ROPA 全称是什么？数据处理活动记录是什么？
ROPA 的全称是 Record of Processing Activities，即数据处理活动记录。它是组织依据 GDPR 第 30 条须在内部维护的文件，记录所有涉及个人数据的处理活动。该文件在内部保存；监管机构可随时要求查阅。
ROPA 及相关术语
| 术语 | 全称 | 含义 |
|---|---|---|
| ROPA | Record of Processing Activities（数据处理活动记录） | GDPR 第 30 条规定的处理活动记录，由数据控制者和数据处理者维护。 |
| 第 30 条 | GDPR Art. 30 | 规定 ROPA 为强制性要求并明确其内容的具体条款。 |
| DPIA | Data Protection Impact Assessment（数据保护影响评估） | 一项独立的深度风险评估，在第 35 条规定的高风险处理开始前须开展。 |
| DPO | Data Protection Officer（数据保护官） | 依据第 37 至 39 条负责提供 GDPR 合规建议（包括 ROPA 相关事宜）的人员。 |
谁须维护 ROPA？
数据控制者
数据控制者须就其开展的所有处理活动维护一份 ROPA（第 30(1) 条）。
数据处理者
数据处理者须就其代表数据控制者开展的各类处理活动维护一份 ROPA（第 30(2) 条）。
小型组织豁免
第 30(5) 条规定，雇用人员少于 250 人的企业或组织可豁免上述义务，但须同时满足以下三个条件：
- 相关处理不可能对数据主体的权利和自由造成风险
- 处理属于偶发性活动（并非定期开展）
- 处理不涉及第 9(1) 条规定的特殊类别数据，也不涉及第 10 条规定的刑事定罪相关数据
实际上，几乎所有组织都会定期处理员工数据和客户数据，因此第二个条件通常无法满足，豁免也就不适用。对于同时处理员工健康数据或工会成员资格数据的组织，第三个条件同样不满足。
数据控制者的 ROPA 须包含哪些内容？
第 30(1) 条规定了数据控制者 ROPA 的必填字段：
| 字段 | 备注 |
|---|---|
| 控制者及任何联合控制者的姓名和联系方式 | 如适用，填写 DPO 的联系方式 |
| 处理目的 | 说明处理数据的原因 |
| 数据主体类别 | 例如：客户、员工、网站访客 |
| 个人数据类别 | 例如：联系信息、财务数据、健康数据 |
| 接收方类别 | 包括第三国或国际组织的接收方 |
| 向第三国或国际组织的数据传输 | 注明目的地国家及所依赖的传输机制（充分性决定、SCCs、BCRs） |
| 保留期限 | 在可能的情况下，注明各类别数据的预计删除时限 |
| 技术和组织安全措施说明 | 在可能的情况下，提供概要说明 |
保留期限（第 30(1)(f) 条）和安全措施（第 30(1)(g) 条）均附有"在可能的情况下"的限定，反映出这些内容并非总能精确定义。请尽可能详尽地记录现有信息所允许的内容。
数据处理者的 ROPA 须包含哪些内容？
第 30(2) 条规定了数据处理者 ROPA 的必填字段：
| 字段 | 备注 |
|---|---|
| 处理者及其代表的每位控制者的姓名和联系方式 | 如适用，填写 DPO 的联系方式 |
| 代表每位控制者开展的各类处理活动 | 记录处理的性质，而非每位控制者处理活动的完整细节 |
| 向第三国或国际组织的数据传输 | 注明目的地国家及所依赖的传输机制 |
| 技术和组织安全措施说明 | 在可能的情况下，提供概要说明 |
什么属于"处理"？
GDPR 第 4(2) 条对"处理"的定义较为宽泛。它涵盖针对个人数据所执行的任何操作，无论是否借助自动化手段，包括：
- 收集、记录、组织、构建和存储
- 调整或修改
- 检索、查询和使用
- 通过传输、传播或其他方式披露或使数据可被获取
- 比对或合并
- 限制、删除或销毁
对个人数据执行的任何上述操作均属于处理，均应考虑纳入 ROPA。
如何构建 ROPA
ROPA 通常以清单形式构建，每项处理活动对应一行或一条记录。一个组织可能有数十项不同的活动：人力资源处理、客户管理、营销、网站分析、欺诈检测等，每项均应作为独立条目记录。
对每个条目，记录第 30 条规定的各项字段内容。如果组织同时担任控制者和处理者（例如，以控制者身份处理本组织员工的数据，以处理者身份处理客户的数据），应将两份记录分开维护。
ROPA 可以电子表格、数据库或专用隐私管理软件的形式维护，格式不作规定。但须以书面形式保存，包括电子形式（第 30(3) 条）。
EEA 及英国以外的数据传输
