目的的機構。我們瞭解有些客戶本身可能是資料處理者，不過，這個「資源中心」主要適用於以「雲端服務」做為控管者的機構。

DPIA 應說明以下內容：

• 您處理個人資料的方式和原因，以及確認該處理過程的 GDPR 法律依據。

• 您對處理程序必要性和比例的評估 (為什麼您需要處理個人資料來達成目標)。包括您使用哪些資料處理者 (如 Google) 來支援處理程序。

• 您找出的潛在風險，以及因應和降低這些風險時應採取的措施。您可以透過資料保護影響評估，有效評估及展示專案符合資料保護原則。

如果您開始建立的新專案需要處理個人資料，請務必盡早決定是否需要 DPIA，並熟悉相關流程。及早進行資料保護影響評估，也有助於確定您需要 (或可選擇) 對專案做出哪些變更。如果您判定需要 DPIA，GDPR 規定您必須先將其完成，才能開始處理個人資料。請參閱您是否需要 DPIA？一節。

此外，您仍須持續審核 DPIA。如果個人資料的處理方式有任何重大變化 (例如，決定透過「Cloud 服務」處理新的工作負載，或處理不同資料集)，您應重新評估相關風險，並判斷是否需要採取額外措施解決這類問題。

身為資料控管者，貴機構必須負責判斷是否需要進行 DPIA，並著手準備。

如果貴機構設有資料保護長 (DPO)，請務必在執行 DPIA 時尋求他們的建議。您可能也需要請組織中具備相關技能和專業知識的其他團隊或個人 (例如 IT、法規遵循或法律團隊)，來支援整個過程。

資料保護影響評估可以由內部完成，也可交由外部顧問處理，但您仍需要負責。

身為控管者，如果專案涉及的個人資料處理程序可能對個人權利和自由構成「高風險」，管理員就必須實施資料保護影響評估。部分類型處理程序一律屬於「高風險」，必須執行資料保護影響評估。如果是其他類型的處理程序，則您必須對所涉及的風險進行客觀評估。

歐洲資料保護委員會已將新技術列為「高風險」的因素之一，並發出多項公部門的處理相關指引指明仰賴雲端服務可能需要 DPIA。

詳情請參閱下方「如何判斷處理程序是否符合觸發 DPIA 條件？」一節。

以下資訊可幫助您進行初步評估，判斷是否需要進行 DPIA。不過，我們仍建議您查看所在國家/地區資料保護主管機關提供的指南，並尋求獨立法律建議。  

如果您只是資料處理者，就不需要完成資料保護影響評估，但對法規遵循的要求仍有幫助。

根據 GDPR 的規定，部分處理活動一律需要執行資料保護影響評估。如果您的專案涉及下列其中一個活動，即適用上述情況：

• 個人資料的自動處理，涉及對個人的私人方面進行系統性和廣泛性的評估 (包括任何分析)，其中該處理之決定對這些個人產生法律 (或類似之重大) 影響。

舉例來說，如果您使用「雲端服務」自動分析 (例如：在沒有人為介入的情況下) 與員工相關的個人資料 (例如：工作表現)，且這個動作可能會影響個人僱用情況或薪酬，則您就可能需要 DPIA。

• 大規模處理特殊類別資料，或是有關刑事定罪或犯罪行為的資料。

舉例來說，如果您使用雲端儲存空間來儲存大量個人健康資料的資料集 (例如病歷或臨床檢測結果)，則可能需要資料保護影響評估。

• 對公共開放區域的大規模系統性監控。這裡的定義中，公共開放區域即指對所有一般大眾開放的任何區域。

舉例來說，如果您打算將 CCTV 系統與雲端服務整合 (例如將辦公室的 CCTV 影片片段儲存在雲端)，則可能需要 DPIA。

請注意：每個歐洲資料保護主管機關都訂定了其他類型的處理程序，這些作業一律需要 DPIA。因此，建議您查看所在國家/地區的其他規定。

上一節所述的處理程序需要資料保護影響評估。然而，即使您的處理程序不屬於這些類別，仍須評估處理程序是否可能會對個人的權利和自由造成「高風險」。

您必須在做出決定之前客觀評估處理過程中的風險。在評估時必須將處理的性質、範圍、背景資訊和目的納入考量。換言之，您必須考量如何處理個人資料及處理的原因，以及周遭環境。

