附录：GDPR合规性
本节概述了与视频监控相关的GDPR法规。以下各节将介绍什么是GDPR及其对视频监控使用的影响：
您是否有收集数据的合法依据？
GDPR要求所有组织都有收集和处理个人数据的有效，合法的基础。
在特殊情况下，基于同意或重大利益的视频监控是可能的，例如在医疗和护理部门，如果必须永久监控某人。
您需要在处理活动记录中跟踪处理活动（GDPR第30条）。有关“处理活动记录”的样例模板，请参阅：“处理活动记录”模板。
根据以下监管级别检查处理视频数据和用户数据的合法性：
通用数据保护条例（GDPR第6条）
尤其是GDPR第6条第(1)款(b)项：
数据处理是为了履行数据主体所签订的合同，或为了在签订合同之前应数据主体的要求采取措施。
GDPR第6(1)(e)(f)条规定：
如果出于控制者或第三方所追求的合法利益的目的有必要进行处理，则处理是合法的，除非这些利益被数据主体的利益或基本权利和自由所覆盖，这需要保护个人数据，特别是当数据主体是儿童时。
(EU) 2016/680执法指令或基于该指令的国家法律
遵守基于(EU) 2016/680执法指令的国家法律，以建立法律依据来检查处理的合法性。
国家法律
遵守国家法律，例如德国联邦数据保护法(FDPA)第4条，但此规定不适用于企业进行的视频监控。
在实施视频监控之前，请评估潜在好处以及对涵盖区域内人员的隐私权和其他基本权利和合法利益的影响。
当您决定使用视频监控时，请记录视频系统的目的、收集的信息、将用于什么、由谁使用、持续多长时间，并提供足够的支持证据，例如关于已发生安全事件(incident)的实际数量的统计数据，以及摄像机过去在阻止、预防、调查或起诉这些事件(incident)方面的有效性的证据。
评估的范围取决于拟议系统的规模及其对个人隐私和其他合法利益或基本权利的影响。
基于法律义务或公共任务的处理
法律义务的合法依据可能在何时适用？简而言之，当您有义务处理个人数据以遵守法律时。GDPR第6(3)条要求法律义务必须由欧盟法律或成员国法律规定。
这并不意味着必须有专门要求特定处理活动的法律义务。要点是，您的总体目的必须是遵守在普通法或法规中具有足够明确基础的法律义务。例如，法院命令可能会要求您出于特定目的处理个人数据，这也属于法律义务。
公共机构通常使用视频监控来执行公共任务。请注意，利益平衡不是公共当局执行这些任务的法律依据。
对于公共机构，视频监控只有在需要执行公共任务时才合法。在执行公共任务时，您必须执行比例评估(请参阅 利益平衡/比例评估)。数据控制者必须考虑数据最小化（例如，隐私屏蔽）、存储限制（保留时间）和目的限制(GDPR第5(1)条)的原则。
利益平衡/比例评估
私人机构通常运营视频管理软件以追求数据控制者或第三方的合法利益(GDPR第6(1)(f)条)。因此，需要平衡利益以检查处理的合法性。数据控制者需要确定并权衡其利益与数据主体的利益或基本权利和自由，这需要保护个人数据。
审核和警报历史数据的处理通常可以基于数据控制者的合法利益(GDPR第6(1)(f)条)。这同样适用于用户管理数据（帐户数据、身份验证凭据、授权数据、配置数据）（如果用户是安全公司的员工）。
您必须从一开始就明确、公开和诚实地告诉人们您将如何使用他们的个人数据。在评估中，请回答以下问题：
使用视频监控有哪些好处？其好处是否大于任何有害影响？
该制度的目的是否明确、明确和合法？视频监控是否有合法的理由？
使用视频监控的必要性是否得到明确证明？它是实现其预期目的的有效工具吗？是否有侵扰性较小的替代方案可用？
