[3-2024]获取 100% 真实免费 BCS 执业者 PDP9 样本问题 [Q18-Q41]

说明
存储限制是英国 GDPR 规定的数据保护原则之一。这意味着，个人数据的保存形式不应使其识别数据主体的时间超过数据处理目的所需的时间。英国 GDPR 并未针对不同类型的数据规定任何固定的时间限制，而是要求数据控制者在考虑数据处理的性质、范围、背景和目的，数据主体的权利和自由所面临的风险，以及数据控制者的法律义务和期望等因素后，确定其处理活动的适当保留期限，并说明理由。数据控制者还应制定政策，尽可能规定标准保留期，并定期审查所持有的数据，确保在不再需要时将其删除或匿名化。如果数据控制者不再有保存数据的合法依据或合法利益，数据主体有权要求删除其个人数据。英国 GDPR 允许存储限制原则有一些例外情况，例如，个人数据的处理仅用于符合公共利益的存档目的、科学或历史研究目的，或统计目的，但必须对数据主体的权利和自由采取适当的保障措施。参考资料
* 英国《个人信息处理条例》第 5(1)(e)和(2)条4
* 英国《个人信息保护条例》第 175 条
* 英国《个人信息保护条例》第 896 条
* ICO 数据保护指南，存储限制7

说明
英国 GDPR 第 4(25)条将信息社会服务 (ISS) 定义为 "通常有偿提供的任何服务，以电子方式远距离提供，并应服务接受者的个人要求"。这意味着 ISS 是指由用户或其他收入来源（如广告或赞助）支付费用的在线服务，这些服务是在双方不在场的情况下，使用电子设备传输和接收数据，并根据用户的要求提供的。
ISS 的例子包括应用程序、程序、网站、搜索引擎、社交媒体平台、在线市场、内容流服务、在线游戏以及通过互联网向用户提供商品或服务的任何其他在线服务。因此，选项 A、B 和 C 是 ISS 的正确示例，因为它们符合定义的标准。然而，选项 D 不是正确的 ISS 例子，因为它不涉及服务提供者的任何报酬。根据英国 GDPR，非营利或政府组织提供的无报酬信息服务不被视为 ISS，除非它们与市场上的其他 ISS 竞争。参考资料：
* 英国《个人信息保护条例》第 4(25)条4
* 本代码涵盖的服务5

说明
英国 GDPR 和《2018 年数据保护法》规定，对于违反数据保护原则、数据主体权利或向第三国转移个人数据规则的行为，最高可处以 1750 万英镑或全球年营业额 4% 的罚款，以较高者为准。这是适用于英国 GDPR 最严重违规行为的较高最高处罚。暴露十万公众详细信息的安全漏洞很可能属于这一类，因为它将损害个人数据的保密性和完整性，并可能对数据主体造成重大伤害和困扰。因此，英国公共机构因这一违规行为可能收到的最高罚款为 1750 万英镑或 4% 的年度总营业额，以较高者为准。参考资料
* 处罚3
* GDPR 处罚和罚款4
* GDPR 实施三年：迄今为止最大的罚款5

说明
DPIA 不需要满足向 ICO 提交所有 DPIA 的要求，因为这不是 GDPR 的要求。GDPR 只要求控制者在进行可能对个人造成高风险的处理之前，如果不能降低风险，则应咨询 ICO。这意味着并非所有的 DPIA 都需要提交给 ICO，只有那些确定了无法降低的高残余风险的 DPIA 才需要提交。其他选项也是进行 DPIA 的有效目的，因为它们有助于控制者遵守 GDPR，确保在设计和默认情况下保护数据，并识别和降低对个人权利和自由的主要风险。参考资料
* 《个人数据保护条例》第 35 和 36 条3
* ICO 关于 DPIA 的指导5

说明
根据 GDPR，当个人数据被提供给欧盟和欧洲经济区以外的人时，即发生了向第三国或国际组织的个人数据传输，无论数据是否被实际发送。因此，中国企业访问包含法国公司客户个人数据的平台和数据库的事实，构成了向中国的个人数据传输，根据 GDPR，中国是第三国。法国公司作为个人数据的控制者，必须确保转让符合 GDPR 的要求，并确保个人数据的保护水平不被削弱。这意味着法国公司必须确定并实施适当的转移机制，如充分性决定、适当的保障措施，或 GDPR 第五章规定的针对特定情况的减损措施。数据处理协议虽然对确定控制者和处理者的角色和责任很有必要，但不足以确保转移的合法性，因为它不能提供与 GDPR 相同的保障。中国不是欧盟委员会认可的为个人数据提供充分保护的国家，因此该法国公司也不能依靠充分性决定。参考资料
* 《保护所有人免遭强迫失踪国际公约》第 44 条1
* ICO 国际转账指南2