在處理過程中使用新技術時，比較有可能須要進行 DPIA。這不代表所有涉及新技術的處理程序都預設為需要 DPIA。不過，如果您的機構使用創新技術或現有技術的新應用程式，則該使用情境應視為您評估的其中一項。我們建議「雲端服務」的客戶在準備風險評估時，特別注意 Google Cloud 技術在處理程序中扮演的角色。

歐盟資料保護委員會 (EDPB) 已製作了相關指南，協助您判斷處理程序是否可能帶來「高風險」。這項指南包含屬於「高風險」指標的九項因素：

1. 處理過程包含剖析、評估或為個人評分 (例如信用評價分數)。

2. 使用對個人有法律或類似影響的個人資料 (例如電子化招募或拒絕線上信用申請) 做出自動化決策。

3. 系統性監控個人 (例如 CCTV 或位置追蹤)。

4. 所處理的是個人性質的特殊類別資料或個人資料 (例如病歷)。

5. 處理的個人資料規模相當龐大，由於本指南並未定義「規模龐大」，因此會由您自行判斷。

6. 比對或合併不同的資料集 (例如，您從第三方取得獨立的資料集，充實現有資料集)。

7. 處理的是弱勢人士 (例如兒童或患者) 的資料。

8. 採用新的技術或組織解決方案，或以創新的方式運用技術 (例如：人工智慧)。

9. 所處理程序禁止他人行使權利、使用服務或合約 (例如拒絕個人貸款)。

一般而言，如果您的處理程序符合上述兩個以上風險因素，則可能需要實施 DPIA。

另一項與決策相關的因素是，貴機構是否為公共機構，或是涉及公部門 (例如政府部門、地方委員會或市政機關) 處理個人資料。EDPB 已發出指南，許多仰賴雲端服務的公部門處理作業很有可能會產生「高風險」，例如因為資料的機密性質或處理規模。

部分資料保護主管機關已備有風險評估工具，可協助您判斷是否需要 DPIA。我們強烈建議您查看主管機關的網站取得相關指引。

身為資料控管者，您的組織有責任判斷是否需要進行 DPIA 及進行準備。Google 無法代表客戶執行 DPIA，但我們會提供相關資訊和其他資源，協助您針對使用「雲端服務」完成 DPIA。

資料保護影響評估通常包含幾個主要階段，本節將詳細說明：

1. 說明資料處理

2. 評估必要性和比例

3. 說明風險以及如何管理這些風險

4. 收集其他意見

5. 紀錄結論

資料保護影響評估沒有固定格式。部分資料保護主管機關發布了您可以使用的範本，您也可以使用 Google Cloud 提供的範本 (請參閱「Google 如何支援您的資料保護影響評估」)。

無論使用範本或自行建立資料保護影響評估格式，都必須納入：

• 貴機構處理個人資料的方式和原因，以及如何確認遵循 GDPR 法規 (例如同意聲明、合約履行或正當利益)。

• 您對處理程序必要性和比例的評估 (為什麼您需要處理個人資料來達成目標)。

• 您找出的潛在風險，以及因應和降低這些風險時應採取的措施。您可以透過這個做法，有效評估及展示專案符合資料保護原則。

此外，定期監控實施資料保護影響評估的資料處理活動，並視情況納入更新，是整體資料保護影響評估生命週期中重要的一環。當重大異動影響資料處理活動時，建議您檢查並更新資料保護影響評估的相關部分。

1. 說明資料處理

您需要提供資料處理的說明。執行這項作業時，建議您思考下列問題：

• 專案中會使用哪些類型的個人資料 (例如姓名、聯絡資訊、財務詳細資料、電子郵件)？

• 個人資料屬於哪些人 (又稱為資料當事人) (例如您的員工、客戶、學生)？

• 個人資料的來源為何？您會直接向當事人或第三方取得這些資訊嗎？

• 您會將資料用於哪些目的？也就是說，您為何要處理這些資料？

• 你將如何使用資料？要如何保存這些資料？會將其保留多久？

• 誰可以存取您機構內的個人資料？

• 您是否會與組織外的人士分享資料？

您也可以在說明中附上圖表、流程圖或其他視覺輔助內容。

2. 評估必要性和比例

必要性和比例是歐洲資料保護法的主要原則。為證明您處理資料之必要性和比例，您應展示如何遵守 GDPR 規定的資料保護義務。評估中應表明您已思考以下因素：

• 您處理這類資料時的 GDPR 第 6 條法律依據為何 (例如同意聲明、合約履行、正當利益或其他) 為何？如果您出於正當利益處理資料，則必須描述這些利益。

• 處理程序是否達到您的目的所需？您需要處理個人資料，才能達成上述目的嗎？

• 您要如何確保處理的個人資料不會超過所需？您是否曾考慮將資料匿名化或去識別化？

• 您要如何告訴他人您會妥善處理個人資料，並提供 GDPR 所要求的資訊 (例如隱私權政策或通知)？

• 你是否會就使用資料當事人對資料而通知其具有的權利，例如存取個人資料或拒絕處理此資料？如要進一步瞭解雲端服務如何支援資料當事人的權利，請參閱「Google 如何支援資料保護影響評估」。