更重要的是，只有当个人数据与原始目的相容时，或者数据控制者获得同意或在法律上有明确依据时，数据控制者才能将个人数据用于新目的。
数据控制者的典型兴趣
通常，数据控制器：
行使决定允许或拒绝谁访问数据的权利
维护特定目的的合法利益
在就业方面，数据控制者应被告知，在就业环境中处理员工的个人数据-视频数据以及用户数据-可能会受到成员国法律中更具体的规则的约束（GDPR第88条），例如FDPA第26条（德国）。
数据主体的典型利益和权利
数据主体有以下权利：
无长期监控
不监控私密情况
保留时间短
在处理特殊类别的个人数据（GDPR第9条）时采取充分的保护措施
方式 XProtect 减少对数据主体的利益或基本权利和自由的影响
Milestone XProtect 通过以下方式减少对数据主体的利益和基本权利的影响：
个人数据的保护：
基于角色的访问控制
仅限主管可解除隐私屏蔽
访问日志记录
记录的加密
对之间的所有通信进行加密 XProtect VMS服务器和客户端
自动视频保留（自动删除）
隐私屏蔽
安全且可验证的视频导出
网络安全
系统强化。
报告和修补已知漏洞。有关详细信息，请参阅已知漏洞的报告和补丁。
教育与意识
转让和披露
GDPR中有三条管理传输的主要规则，具体取决于记录是否传输：
至组织内部或其他组织中的接收方
在这种情况下，GDPR规定，如果有必要合法执行接收方能力涵盖的任务，可以将记录转移到组织内部或其他组织中的其他人。
致欧洲联盟内的其他国家
在这种情况下（在组织之外但在欧洲联盟内进行的转让），如果为了履行一项符合公共利益的任务或为了行使公共权力而必须进行这种转让，或者如果接受者以其他方式确定这种转让是必要的，并且没有理由认为被转让图像的人的合法利益可能受到损害，则这种转让是可能的。
或欧盟以外地区
在这种情况下，可以在欧盟以外进行数据转移：(i)如果转移的目的仅仅是为了执行本组织的任务，以及(ii)仅仅为了确保数据在国外得到充分保护，而必须满足额外的要求。
总结
确保您不会违反任何其他法律对数据进行任何处理。
您必须以公平的方式使用个人数据。这意味着您不得以过度有害、意外或误导相关个人的方式处理数据。
只有在与您的原始目的相符的情况下，或者您获得同意或在法律上有明确依据的情况下，您才能将个人数据用于新目的。
在某些情况下，如果认为存在侵犯隐私的高度风险，您必须进行正式的影响评估(请参阅 附录：数据保护影响评估)。
进行影响评估
在安装和实施视频监控系统之前，您应该进行隐私和数据保护影响评估。
影响评估的目的是确定拟议制度对个人隐私和其他基本权利的影响，并确定减轻或避免不利影响的方法。
在影响评估方面需要投入多少精力？这取决于具体情况。具有高侵犯隐私风险的视频监控系统比对隐私影响有限的视频监控系统（例如，传统的静态CCTV系统）需要更多的投资。
在任何情况下，无论哪种情况，您都必须评估并证明是否采用视频监控、如何放置摄像机、选择和配置系统以及如何实施所需的数据保护措施。
个人权利
GDPR的主要目的之一是为个人提供更大的保护和一系列管理其个人数据的权利。
根据条例的规定，有一些非常具体的要求，所有这些都意味着处理或存储个人数据的一方有责任将这些数据保密。
GDPR让个人有权了解其个人数据何时（在捕获点）被收集以及将如何使用。例如，对于视频监控，这意味着在使用视频监控的区域及其周围使用适当的标牌。
GDPR第12至23条涵盖了数据主体的权利。
其中，与视频监控最相关的权利是：
对于视频管理软件系统中的GDPR合规性，有三项权利特别相关：知情权、访问权和删除权。
访问权
