隱私
進行資料保護影響評估
盤點擬議的高風險資料用途，檢視必要性與比例性，並在上線前改設計以降低對人的風險。
流程
照這個順序做。
- 及早篩選專案，判定是否需要或宜做 DPIA，並記錄理由。
- 描述處理目的、脈絡、資料主體、資料元素、來源、收件人、地點、技術、頻率、保留與端到端資料流。
- 適時諮詢相關產品、安全、法務、隱私、營運、處理者與代表性利害關係人觀點。
- 評估必要性與比例性，含合法依據、目的限制、最小化、正確性、透明度、個人權利、保留與處理者安排。
- 辨識對人的可信傷害，並用書面方法評估可能性與嚴重程度。
- 選擇避免、降低、轉移或接受各風險的措施；指定負責人、日期與剩餘風險評級。
- 處理開始前取得必要隱私或領導核准，法律要求時諮詢監管，並在處理或風險變更時檢視 DPIA。
先準備
貓會向你要的輸入。
- 專案目的與擬處理
- 資料盤點與流程圖
- 涉及國家、人員、供應商與保留
- 適用隱私規則與組織風險方法
路由器 + 一份 playbook
先路由。只選一份。
Cat Paw 每次任務只載入一份 playbook，不合併多份。先走這個路由器；其餘路徑是此 workflow 可檢查的候選。
- 路由器：
cybersecurity-pack skills/cybersecurity-skills/performing-privacy-impact-assessment/SKILL.mdskills/cybersecurity-skills/implementing-gdpr-data-protection-controls/SKILL.md
界線
界線跟著提示一起走。
- 不要把此流程當成合格法律或資料保護建議的替代。
- 高風險處理開始前完成評估，並經法律要求路徑升級高剩餘風險。
- 減少評估成品中的個人資料，並限制其存取。
完成代表
一個可核對的終點。
核准的 DPIA 在上線前記錄處理、諮詢、必要性、風險、緩解、剩餘風險決策、行動負責人與檢視觸發。
來源
這個流程從哪來。
- ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/accountability-and-governance/data-protection-impact-assessments-dpias/how-do-we-do-a-dpia/
- www.nist.gov/privacy-framework
來源確立 workflow 的模式。若有 Reddit 或社群貼文，視為實務軼事，不是普遍事實。