• 您是否已設定個人資料的保留期限上限？請說明這些原因為何？又能採取哪些措施確保資料在正常情況下刪除？

• 貴組織採用哪些資料處理者來支援處理資料？Google Cloud 會是貴機構的資料處理者，您應該在資料保護影響評估中記錄這一點。如要進一步瞭解 Google 及其複委託者，請參閱「Google 如何支援資料保護影響評估」。

• 如果您與歐洲經濟區境外 (或英國等適足性認定的國家/地區) 分享資料，您採取了哪些保護措施來保護這些第三方國家/地區的資料？如要進一步瞭解 Google Cloud 的資料移轉作業保護措施，請參閱 Google 如何支援資料保護影響評估。

• 如果處理方式符合資料保護主管機關核准的《行為準則》，您應將這點納入考量。若想瞭解 Google 如何遵守歐盟《雲端行為準則》，請參閱「Google 如何支援您的 DPIA」一文提供相關資訊。

3. 說明風險以及如何管理這些風險

DPIA 應指出處理資料後，可能會對個人權利和自由造成的風險。

找出這些風險是 DPIA 的重要一環，您必須評估資料處理活動的實際影響。影響與風險可能因貴機構的活動、個人資料本質及相關人士等因素而異。

有許多方式可以評估資料保護的影響和風險，GDPR 並未要求採用任何特定方法。部分資料保護主管機關發布了相關內容和工具，可協助機構執行這項評估，或許對您有所幫助。

以下是可能做為評量的幾個要素。

A) 應考慮哪些潛在風險？

DPIA 應考量專案可能產生的負面影響。建議您先思考個人資料處理方式，並思考對方可能因此感到擔憂的部分。

是潛在風險的例子如下：

• 以驚喜或意外的方式使用個人資料。

• 個人對其個人資料失去控制。

• 歧視或偏見。

• 身分遭盜用或詐欺的風險提高。

• 侵犯他人的個人生活。

• 喪失機密性。

• 重新識別匿名化資料。

• 洩露敏感資訊或弱勢人士 (例如兒童) 的相關資訊。

• 收集不準確的資訊，或謊稱個人立場。

評估時也建議您一併說明機構所面臨的自身風險，例如任何受到聲譽損害、法規訴訟或失去公眾信任的風險。

此外，請一併考量潛在損害的可能性和嚴重程度，同時考量風險等級。例如，某風險可能非常高，但在實務上發生機會很小；另一方面，某風險可能相對輕微，但發生機率較高。建議您運用數值風險分數，或採用紅色/黃色/綠色「交通號誌」方法處理。

B) 您可以採取哪些步驟來降低風險？

評估風險後，您應找出可以降低這些風險的步驟。降低風險步驟的例子包括：

• 決定不收集部分個人資料。

• 將資料匿名化。

• 在可行的情況下，將弱勢人士從資料集中排除。

• 實施針對風險確保其安全等級的措施。

• 針對員工施行內部資料處理政策。

• 訓練員工如何使用個人資料。

• 採取額外步驟，讓個別使用者瞭解貴機構處理個人資料的方式。

• 讓使用者選擇個人資料的用途。

您不必完全消除所有風險。不過，您應配合 GDPR 規定的義務，將整體風險降至可接受的等級。評估剩餘風險時，您可以考量專案帶來的效益，包括個人福利。如果剩餘風險持續處於「高」狀態，您可以決定不繼續進行該專案，或是先洽詢資料保護主管機關，再繼續進行。

4. 收集其他意見

如果貴機構設有資料保護長 (DPO)，則 GDPR 規定您必須在準備 DPIA 時尋求其建議。您也可以諮詢機構中的其他相關人員，例如 IT、法規遵循或法務團隊。

視專案性質和涉及的風險而定，建議您向即將處理資料的人員徵求意見。您可以根據自己的專案和所在位置所適用之情形，收集各種形式的意見，例如和員工討論他們可能會提出的任何問題或疑慮、諮詢貴機構的員工代表 (例如若有工會或委員會)，或進行一些市場研究來瞭解使用者的觀點 (例如零售業公司的顧客)。