根据GDPR第15条，个人可以控制自己的个人数据，包括查看数据的权利。特别重要的是，数据主体有权获得其数据的副本，第三方有权被屏蔽（使用第三方工具）。
根据要求，组织需要将收集到的所有个人数据提供给数据主体，包括视频监控系统收集的视频。
确保您建立处理访问权请求的正式程序和政策，如转让和披露登记册部分所述。
转让和披露
GDPR中有三条管理传输的主要规则，具体取决于记录是否传输：
至组织内部或其他组织中的接收方
在这种情况下，GDPR规定，如果有必要合法执行接收方能力涵盖的任务，可以将记录转移到组织内部或其他组织中的其他人。
致欧洲联盟内的其他国家
在这种情况下（在组织之外但在欧洲联盟内进行的转让），如果为了履行一项符合公共利益的任务或为了行使公共权力而必须进行这种转让，或者如果接受者以其他方式确定这种转让是必要的，并且没有理由认为被转让图像的人的合法利益可能受到损害，则这种转让是可能的。
或欧盟以外地区
在这种情况下，可以在欧盟以外进行数据转移：(i)如果转移的目的仅仅是为了执行本组织的任务，以及(ii)仅仅为了确保数据在国外得到充分保护，而必须满足额外的要求。
转让和披露登记册
各组织应尽可能以电子形式保存转移和披露的登记册。其中应记录每次向第三方进行的转账。(第三方还包括组织内由首先有权访问记录的人进行转移的任何人。这通常包括安全单元以外的任何传输。) 此外，登记册应包括虽然视频监控记录的副本没有转移，但向第三方展示了记录或以其他方式向第三方披露了记录内容的所有情况。
登记册应至少包括以下内容：
记录日期
请求方（名称、标题和组织）
授权转让的人的姓名和职务
记录内容的简要说明
请求的原因和批准的原因
是否转移了记录副本、是否展示了记录或是否提供了口头信息
被遗忘的权利（删除权）
根据GDPR第17条，个人可控制其个人数据，包括在不再需要为系统的预期目的删除其个人数据的权利。
根据GDPR第17(1)(c)条，数据控制者必须处理数据主体的异议。由于从视频中删除特定主题是不切实际的，数据处理程序应严格限制视频根据系统的记录用途保留多长时间。
您应该怎么做？
检查所有摄像机的保留时间，并确保根据记录的系统用途进行设置。
被遗忘权通常不适用于视频监控，因为保留时间通常很短，并且由于其他合法依据压倒了“合理”的技术和法律利益，例如法律义务（就业法）、公共利益（预防犯罪、公共卫生和安全）、重大利益（生命和健康关键数据、危险和危险环境）、合法利益（欺诈检测、就业、产品开发）甚至合同履行（雇用、订阅和许可）。合法利益的一个例子是，视频监控记录必须在任何给定时间都是可信的证据来源，因此，视频管理软件主要保护视频证据免受篡改并确保其身份验证，使被遗忘的权利成为次要的。
数据主体反对存储视频记录的原因通常有两个：
数据控制者存储数据的利益被数据主体的利益或基本权利和自由所取代，这需要保护个人数据(GDPR第17(1)(c)条)
个人数据被非法处理，例如监控幼儿园或更衣室(GDPR第17(1)(d)条)
因此，必须彻底审查每一项请求。
记录应该保留多长时间？
一般原则是，记录的保留时间不得超过其制作的具体目的所必要的时间。还必须首先考虑是否需要记录，以及没有记录的实时监控是否足够。
如果组织选择记录，则必须指定记录的保留期限。在此时间段过后，必须擦除记录。Milestone XProtect VMS 通过自动删除早于设置保留时间的记录，自动执行擦除过程。
当包含记录视频数据的文件被视频管理软件删除时，这些文件及其内容实际上不会从存储系统上的数据块中删除，而只是被标记为文件系统上的空闲，从而允许将其他文件写入存储系统上的该位置。在数据块被新数据实际覆盖之前，可能会恢复旧的已删除视频数据，从而提供对早于设置保留时间的记录的访问。