说明
私人生活权是一项受英国法律保护的基本人权。欧洲人权公约》（ECHR）第 8 条已通过《人权法》纳入英国法律。
1998 年《世界人权宣言》规定，"人人有权享有其私人和家庭生活、住宅和通信受到尊重的权利"。这项权利适用于所有个人，无论其地位、职业或公众形象如何。
私人生活权包括个人身份、个人关系、身心健康、个人资料和通信等方面。然而，这项权利并不是绝对的，在某些情况下，例如为了保护国家安全、公共安全、健康、道德或他人的权利和自由，国家或其他方面可以限制或干涉这项权利。参考资料
* 欧洲人权公约》第 8 条1
* 1998 年《人权法》2
* ICO 数据保护指南3

说明
英国 GDPR 第 57(1)(f)条要求监管机构（英国的 ICO）处理数据当事人提出的投诉，调查投诉事项，并将调查的进展和结果告知投诉人。如果投诉涉及跨境处理，它还要求监管机构与其他监管机构合作。但是，它并不要求监督机构在投诉人和被投诉的控制者或处理者之间进行调解，以解决投诉。根据英国 GDPR，这并不是监管机构的任务，尽管在某些情况下有可能作为实现友好解决的一种方式。参考资料
:
* 英国《个人信息保护条例》第 57(1)(f)条1
* ICO 和投诉2

说明
根据英国 GDPR 第 37 条，公共机关或公共机构必须任命一名数据保护官 (DPO)，除非它是以司法身份行事的法院。这是公共当局或公共机构免除任命 DPO 义务的唯一例外情况。问题中列出的其他情况，如处理大量个人数据、处理特殊类别数据或被 2018 年《数据保护法》定义为公共机构，并不能免除公共机关或公共机构任命 DPO 的义务。
参考资料
* 英国《个人信息保护条例》第 37 条2
* 数据保护官员 | ICO2

说明
1984 年数据保护法》首次将数据保护权利引入英国法律，该法的颁布是为了执行 1981 年《欧洲委员会关于在个人数据自动处理方面保护个人的公约》。1984 年数据保护法》为数据用户处理个人数据制定了一系列原则，如征得同意、确保准确性和限制保留。
它还建立了一个数据用户注册系统和一个数据保护注册官（后更名为信息专员）来监督和执行法律。1984 年《数据保护法》被 1998 年《数据保护法》取代，后者将 1995 年欧盟《数据保护指令》纳入英国法律，并将数据保护的范围扩大到个人数据的人工处理和自动化处理。2018 年《数据保护法》进一步修订了 1998 年《数据保护法》，将欧盟《通用数据保护条例》（GDPR）和《执法指令》纳入英国法律，并对国家安全、移民和新闻等特定处理情况做出了规定。
参考资料
* 1984 年《数据保护法》4
* 欧洲委员会第 1085 号公约
* 1998 年《数据保护法》6
* 2018 年《数据保护法》7

说明
2018 年数据保护法》（DPA 2018）规定，作为提供或提议提供商品、设施或服务的条件，或作为签订或继续履行合同的条件，某人要求另一人提出主体访问请求，以获取有关其健康、定罪或警告或已失效定罪的信息，并将该信息提供给第一人或第三人，即构成刑事犯罪。这就是所谓的强制主体信息获取申请。在这种情况下，雇主向个人提供工作的条件是要求其提供医疗记录副本并将其提供给雇主，这就构成了刑事犯罪。雇主还违反了合法、公平、透明、目的限制、数据最小化和存储限制等数据保护原则，因为他们在处理健康数据（属于特殊类别的个人数据）时没有有效的法律依据，没有告知个人处理的目的和法律依据，也没有将处理限制在雇佣关系所必需和相关的范围内。相反，雇主应征得个人的明确同意，直接向相关医疗专业人员索取健康信息，并且只索取对保安员的特定职责而言必要且相称的信息。参考资料
:
* 数据保护法》第 184 条 20183
* ICO 关于强制主体访问请求的指导4
* ICO 关于特殊类别数据的指导5