5. 記錄結論

完成評估後，請在 DPIA 中記錄以下幾點：

• 您在計劃的個人資料處理程序中發現的風險。

• 您將採取降低這些風險的措施。

• 任何剩餘風險殘留程度，以及此類剩餘風險的等級。

• 是否需要採取額外步驟，例如諮詢資料保護主管機關。

如果 DPIA 總結出您已能夠充分降低您所指出的風險，則可以選擇繼續操作，而不需洽詢貴機構的資料保護主管機關。

然而，如果您的結論為無法將剩餘風險降低至可接受的水準；根據您的評估結果，處理過程仍具有「高風險」，請務必諮詢您的資料保護主管機關再開始進行處理。或者，您可以選擇停止進行這項專案。

我們提供兩種 DPIA 範本：一個適用於 Google Workspace(包括 Google Workspace for Education)，另一個適用於 Google Cloud：

• 適用於 Google Workspace 的 DPIA 範本

• 適用於 Google Cloud 的 DPIA 範本

這些範本可能會是非常實用的工具，有助於考量、規劃及落實 DPIA。雖然這些範本是為了有關「雲端服務」的使用而設計，但不能 (也無法) 預期客戶在使用「雲端服務」時可能遭遇的所有問題，因此，應該將這些可通用的內容視為建議的起點。此外，當中的資訊並不構成法律建議。請注意，完成資料保護影響評估是資料控管者的責任，因此請根據您「雲端服務」預定的用途，選擇具體的內容。

DPIA 沒有固定格式，在符合法規要求的前提下，任何做法皆可使用。部分資料保護主管機關會發布自己的 DPIA 範本，建議您也參考這些機構建議的格式。

為協助客戶說明相關的資料處理程序，以下提供「雲端服務」相關資訊。此外，您也可以找到「雲端服務」的其他相關資料連結，這些資訊有助於填寫此部分的資料保護影響評估。

您的 DPIA 應該涵蓋哪些個人資料？

您的資料保護影響評估應涵蓋您以控管者身分處理的所有個人資料，且這些資料必須符合《Cloud 資料處理附加條款》(以下簡稱「CDPA」) 的「客戶個人資料」定義。

根據 CDPA 的附錄 1 所述，透過「雲端服務」處理的個人資料類別，將涵蓋由「客戶」或其「使用者」透過「雲端服務」向 Google 提供 (或指示提供) 給 Google 的任何個人相關資料。

實務上，這可能包括：

• 個人資訊，包括任何可識別資料當事人及其個人特徵的資訊，包括：姓名、地址、詳細聯絡資料、年齡、出生日期、性別和體徵描述。

• 就業資訊，包括資料當事人的就業資訊，包括聘僱和職涯歷史、招聘和離職詳細資訊、出席記錄、績效評估、培訓記錄和安全記錄。

• 財務資訊，包括資料當事人的財務相關資訊，包括收入、薪資、資產和投資、付款、信用資訊、貸款、福利、補助金、保險詳情，以及退休金資訊。

• 教育和培訓資訊，包括資料當事人教育和任何專業培訓相關的資訊，包括學術記錄、資格認證、技能、培訓記錄、專業能力、學生時期與初等教育時期記錄。

• 公部門以 ID 形式核發的個人資訊，包括護照資料、國民保險號碼、身分證號碼、駕照詳細資料。

• 家庭、生活方式和社交情況，包括資料當事人的家族相關資訊以及資料當事人的生活方式和社交情況的任何資訊，包括家庭成員與其他共同居住成員的生活習慣、住宅、旅遊詳情、休閒活動和所參與慈善或志工組織詳細資料。

• 貴機構控管的任何其他個人資料。

依據您對「雲端服務」的預定用途，個人資料可能包括特殊類別的個人資料，例如披露種族或族裔、政治觀點、宗教或哲學信仰或工會會員身分的資料，基因資料生物特徵辨識資料 (用於識別用途)，或是與健康、性生活或性傾向相關的資料。

Google 以處理者身分處理「服務資料」時的其他資訊

除了處理「客戶個人資料」之外，Google 也會於提供「雲端服務」時處理「服務資料」。根據《Google Cloud 隱私權聲明》規定，「服務資料」是 Google 在提供或管理「雲端服務」期間，收集或產生的個人資訊 (不含「客戶資料」)。