因此，建议不要过高调整存储系统的尺寸，因为风险会随着开销的大小而变大。
例如，如果所分配存储系统的容量是所设置保留时间（例如7天）内所存储视频数据量的两倍，则包含旧的已删除视频数据的已删除数据块在覆盖之前可能在存储系统中再潜伏七天。
为了进一步降低访问已删除的旧视频数据的风险，以及出于总体安全考虑，建议对媒体数据库启用加密，因为除了恢复删除的文件外，现在还需要中断加密。
无论视频数据是否已加密，一旦存储系统中的磁盘不再可用，都必须在处置已用于存储媒体数据库的硬盘（例如，通过切碎或其他等效方式）之前将其清理或物理销毁。
如果视频监控的目的是为了安全，并且发生了安全事件，并且确定记录对于进一步调查该事件或使用该记录作为证据是必要的，则相关记录可以保留超过正常保留期限，只要这些目的有必要。然而，此后它们也必须被消除。
出于典型安全目的的保留期限：一周至一个月
当出于安全目的安装摄像机时，一周到一个月的时间应该足够让安全人员做出明智的决定，是保留记录更长时间，以进一步调查安全事件，还是将其用作证据。
当地法律的一个例子：根据一些德国数据保护机构和大多数数据保护文献，作为访问控制和刑事犯罪调查的指导原则，这一保留期限为48至72小时。
会员国或第三国领土：48小时
如果监控范围涵盖会员国（或第三国）境内建筑物外的任何区域（通常在入口和出口区域附近），并且无法避免摄像头捕捉到过往或过往车辆，则建议尽可能将保留期限缩短至48小时，或以其他方式解决当地问题。
限制处理的权利
数据主体可以参照GDPR第18条第(1)款要求限制处理的权利。在基本视频管理软件场景中，数据主体可以声称视频管理软件处理是非法的，例如如果数据主体不知道对公共空间进行视频监控使用了隐私屏蔽保护。建议使用数据主体请求模板来记录声明（请参阅数据主体请求）。有关数据主体请求的样例模板，请参阅 Milestone 数据主体请求模板.
索赔应在合理的时间范围内处理，比保留期限更快，以避免自动保留或删除索赔中的视频管理软件证据。一般建议就限制处理问题寻求法律咨询。处理此类请求的一种方法是让视频管理软件管理员通过角色分配来限制视频管理软件主管或操作员，使其只能在记录后的短时间内播放记录，例如，四小时或一天（请参阅您该怎么做？：“考虑将操作员对记录视频的访问限制为完全只访问过去几小时内记录的视频，或只进行双重授权”）。播放限制也适用于证据锁定。如果需要对处理进行进一步的限制，建议同时进行业务影响评估和隐私影响评估（请参阅进行影响评估），作为索赔处理的一部分。
隐私设计
GDPR要求在整个系统设计和调试过程中必须将隐私放在首位。在数据隐私方面采取的方法必须是主动的，而不是被动的。风险应该被预见到，目标必须是防止事件发生。
组织必须仔细考虑并记录如何设计系统以保持在既定目标范围内。
必须注意不要捕捉系统范围之外的主体的个人数据（例如，邻近的公共区域）。
仔细考虑谁需要查看哪些信息（例如，实时/记录、时间范围、分辨率）以及谁可以访问哪些功能（例如，搜索）。
您应该怎么做？
记录摄像机场景中不同点的分辨率
记录预期保留时间
考虑应用隐私屏蔽-永久或可解除
考虑设置查看实时视频、记录的权限
考虑限制对导出记录和解除隐私屏蔽的访问
定期审核操作员、调查人员、系统管理员和其他具有系统访问权限的人员的角色和职责
考虑限制对专门定位来捕捉身份的摄像机（例如，进入商店的人的面部）进行调查的组的访问
可以考虑将操作员对记录视频的访问限制为完全限制为只访问过去几个小时内记录的视频，或只进行双重授权
限制拥有管理员角色的用户数量