说明
隐私与电子通信条例》（PECR）是一套规范出于营销目的使用电话、短信、电子邮件和传真等电子通信的规则。其中一项规则是，对于已在电话优先服务（TPS）中登记电话号码的个人，除非他们事先同意接收来自该组织的此类电话，否则组织不得在未经请求的情况下拨打营销电话。TPS 是一项免费服务，允许个人选择不接收任何营销电话。法律要求各组织在拨打任何营销电话之前必须检查 TPS，并尊重在 TPS 上登记的个人的偏好。如果组织未能遵守这一规定，则可能面临信息专员办公室 (ICO) 的执法行动，ICO 是英国的数据保护机构，也是 PECR 的监管机构。参考资料
* 电话优先选择服务
* 营销电话
* 执法行动

说明
在超市录制的闭路电视图像属于个人资料，因为这些图像可以通过活人的外貌、衣着、配饰或其他显著特征直接或间接地识别活人的身份。
GDPR 第 4(1)条将个人数据定义为 "与已识别或可识别的自然人有关的任何信息"。GDPR 适用于通过自动方式（如闭路电视摄像机）或通过构成档案系统一部分的非自动方式（如纸质记录）处理个人数据。其他选项不正确的原因是
* 闭路电视图像不属于特殊类别数据，因为它们不显示《个人资料与隐私权公 约》第 9(1)条所列的任何敏感信息，如种族或民族血统、政治观点、宗教或哲学信 仰、工会会员身份、健康状况、性生活或性取向，或生物特征或基因数据。
根据 GDPR，特殊类别数据须遵守更严格的条件和保障措施，因为它对个人的权利和自由构成了更高的风险。
* 根据《个人数据保护条例》的定义，闭路电视图像不属于生物识别数据。GDPR 第 4(14)条将生物识别数据定义为 "通过与自然人的身体、生理或行为特征有关的特定技术处理而产生的个人数据，这些数据允许或确认该自然人的独特身份，如面部图像或触觉数据"。闭路电视图像不是特定技术处理的结果，也不允许或确认对自然人的独特识别，除非它们与其他数据或识别符结合在一起。
* GDPR 不仅适用于闭路电视图像附有文字或其他标识符的情况。GDPR 适用于与已识别或可识别的自然人有关的任何信息，无论是否附有文字或其他识别符。即使闭路电视图像不包含任何文字或其他标识符，只要有可能将该人单独列出或与其他数据或因素联系起来，闭路电视图像也可能与可识别的自然人有关。参考资料：
* 《个人信息保护条例》第 4(1)条1
* GDPR，第 2(1)条2
* GDPR，第 9(1)条3
* GDPR，第 4(14)条4

说明
如果投诉人不同意英国监管机构（即信息专员办公室 (ICO)）的决定，他们有权向一级法庭（信息权）提出上诉。
仲裁庭是一个独立机构，可以审查 ICO 的决定，并维持、更改或取消该决定。仲裁庭还可以指示 ICO 采取某些行动，如发出决定通知或执行通知。上诉必须在收到 ICO 决定的 28 天内提出，使用上诉通知表并提供相关文件和上诉理由。然后，仲裁庭将通知 ICO 和申诉人有关上诉和处理上诉的程序。仲裁庭可以举行听证会，审查双方的证据和论据，也可以仅根据书面意见作出裁决。仲裁庭将下达书面裁决，该裁决将发送给双方当事人，并在仲裁庭网站上公布。经一级法庭或高级法庭允许，可就法律问题向高级法庭进一步上诉。参考资料
* 信息权和数据保护：向信息专员提出上诉1
* 上诉通知表2
* 一级法庭（信息权）网站3