Google Workspace for Education 客戶可與 Google 簽署合約條款 (稱為「Google Workspace for Education 服務資料附加條款」)，於此客戶將擔任「服務資料」控管者，並指示 Google 擔任「服務資料」的處理者，但有限「服務資料」處理除外，Google 會繼續作為控管者。這些客戶可能希望使用本「資源中心」與本小節具有相同標題的部分來解決其 DPIA 中「服務資料」的使用問題。

如何說明您使用「雲端服務」時涉及的處理過程？

當您說明處理活動時，可以參閱我們對於「雲端服務」所提供服務和功能的說明。

• Google Workspace 和 Google Workspace for Education 都是效率提升與協作工具。如需這些服務的說明，請參閱《Google Workspace 服務摘要》(請前往與您相關的版本/SKU)。如要進一步瞭解這些服務，請按這裡參閱適用於 Google Workspace 的文章，以及這裡參閱適用於 Google Workspace for Education 的文章。

• Google Cloud 提供超過 150 項雲端運算、資料分析和機器學習產品。如要瞭解 Google Cloud 客戶可使用的服務，請參閱 Google Cloud 服務摘要。如需上述服務的詳細資訊，請參閱這篇文章。

使用「雲端服務」對您的資料處理目的有何意義？

DPIA 應說明您 (身為控管者) 可指示處理者代表您處理個人資料的目的。

無論您的目的可能為何，使用「雲端服務」時，即表示您運用 Google Cloud 代為處理「客戶個人資料」 (以藉此完成您的一項或多項目的)。作為該資料的控管者，您指示 Google Cloud (作為處理者) 依據適用的《雲端服務協議》 (包括 CDPA) 和適用法律處理資料，處理範圍僅限於下列目的：

• 提供、保護及監控依據《雲端服務協議》提供的「雲端服務」和技術支援服務。

• 透過您使用相關的「雲端服務」和技術支援服務，或透過您根據 CDPA 提供並經 Google 承認的任何其他書面指示而進一步指定。

針對這類處理作業，Google 將在遵循 CDPA 情況下 (除非歐洲法律禁止) 遵守您的指示。

Google 以處理者身分處理「服務資料」時的其他資訊

如果您是 Google Workspace for Education 客戶，並已選擇接受《Google Workspace for Education 服務資料附加條款》，那麼 Google Cloud (作為處理者) 將會遵守該「附加條款」的操作說明來處理「服務資料」。

哪些第三方可以存取「雲端服務」中的個人資料？

資料保護影響評估應指明您會分享個人資料的任何第三方：

• 使用「雲端服務」時，您將與 CDPA 中指定的 Google 立約方分享「客戶個人資料」，而 Google 立約方將擔任該資料的處理者。您可以在這裡查看明確的立約方。

• Google Cloud 也會透過複委託者執行與「雲端服務」相關的特定活動，例如技術支援服務、資料中心營運或服務維護。如果您同意我們的 CDPA，即表示您授權聘用這些第三方。

請注意：您可以查看其他的複委託者清單 (以及這些複委託者的活動相關資訊)，適用於 Google Workspace (含 Google Workspace for Education) 者請按這裡，適用於 Google Cloud 者請按這裡。

如採用複委託者，Google 會致力確保下列事項：

• 每位複委託者僅能在所分包的有限活動範圍內存取「客戶資料」(包括「客戶個人資料」)，並依據 Google 和客戶之間簽訂的《雲端服務協議》(包括 CDPA) 進行存取。

• 如處理「客戶個人資料」受 GDPR 規範 (或任何其他歐洲資料保護法規範)，則 CDPA 中所述的資料保護義務亦會加責於複委託者。

• 新複委託者開始處理任何「客戶資料」(包括「客戶個人資料」) 之前，客戶會提前收到通知，包括複委託者的名稱、所在地及預計執行的活動。

Google 以處理者身分處理「服務資料」時的其他資訊

如果您是 Google Workspace for Education 客戶，並已選擇接受《Google Workspace for Education 服務資料附加條款》，則 Google 的「客戶個人資料」複委託者也將成為「服務資料」的複委託者，並遵循該「附加條款」中對於「服務資料」的類似承諾。

系統會在哪裡儲存及處理資料？

基於公用雲端服務的全球性，Google 的設施遍佈全球各地，以便儲存及處理「客戶資料」(包括「客戶個人資料」)。

如要進一步瞭解 Google 及其複委託者的設施所在位置，請參閱以下資訊：

Google Workspace (包括 Google Workspace for Education)：

• Google 的設施

• 複委託者的設施

Google Cloud：

• Google 的設施

• 複委託者的設施

如要進一步瞭解用於處理「客戶資料」的基礎架構 (例如硬體和網路)，請參閱安全性基礎架構設計總覽，以及：

• Google Workspace (包括 Google Workspace for Education)，請參閱 Google Workspace 安全性白皮書。