通过设计确保隐私要求
数据最小化 | 您必须确保您正在处理的个人数据是：
|
准确度 | 对于个人数据，通常为：
|
存储期限限制 |
|
隐私设计，隐私默认
根据GDPR，个人数据的控制者在处理此类数据时，必须采取旨在实施GDPR中规定的数据保护原则的技术或组织措施。GDPR将此称为隐私设计。
在摄像机的环境下，隐私设计的一个相关示例是允许用户以数字方式将图像捕捉限制在特定周界的功能，以防止摄像机捕捉该周界以外的任何图像。
在 XProtect VMS支持以两种形式进行隐私屏蔽：无法移除的永久屏蔽，以及可以解除（具有相应权限）以显示屏蔽后面的图像的可解除屏蔽。
数据控制者还必须实施技术或组织措施，默认情况下确保对有关个人数据进行最低程度的隐私侵入处理。GDPR默认将此称为隐私。在摄像机上下文中，默认情况下隐私的一个相关示例可能是使用隐私屏蔽来保持摄像机视图中敏感区域的私密。
下面是一个什么样的示例 XProtect 通过设计方法支持隐私的功能？
Milestone 不断开发其产品组合，默认情况下，隐私是制作的关键评估标准 XProtect 符合GDPR标准。默认情况下，本指南是隐私不可分割的一部分，它应用“深度防御”、“最低权限”等原则，并避免使用不太安全的默认设置，以及默认关闭不常用的功能。
您应该如何通过设计来确保隐私？
考虑摄像机场景中不同点的分辨率并记录这些设置
不同的用途需要不同的图像质量。当不需要识别时，应选择摄像机分辨率和其他可修改的因素，以确保不会捕捉到可识别的面部图像。
为记录加密
Milestone 建议通过至少在记录服务器的存储和存档上启用轻度加密来保护记录。Milestone 使用AES-256算法进行加密。如果选择“轻度加密”，则只会加密记录的一部分。选择高度加密时，会对整个记录进行加密。
加密调查数据库
Milestone 建议您保护移动设备服务器上的调查数据库。
保护网络
Milestone 建议您选择支持HTTPS的摄像机。建议在单独的VLAN上设置摄像机，并对摄像机与记录服务器通信以及客户端与记录服务器通信使用HTTPS。
建议您对所有服务器和客户端之间的所有通信启用加密。
建议 XProtect Smart Client 和 XProtect Smart Wall 与服务器在同一VLAN中。
使用VPN加密网络或类似功能（如果使用） Smart Client 或 Smart Wall 从远程位置。
启用并记录预期保留时间
根据GDPR第17(1)(a)条，记录的保留时间不得长于记录制作的特定目的所需的时间。Milestone 建议您适当设置保留时间。这样，便可以自动处理视频。
安全导出
Milestone 建议您只允许需要此权限的所选用户集访问导出功能。
Milestone 还建议 Smart Client 配置文件已更改为仅允许以下位置的导出 XProtect 启用加密的格式。不应允许AVI和JPEG导出，因为它们不能保证安全。这样可以导出受密码保护、加密和数字签名的证据材料，确保取证材料是真实的、未被篡改的，并且只能由授权的接收方查看。
启用隐私屏蔽-永久或可解除
使用隐私屏蔽有助于消除对与您的监控目标无关的区域的监控。
限制角色的访问权限
应用最小特权原则(PoLP)。
Milestone 建议您只允许需要此权限的所选用户集访问功能。默认情况下，只有系统管理员才能访问系统并执行任务。创建的所有新角色和用户在由管理员故意配置之前，无权访问任何功能。
设置所有功能的权限，包括查看实时视频和记录、监听音频、访问元数据、控制PTZ摄像机、访问和配置 Smart Wall、解除隐私屏蔽、使用导出、保存快照等。