说明
英国 GDPR 第 30 条3 要求控制者和处理者都必须保存其处理活动的记录，除非在某些条件下可 以豁免。记录必须包含以下信息，其中包括
* 控制者或处理者以及任何联合控制者、代表或数据保护官员的姓名和联系方式；
* 处理的目的；
* 数据主体和个人数据的类别；
* 已经或将要披露个人资料的接收者类别，包括第三国或国际组织的接收者；
* 在适用情况下，将个人数据传输到第三国或国际组织，包括确定该第三国或国际组织，并记录适当的保障措施；
* 在可能的情况下，规定删除各类数据的时限；
* 在可能的情况下，对技术和组织安全措施进行一般性说明。
记录必须是书面形式，包括电子形式，并且必须应要求提供给 ICO。记录不需要包含监管机构的详细联系信息，因为第 30 条对此没有规定。记录也不需要在每次 DPIA 之后提交给 ICO，因为第 35 条并没有要求这样做，第 35 条仅规定，如果 DPIA 表明，在控制者未采取措施降低风险的情况下，处理会导致高风险，则控制者有义务在处理前咨询 ICO。参考资料
* 英国《个人信息保护条例》第 30 条3
* 英国《个人信息保护条例》第 35 条4

说明
透明度原则要求对个人数据的任何处理对数据主体都是公平、合法和透明的。这意味着数据主体应被告知数据处理的存在、性质、目的和后果，以及他们对自己数据的权利和选择。透明度对于确保数据处理的责任、信任和合规性至关重要。然而，人工智能的使用可能会给透明度原则带来挑战，因为人工智能可能会导致隐形处理，数据主体并不知道它的存在，也不知道处理的逻辑、意义和影响。例如，人工智能可在数据主体不知情或未经其同意的情况下，用于剖析、推断、预测或影响数据主体的行为、偏好、兴趣、情感或个性。人工智能还可用于做出影响数据主体的自动决策，如信用评分、招聘、健康诊断或社会福利，而不提供有意义的解释或人工干预的机会。因此，在人工智能参与处理数据时，必须确保数据主体知情并获得授权，确保他们可以行使自己的权利，如访问、纠正、反对、限制、删除或移植其数据的权利，或质疑或反驳自动化决定的权利56。参考文献：
* 人工智能和数据保护指南5
* 解释使用人工智能作出的决定6

说明
英国 GDPR 第 33 条要求控制者在不无故拖延的情况下将个人数据外泄事件通知监管机构，在可行的情况下，不得迟于知悉该事件后 72 小时，除非该个人数据外泄事件不太可能对自然人的权利和自由造成风险。这意味着，并非所有个人数据泄露事件都需要向监管机构报告，只有那些对个人构成风险的事件才需要报告。应根据对个人的潜在负面影响来评估风险，如歧视、身份盗用、欺诈、经济损失、名誉受损、失密或任何其他重大经济或社会不利因素。英国 GDPR 还要求控制者在个人数据外泄可能对受影响的数据主体的权利和自由造成高风险时，应立即将外泄情况告知受影响的数据主体，不得无故拖延。其他选项不正确的原因是
* 英国 GDPR 并不要求向监管机构报告所有个人数据违规事件，只要求报告那些对个人构成风险的事件。但是，作为责任义务的一部分，控制者必须记录所有个人数据违规事件，无论是否上报。
* 在报告个人数据泄露时，英国 GDPR 没有区分个人数据和特殊类别数据。特殊类别数据是一种显示种族或民族血统、政治观点、宗教或哲学信仰或工会会员身份的个人数据，或涉及健康、性生活或性取向的个人数据，或用于唯一识别自然人身份的生物识别或遗传数据。根据英国 GDPR，特殊类别数据的处理须遵守更严格的条件和保障措施，但涉及此类数据的个人数据泄露报告须遵守与任何其他个人数据泄露相同的标准，即对个人的风险。
* 英国 GDPR 没有规定基于控制者的表达自由权而免于报告个人数据泄露。表达自由权是一项基本权利，受到英国 GDPR 的认可和保护，但这并不是一项凌驾于数据主体权利和自由之上的绝对权利。英国 GDPR 允许成员国对出于新闻目的或学术、艺术或文学表达目的而进行的个人数据处理，规定英国 GDPR 某些条款的豁免或克减，只要这种豁免或克减是协调个人数据保护权与表达和信息自由权所必需的。不过，除非成员国法律另有规定，这些豁免或减损不适用于向监管机构报告个人数据泄露情况的义务。参考资料
* 英国《个人信息保护条例》第 334 条
* 英国《个人信息保护条例》第 34 条
* 英国《个人信息保护条例》第 9 条
* 英国《个人信息保护条例》第 85 条