• Google Cloud，請參閱 Google 安全性總覽。

我們也注意到有些客戶希望能進一步選擇及控管客戶資料所在位置：

• Google Cloud：客戶可以在這個頁面所列的服務中，將靜態「客戶資料」設定儲存於 Cloud 據點頁面所列出的特定區域或多個區域。該承諾可見於《Google Cloud 服務專屬條款》的「資料位置」一節。此外，客戶也可以設定機構政策，限制支援的服務中新資源的實際位置。

• Google Workspace (包括 Google Workspace for Education)：適用以上版本的客戶可以選擇使用資料地區功能，透過該功能選取資料地區 (例如歐洲)，將保留的靜態客戶資料 (包括備份) 儲存下來。這項功能目前適用於這裡所列出 Google Workspace 的核心服務和資料 (相關資訊請見《Google Workspace 服務專屬條款》的「資料地區」一節)。

Google 以處理者身分處理「服務資料」時的其他資訊

已選擇接受《Google Workspace for Education 服務資料附加條款》的 Google Workspace for Education 客戶，請於「附加條款」中的相關連結查看適用關於「複委託者」設施的資訊。

Google Cloud 會將「客戶資料」保留多久？

除非客戶提前刪除這些資料，否則 Google Cloud 會保留「客戶資料」至：

• CDPA 有效「約期」內 (將隨「雲端服務」佈建結束而結束)。

• 「約期」結束後一段期間內，直到資料刪除為止。最長 30 天的復原期間過後，Google 將在合理可行的情況下，且時間最長可達 180 天 (除非法律要求保留) 之內，儘速刪除資料。如要在「約期」結束後保留資料，您可以在「約期」結束前指示 Google 使用資料匯出工具等內建功能，將資料傳回給您。

您也可以在「約期」內，隨時利用「雲端服務」的內建功能刪除「客戶資料」。如果您以「雲端服務」內的功能刪除客戶資料，Google 將在合理可行的情況下盡快刪除資料，時間最長為 180 天，除非法律要求儲存這類資料。

如要進一步瞭解資料保留和刪除功能，請參閱：

• 針對 Google Workspace(包括 Google Workspace for Education)，請參閱說明中心文章內的「刪除或移除機構內使用者」和「刪除貴機構的 Google 帳戶」。

• 針對 Google Cloud，請參閱「在 Google Cloud 中刪除資料」頁面。

請注意，對於您選擇儲存在 Google 或其複委託者系統之外的資料，責任由您負擔。

Google 以處理者身分處理「服務資料」時的其他資訊

如果 Google Workspace for Education 客戶已選擇接受《Google Workspace for Education 服務資料附加條款》，Google 會以該「附加條款」中所述之約定為準保留與刪除「服務資料」。

評估處理程序的必要性和比例時，資料保護影響評估必須考量貴公司遵循資料保護原則的各個面向。

身為控管者，您有責任證明自身遵循規定，但這類雲端服務內建的保護措施、設施與功能都能協助您進行評估。

Google 如何支援您的資料最小化做法？

除了採用任何技術與機構措施，確保您只處理最低限度的個人資料來達成所述用途外，Google Cloud 也可能會提供特定功能、機制和資源，協助減少所需處理的個人資料量及「Cloud 服務」中的資料。請參閱 Google Cloud 說明文件中的「將機密資料去識別化」和「匿名化」等章節。

Google 如何協助您遵守資料當事人的權利？

身為個人資料控管者，您有責任告知個人其個人資料的相關權利 (例如，存取、移除權和可攜權)，並回應其行使權利的任何個人要求。

為協助您履行義務，Google 將依照「雲端服務」的功能，允許您刪除、存取、匯出、更正或限制處理「客戶資料」(包括「客戶個人資料」)。

如果 Google 的雲端資料保護團隊收到個人發出與「客戶個人資料」有關的要求，並且指名貴機構，Google 會建議該個人向貴機構提出要求。Google 會立即通知您已收到要求，且不會在您未授權的情況下回覆。

對於 Google Workspace (包括 Google Workspace for Education)，《Google Workspace 資料當事人要求 (DSR) 指南》提供更多資訊，讓您瞭解如何使用這些服務回應資料當事人的要求。