将操作员的访问权限制为完全限制于记录的视频、音频和元数据，或仅限制为过去几个小时或更短时间内记录的视频、音频或元数据。
定期评估和审查操作员、调查人员、系统管理员和其他具有系统访问权限的人员的角色和职责。最小特权原则仍然适用吗？
启用和使用双重验证
Milestone建议您为以下用户的用户指定其他登录步骤 XProtect Mobile 或 XProtect Web Client 通过启用双重验证。
限制管理员权限
Milestone 建议您限制拥有管理员角色的用户数量。
设置和配置视频监控系统
与本节讨论的所有项目有关的指导原则应是最大限度地减少对受监控者的隐私和其他基本权利和合法利益的任何负面影响。
摄像机位置和视角
应选择摄像机位置，以尽量减少与预期目的不相关的查看区域。
通常，如果安装视频监控系统以保护组织的资产（财产或信息）或员工和访客的安全，则组织应将监控限制为
精心挑选的区域，其中包含敏感信息、高价值物品，或出于特定原因需要加强保护的其他资产，
建筑物的入口和出口点（包括紧急出口和消防出口以及建筑物或财产周围的墙壁或栅栏），以及
建筑物内的入口和出口点，连接不同的区域，这些区域受不同的访问权限，并由锁定的门或其他访问控制机制隔开。
摄像机数量
安装摄像机的数量将取决于建筑物的规模和安全需要，而这又取决于各种因素。相同数量和类型的摄像机可能适合一个组织，对于另一个组织可能严重不成比例。然而，在其他条件相同的情况下，摄像机的数量是监控系统复杂性和规模的良好指标，可能表明隐私和其他基本权利面临更大的风险。随着摄像机数量的增加，它们无法有效使用的可能性也随之增加，从而导致信息过载。因此，欧洲数据保护主管(EDPS)建议将摄像机数量限制在达到系统目的的严格必要范围内。摄像机数量必须包含在视频监控政策中。
监视时间
应选择摄像机设置为记录的时间，以尽量减少在与预期目的不相关的时间进行的监控。如果视频监控的目的是为了确保安全，则应尽可能将系统设置为仅在据称安全问题发生的可能性较高时进行记录。
分辨率和图像质量
应选择适当的分辨率和图像质量。不同的用途将需要不同的图像质量。例如，当个人的身份识别至关重要时，摄像机的分辨率、数字系统中的压缩设置、位置、照明和其他因素都应该加以考虑和选择或修改，以便产生的图像质量足以提供可识别的面部图像。如果不需要识别，可以选择摄像机分辨率和其他可修改的因素，以确保不会捕捉到可识别的面部图像。
谁有权访问视频管理软件？
必须严格根据访问需要，将访问权限限制为少数明确识别的个人。视频管理软件访问策略应遵循“最小权限”原则进行定义：仅允许用户访问执行其任务绝对必要的资源。
只有数据控制者、系统管理员或数据控制者专门为此目的任命的其他工作人员才能授予、更改或取消任何人的访问权限。必须根据组织的视频监控政策中制定的标准来规定、更改或废除访问权限。
具有访问权限的人员必须始终是可明确识别的个人。
视频监控政策必须明确指定和记录谁有权访问视频监控记录和/或视频监控系统的技术架构（如视频管理软件服务器），以及这些访问权限的用途和内容。特别是，您必须指定谁有权执行以下操作
实时查看视频/音频
操作全景/倾斜/变焦(PTZ)摄像机
查看记录
导出，或
删除任何记录
此外，您必须配置对以下视频管理软件功能的访问：
书签
证据锁定
解除隐私屏蔽
导出
触发事件
开始/停止记录
创建/编辑/删除/激活/锁定/释放PTZ预设
创建/编辑/删除/启动/停止PTZ巡视方案
智能搜索
音频、元数据、I/O和事件权限
保护存储和传输的数据