如将个人数据传输至欧洲经济区（EEA）以外的国家，控制者的 ROPA 须注明目的地国家或国际组织，以及所依赖的传输机制：充分性决定、标准合同条款（SCCs）、约束性公司规则（BCRs）或其他允许的例外情形。
英国 GDPR（脱欧后对在英国注册的组织或处理英国居民数据的组织单独适用）对传输至英国以外的数据规定了相同义务，需使用英国等效机制：英国充分性法规、国际数据传输协议（IDTA）或英国附录（UK Addendum）。
ROPA 与 DPIA
ROPA 与 DPIA 不同。ROPA 是覆盖所有处理活动的全面记录；DPIA 是在高风险处理开始前开展的深度风险评估。ROPA 是识别哪些活动可能需要开展 DPIA 的有效起点：凡涉及大规模处理敏感数据、系统性监控或具有重大影响的用户画像的条目，很可能需要开展 DPIA。
保持 ROPA 的更新
第 30 条要求控制者和处理者在监管机构提出请求时提供 ROPA。ROPA 应在以下情况下更新：
- 新的处理活动启动时
- 现有活动发生变化时（新数据类型、新供应商、新目的、新传输）
- 供应商或系统停用时
- 定期例行审查，至少每年一次
未维护 ROPA 的处罚
未维护 ROPA 或未向监管机构提供 ROPA 属于 GDPR 较低一级的违规行为：最高罚款为 1000 万欧元或全球年营业额的 2%，以较高者为准。监管机构在调查期间通常会要求查阅 ROPA。缺失或不完整的 ROPA 本身即构成对第 30 条的违反，独立于任何其他被审查的违规行为。
其他隐私法律中的 ROPA 要求
| 法律 | 等效要求 | 备注 |
|---|---|---|
| 欧盟 GDPR | ROPA（第 30 条） | 控制者和处理者均须遵守；小型组织豁免很少适用 |
| 英国 GDPR | ROPA（英国 GDPR 第 30 条） | 处理英国居民数据的组织须承担相同义务 |
| 巴西 LGPD | 处理活动记录 | 类似义务；ANPD 指南明确了须包含的内容 |
| 中国《个人信息保护法》（PIPL） | 处理影响评估记录 | 第 55 条要求开展个人信息保护影响评估，相关记录须保存至少三年；与高风险处理场景挂钩，并非独立的 ROPA 式登记制度 |
| 印度 DPDP 法案 | 无直接等效要求 | 适用一般性问责义务；未规定完整的 ROPA 式登记要求 |
UniConsent 如何支持你的 ROPA
对于网站和应用程序上的追踪活动，ROPA 需要反映哪些 Cookie、追踪器和供应商处于活跃状态，以及它们收集哪些数据。UniConsent 提供以下支持：
- Cookie 扫描器识别网站上的 Cookie、像素和 SDK，标注其类别和有效期，为网站分析和广告相关的 ROPA 条目提供所需数据
- 同意横幅在未获得同意的追踪器触发前将其屏蔽，确保 ROPA 所描述的数据流与网站实际发生的情况保持一致
- 供应商列表显示哪些第三方通过你的同意配置接收数据，覆盖 ROPA 中的"接收方类别"字段
- 同意记录提供审计追踪，与 ROPA 共同证明组织的问责义务
常见问题
ROPA 的全称是什么？
ROPA 的全称是 Record of Processing Activities，即数据处理活动记录。它是 GDPR 第 30 条要求的记录，用于记录组织开展的每项处理活动。
所有组织都须维护 ROPA 吗？
第 30(5) 条为人员少于 250 人的组织设置了一项窄幅豁免，但须同时满足三个条件：处理不可能对数据主体造成风险、处理属于偶发性活动，且处理不涉及敏感数据或刑事定罪相关数据。由于大多数组织持续处理员工或客户数据，该豁免很少适用。
ROPA 与 DPIA 有何区别？
ROPA 是第 30 条要求的、涵盖所有处理活动的记录。DPIA 是仅针对高风险处理活动在第 35 条下要求的深度风险评估。ROPA 覆盖全部活动；DPIA 聚焦于符合高风险标准的特定活动。
谁可以要求查阅 ROPA？
你所在司法管辖区的监管机构可随时要求查阅 ROPA。无需主动公开，但须在监管机构提出请求时予以提供。
ROPA 须涵盖所有数据主体吗？
是的。控制者的 ROPA 须为每项处理活动列明数据主体类别，包括员工、客户、网站访客、新闻通讯订阅者以及你处理其个人数据的其他任何群体。
ROPA 应多久更新一次？
每当处理活动发生变化时均须更新：新目的、新数据类型、新供应商、新传输或某项活动终止。至少应每年对整份 ROPA 进行一次全面审查。
延伸阅读
遵守全球隐私法规
开始使您的网站和应用符合欧盟 GDPR、美国 CPRA、加拿大 PIPEDA 等法规
注册掌握隐私与同意管理的最新动态
隐私法规、同意管理与合规动态，每月几封邮件。