Google 以處理者身分處理「服務資料」時的其他資訊

對於已選擇接受《Google Workspace for Education 服務資料附加條款》的 Google Workspace for Education 客戶，Google 也會以處理「服務資料」的處理者身分提供本節所述的承諾。

全球資料移轉有哪些保護措施？

您 (作為控管者) 和 Google (作為處理者) 均有責任確保任何「客戶個人資料」 (及接受 Google Workspace for Education 服務資料附加條款的 Google Workspace for Education 客戶其「服務資料」) 之轉移至歐洲經濟區以外 (沒有適足性認定) 國家/地區，皆遵守 GDPR 對資料移轉的規定。這類國家/地區通常稱為「第三方國家/地區」。

除非 Google 採用替代移轉解決方案 (例如歐盟-美國資料隱私架構，或稱「DPF」)，否則在資料移轉至第三方國家/地區時，我們遵循歐盟執行委員會已核准的標準契約條款 (SCC)，詳情如我們的Google Cloud 符合歐盟標準契約條款白皮書所述。建議您查看「Google Cloud 的新版 SCC 做法」白皮書中的章節，以瞭解「客戶個人資料」相關移轉時適用的 SCC 條款。有關將「客戶個人資料」轉移至第三方國家/地區的合約承諾，已載明於 CDPA 的「資料處理位置」一節。

我們還針對跨國資料傳輸採取了哪些技術、法律和機構保護措施提供額外資訊，詳情如下：

• 針對 Google Workspace(包括 Google Workspace for Education)，請參閱使用 Google Workspace 和 Google Workspace 進行跨國資料轉移的安全防護措施教育白皮書。

• 針對 Google Cloud，請參閱《透過 Google Cloud 進行跨國資料傳輸的安全防護措施》白皮書。

這些白皮書包含美國法律的相關資訊，以及其對於「雲端服務」之適用性資訊，以協助客戶根據歐盟法庭 (Schrems II) 的判決而進行任何必要的風險評估。

針對替代移轉解決方案，我們採用 DPF，並據其將位於歐盟的個人資料轉移至美國。我們將根據 CDPA 的要求，告知客戶我們採用 DPF 做為替代的移轉解決方案，並希望在近期這麼做。一旦我們採用 DPF 做為替代移轉解決方案，我們會確保相關的國際資料順利轉移。

Google 是否遵守核准的《行為準則》？

Google 遵守 歐盟 GDPR 雲端行為準則與「雲端服務」相關的規定。

《雲端行為準則》是一項對雲端服務供應商的機制，旨在證明供應商如何提供充分的保證，以遵守 GDPR 規定的處理者身分，採行適當的技術與機構措施。如要瞭解哪些「雲端服務」屬於涵蓋範圍，請參閱這篇文章 。

比利時資料保護主管機關在 2021 年 5 月 20 日依據歐盟資料保護委員會的正面意見，核准了《Cloud Code of Conduct》。

評估處理過程的風險後，DPIA 應說明您打算如何降低這類風險。一般來說，這代表您已針對相關風險採取適當的技術與機構措施，包括資料安全措施。

使用「雲端服務」處理「客戶資料」的好處如下：

• 由 Google 實施並維護領先業界的安全措施。

• 可為雲端服務使用者提供的額外安全性資源、設施、功能和/或控制選項，您可以依需要選用。

• Google 對技術、機構和實體措施的合約承諾。

Google 以處理者身分處理「服務資料」時的其他資訊

對於已選擇接受《Google Workspace for Education 服務資料附加條款》的 Google Workspace for Education 客戶，這也包含 Google 以處理者處理「服務資料」與安全性措施同等的合約承諾。

簽訂 CDPA，即表示您同意這些措施能因應您的處理程序造成的風險，並提供適當等級的安全性。

Google 會為「雲端服務」提供哪些安全措施？

身為雲端創新者，Google 十分瞭解雲端的安全性。安全性是我們營運作業的優先要務，而「雲端服務」的安全性比許多 on-premises 做法更高。

安全性會決定 Google 的組織架構、文化、訓練優先順序和聘僱程序。它也形塑我們資料中心和存放技術的設計。對我們日常營運來說其至關重要，並且在我們處理「客戶資料」和「服務資料」過程中列為優先。同時也影響我們維護的認證和稽核報告。

您可以參閱 Google 的《安全性基礎架構設計總覽》，進一步瞭解我們如何打造全球規模的技術基礎架構，協助您安全地部署雲端服務、保護服務之間的通訊，以及透過網際網路與客戶進行安全和私密通訊，並由管理員確保作業安全。