首先，必须对安全风险进行内部分析，以确定需要采取哪些安全措施来保护视频监控系统，包括它处理的个人数据。
在任何情况下，都必须采取措施确保以下方面的安全
传输
存储（如在计算机数据库中）
访问（例如访问服务器、存储系统、网络和场所）
必须通过安全通信信道对传输进行路由，并保护其免受拦截，例如执行以下操作：
加密记录服务器中的媒体数据库，并加密服务器与客户端之间的所有通信。
将HTTPS摄像机连接到记录服务器
VPN的使用对象 Smart Client 或 Management Client 已通过互联网连接
将HTTPS用于 XProtect Mobile 客户端和 XProtect Web Client
在使用无线传输系统或通过互联网传输任何数据时，防止拦截尤为重要。在这些情况下，必须在传输过程中对数据进行加密，或者必须提供等效的保护。
如果对安全风险的内部分析证明其合理性，则在其他情况下以及在存储中，也必须考虑使用加密或其他技术手段来确保等效的保护。例如，如果数据特别敏感，则可能如此。这是通过启用媒体数据库的加密来完成的。
必须保护存储和查看视频监控数据的所有场所。必须保护对控制室和放置视频管理软件服务器的服务器机房的物理访问。任何第三方（例如，清洁或维护人员）都不得在无人监督的情况下进入这些场所。
必须选择监视器的位置，以使未经授权的人员无法查看它们。如果它们必须在公共区域附近，则监视器的位置必须保证只有安保人员才能查看它们。
该 XProtect VMS 默认情况下会记录基本信息，但我们建议您在以下位置启用用户访问记录 Management Client 用于审核日志。
该数字日志系统用于确保审核可以随时确定谁在何时何地访问了该系统。日志记录系统可以识别谁查看、删除或导出了任何视频监控数据（这需要启用用户访问日志记录）。
在这方面，以及其他方面，必须注意系统管理员的关键职能和权力，以及需要在这些职能和权力与适当的监测和保障措施之间取得平衡。
责任
GDPR第5条第2款规定：
控制者应对第1款（“问责制”）负责，并能够证明其遵守了该款。
个人数据的处理原则为：合法性、公平性和透明度、目的限制、数据最小化、准确性、存储限制、完整性和机密性。
问责原则要求您对处理个人数据的行为负责。
更具体地说，GDP第30条规定：
每个控制方及（如适用）控制方的代表应保存一份其负责范围内的处理活动记录。
记录必须包含以下所有信息：
控制方的名称和联系方式，以及在适用情况下，联合控制方、控制方代表和数据保护官的名称和联系方式
处理的目的
对数据主体类别和个人数据类别的描述
个人数据已经或将要披露的接收方类别，包括第三国或国际组织的接收方
在适用的情况下，将个人数据传输到第三国或国际组织，包括识别该第三国或国际组织，以及在第49条第(1)款第二项中提到的传输时，提供适当保障措施的文档
在可能的情况下，设想的删除不同类别数据的时限
如有可能，一般说明第32条第(1)款所述的技术和组织安全措施。
责任是数据保护原则之一-它要求您负责遵守GDPR，并表示您必须能够证明您的合规性。
您需要采取适当的技术和组织措施，以满足问责制的要求。
您可以采取一些措施，在某些情况下必须采取，包括：
采用和实施数据保护政策
采用“默认的设计数据保护”方法(有关详细信息，请参阅 隐私设计)
与代表您处理个人数据的组织签订书面合同
维护处理活动的文档
实施适当的安全措施
记录并在必要时报告个人数据泄露事件
对可能给个人利益带来高风险的个人数据的使用进行数据保护影响评估
任命数据保护官
遵守相关行为准则并签署认证计划
