【隐私保护合规】Data Mapping 数据映射

什么是数据映射？

数据映射是指组织必须成功跟踪和集成其控制下的各种数据元素的基本过程。正确执行的数据映射可确保组织对所管理的数据、数据存储和处理的方式和位置以及为保护敏感材料和满足GDPR合规性而实施的各种保障措施有清晰的了解。

尽管有实现这一点的常用方法和最佳实践，但以跨多个通道集成数据为最终目标而执行的任何数量的活动都可以称为数据映射。

数据映射过程

为了有效地映射数据，一个组织将开发一个与所管理的数据唯一的系统，这通常是通过自动化过程建立的，以最大限度地减少人为错误的可能性。在大多数情况下，这是通过使用复杂的软件来实现的，随着组织需求的变化，这些软件可能会被重新设计或替换，并跟上快速的技术进步。

有效的数据映射实践应该为整个组织中流动的大量数据的管理提供一个全面、可访问的图景。例如，通过数据映射，组织通常旨在随时向以下人员说明其与任何给定数据元素的关系：

• 正在处理什么？
• 它是如何分类的？
• 格式是什么？
• 它要去哪里？
• 为什么要去那里？
• 它从哪里来的？
• 处理它的法律依据是什么？

此外，在涉及敏感和/或个人数据的情况下，能够确定谁负责任何特定任务，以及谁有权访问组织内的每个数据元素，通常对于保持共谋和问责制至关重要。更一般地说，数据映射应允许对所有数据和处理进行一致和可靠的解释。

GDPR合规性

除了是防止导致敏感信息管理不善的错误的最佳方法外，保持准确和最新的数据映射是任何组织的强制性做法，以满足GDPR合规性。信息专员办公室描述了保护个人数据的数据映射工作，并建议定期进行信息审计，以证明a）所有个人数据均已适当分类，并在整个组织内安全流动；b） 所有记录均为最新记录，所有职责均已明确分配；c） 所有员工都能可靠地了解所有相关渠道的数据处理方式。

与数据映射相关的一些常见挑战涉及准确识别个人数据、理解监管义务，以及使用必要的技术防止被盗和数据损坏。

资源

Information Commissioner’s Office - https://ico.org.uk/for-organisations/accountability-framework/records-of-processing-and-lawful-basis/data-mapping/