您也可以進一步瞭解 Google 採取的技術和組織措施：

• 針對 Google Workspace (包括 Google Workspace for Education)，請參閱《Google Workspace 安全性白皮書》。

• 針對 Google Cloud，請參閱《Google 安全性總覽》和《Google Cloud 安全性白皮書》。

如需 Google 針對雲端服務所採取的技術與組織安全性措施，請造訪《安全性最佳做法中心》和《隱私權資源中心》。

使用「雲端服務」時，可以啟用哪些選用的安全性控制項？

Google 同時也提供選用的其他安全性控管機制，協助 Cloud 服務客戶滿足安全性和法規遵循需求。這些安全性資源、設施、功能和控管機制，可供客戶自行選擇使用，包括管理控制台、加密解決方案、記錄與監控工具，以及身分與存取權管理。

進一步瞭解貴機構如何設定「雲端服務」、設施和功能：

• 針對 Google Workspace(包含Google Workspace for Education )。適用於 Google Workspace和Google Workspace for Education 的資料保護實施指南提供客戶如何使用及設定相關服務和設定的相關資訊。

• 針對 Google Cloud 來說，我們的 Google Cloud 架構制定了最佳做法和實作建議，可協助客戶依業務需求設計 Google Cloud 部署項目。

我們的安全性最佳做法中心和隱私權資源中心提供了其他資源，可協助您滿足安全性和法規遵循需求。

Google 提供哪些合約和其他承諾？

CDPA 載明 Google 對「客戶資料」的合約承諾，包括「客戶個人資料」。Google 致力於實施及維護技術、機構及實體措施，以保護「客戶資料」不受意外或非法損害、遺失、變更、未經授權揭露或存取的影響。

CDPA 的附錄 2 進一步說明這些措施，包括對資料中心和網路安全性、存取權和站點控制、資料安全性、人員安全和複委託者安全性的承諾。

此外，我們的 Google Cloud 企業隱私權承諾以一般條款說明我們如何針對使用 Google Cloud 服務的客戶協助保護其資料：

1. 由您控管資料：「客戶資料」歸您所有，而非 Google。我們只會根據您的協議內容處理您的資料。

2. 我們絕對不會使用您的資料指定廣告目標：我們不會以處理您的「客戶資料」來建立廣告設定檔或改善 Google Ads 產品。

3. 我們會公開說明資料收集和使用方式：我們致力確保資訊公開、遵守 GDPR 等法規和隱私權最佳做法。

4. 我們絕不會販售「客戶資料」或「服務資料」：我們絕不會向第三方販售「客戶資料」或「服務資料」。

5. 安全性和隱私權是 Google 所有產品的設計準則：以客戶隱私為優先考量，意味著保護您因信任而託付於我們的資料。Google 產品採用的是最強大的安全防護技術。

Google 以處理者身分處理「服務資料」時的其他資訊

如果您是 Google Workspace for Education 客戶，且已選擇接受《Google Workspace for Education 服務資料附加條款》，則 Google 作為處理者，對所處理之「服務資料」的合約承諾載明於「附加條款」中。

Google 如何處理執法機關提出的要求？

Google 已根據國際最佳做法制定公開且完善的處理程序，以因應執法機關和政府提出的資料調閱要求。我們會在符合法律要求、客戶協議和隱私權政策的情況下，依個案的具體情況做出回應。

請參閱政府提出的 Cloud 客戶資料要求白皮書，瞭解 Google Cloud 因應這類要求的程序。

此外，我們的資訊公開報告會在適用法律允許範圍內，揭露執法機關和政府單位針對 Enterprise Cloud 客戶資訊提出的要求數量。

Google Cloud 如何證明法規遵循？

「雲端服務」會定期接受有關安全性、隱私權和法規遵循控管的獨立驗證，並取得認證、證明及稽核報告，進而證明遵循法規。客戶可以透過法規遵循報告管理員直接存取及下載各種認證 (包括 ISO 27001、27017、27018 和 27701)、稽核報告 (包括 SOC 1、2 和 3) 以及其他相關資源。

此外，在證明 Google 對於持續保護「服務資料」的承諾方面，我們已擴大 ISO 27001、27017、27018 和 27701 認證的範圍，將「服務資料」(即我們做為資料處理者) 的範圍擴及相關 Google Workspace 服務。

此外，如上所述，Google 遵守 歐盟 GDPR 雲端行為準則。這項機制可讓雲端服務供應商證明其提供充分保證，能依據 GDPR 規定採取適當的技術與組織措施。