使用处理活动记录模板来确定和跟踪责任问题。有关“处理活动记录”的样例模板，请参阅：“处理活动记录”模板。
问责义务仍在履行中。您必须检查并在必要时更新您采取的措施。
如果您实施隐私管理框架，这可以帮助您嵌入问责措施，并在整个组织中创造隐私文化。
负责任可以帮助您与个人建立信任，并帮助您减轻GDPR执法行动。
确保完整性和机密性的检查表
GDPR要求组织拥有全面的政策和程序，确保个人数据始终处于组织的控制之下。此外，个人数据泄露必须在72小时内向所在国家政府指定的主管监督机构报告。
采取一切适当的组织和技术措施，防止泄露个人数据。
您应该怎么做？
审查有关密码控制和帐户使用的安全策略。
考虑为所有域组设置最低密码强度要求。考虑在域级别为管理帐户设置更强的要求。
建立审核保护状态和检测漏洞的流程。
确保用户不会共享帐户，无论是通过共享密码还是通过在轮班结束/开始时不注销/登录。
保持有文档记录的策略和程序，以管理在发生数据泄露时的相应操作。
您必须确保您有适当的安全措施来保护您持有的个人数据。
GDPR的一个关键原则是，您通过“适当的技术和组织措施”安全地处理个人数据-这是“安全原则”。
要做到这一点，您需要考虑风险分析、组织策略以及物理和技术措施。
您还必须考虑有关处理安全性的其他要求，这些要求也适用于数据处理器。
在决定采取何种措施时，您可以考虑技术水平和实施成本，但它们必须既适合您的情况，又适合您的处理带来的风险。
在适当的情况下，您应考虑使用诸如假名（例如，使用具有模糊屏蔽的隐私保护）和加密之类的措施。
您的措施必须确保您的系统和服务以及您在其中处理的个人数据的“机密性、完整性和可用性”。
这些措施还必须使您能够在发生物理或技术事件时及时恢复对个人数据的访问和可用性。
您还需要确保有适当的流程来测试措施的有效性，并进行任何必要的改进。
保护移动设备使用的政策
建议您为移动设备和应用程序使用设置策略，其中包含以下措施：
考虑使用移动设备管理(MDM)软件
限制有权访问的员工数量 XProtect Mobile 客户端或 XProtect Web Client
不允许 XProtect Mobile 私有设备上的客户端安装
不要对业务设备上的帐户使用私人电子邮件地址，因为Google或Apple可能能够识别数据主体，并且可能能够链接工作和私人配置文件
为使用时间配置文件的移动用户创建角色
在移动设备上创建供漫游警卫使用的假名帐户。这些Google和Apple帐户可以链接到一个假名的商业电子邮件地址，如“guard01@company-name.com”，帐户名为“Guard 01”。
使用此类假名帐户会限制Google和Apple处理的个人数据量。因此，推送通知不会违反Schrems II CJEU的裁决，因为如果没有操作视频管理软件的组织的帮助，任何总部位于美国的组织或机构都不能对与推送通知相关的个人数据进行去匿名化。
使用双重身份验证
如果使用操作系统的生物特征识别身份验证功能，请确保使用此身份验证机制提供足够的安全级别。只要将生物特征识别身份验证与强大的密码策略结合使用，就可以提高整体安全性。
注意
根据GDPR关于生物识别数据的第9条，通过采用生物识别身份验证，您可以成为处理特殊类别个人数据的数据控制器。
将调查的保留时间限制在最短，并记录在案
建议移动操作员在屏幕截图不再相关时立即将其删除
禁用从移动设备到Google和Apple等远程服务器的图像库自动备份
您还必须制定政策和程序，以防设备丢失或被盗，特别是当设备暴露个人数据时。
如果移动设备或智能手机等设备丢失或被盗，您应该：
禁用用户帐户
强制更改密码以重新启用设备