GDPR：对数据完整性有哪些要求，以及如何证明
简要回答
GDPR 自 2018 年 5 月起适用于整个欧盟。它要求以适当的安全方式处理个人数据（第 5(1)(f) 条），采取适当的技术措施以确保数据完整性（第 32 条），并在 72 小时内通报数据泄露（第 33 条）。ROOTKey 帮助证明个人数据的完整性、真实性与可追溯性：隐私设计、不可篡改的处理记录，以及附带加密证据的数据泄露通报。
- 最高罚款
- €20M或全球年营业额的 4%
- 通报时限
- 72 小时在发现个人数据泄露后
- 数据主体权利
- 8访问、更正、删除等
- 生效时间
- 2018 年 5 月适用于整个欧盟
逐条解读：要求与证明
GDPR 第 5(1)(f) 条要求以适当的安全方式处理个人数据。第 32 条要求采取适当的技术措施以确保数据完整性。第 33 条要求在 72 小时内通报数据泄露。以下是每项要求与 ROOTKey 的对应关系。
| 条款 | 要求 | ROOTKey | 状态 |
|---|---|---|---|
| 5(1)(f)完整性与保密性 | 处理个人数据时，必须确保其安全，包括防止未经授权的处理以及意外丢失。 | 每一项数据都获得不可篡改的加密证明。任何未经授权的更改都能被即时检测，实现实时可验证的完整性。 | 已覆盖 |
| 25数据保护始于设计 | 从系统设计之初，就应采取适当的技术措施，以落实数据保护原则。 | 加密验证原生内置于整个平台，隐私融入架构之中，而不是事后附加。 | 已覆盖 |
| 30处理活动记录 | 对所有个人数据处理活动保留书面记录，包括目的、类别和保存期限。 | 所有处理操作的不可篡改记录，每个版本均有可验证的哈希，形成无法事后更改的可审计历史。 | 已覆盖 |
| 32处理的安全性 | GDPR 第 32 条要求采取适当的技术措施以确保数据完整性。 | ROOTKey 提供持续的完整性验证和不可篡改的审计追踪，可用以证明已满足这一要求。 | 已覆盖 |
| 33数据泄露通报 | 在获悉个人数据泄露后 72 小时内通知监管机构，除非该泄露不太可能造成风险。 | 带不可篡改时间戳的日志与结构化导出：可验证的泄露发现时刻证据，数分钟内即可用于通报。报告会指明发生了什么变化、由谁、何时以及在何处。 | 已覆盖 |
| 35影响评估（DPIA） | 在开展可能对数据主体权利造成高风险的处理之前，先进行影响评估。 | 对所有已实施的缓解措施进行不可篡改的记录，并附带其实施时间的加密证明，为 DPIA 提供有力支撑。 | 已覆盖 |
第 17 条（删除权）：部分覆盖。
五分钟了解 GDPR
用通俗的语言讲解该法规:具体要求、罚款,以及数据完整性在其中的位置。
我们的 YouTube 频道中的 Compliance 播放列表以同样的形式讲解 NIS2、DORA 和 GDPR。
ROOTKey 如何融入：建立在您的基础设施之上，而不是取而代之
ROOTKey 不会取代现有系统。它通过 API 增加一层加密验证，无需迁移，没有供应商锁定。
- 可验证的数据完整性
- 每条个人数据都会获得独立的加密证明；审计人员无需访问内容即可完成验证。
- 不可篡改的处理记录
- 可审计的处理操作历史，每个版本均附带加密数字指纹。
- 带时间戳的通报
- 不可篡改的发现时刻时间戳，便于在 72 小时内凭证据向监管机构通报。
任意文件，同样的证据
PDF、图片、Word、Excel、PowerPoint、数据表和数据库：无论何种文件，ROOTKey 都会将其与已封存的原件比对，只显示被改动的部分。
- 部署方式
- SaaS · 私有云 · On-premise
- 连接器
- SharePoint · OneDrive · Amazon S3 · Cloudflare R2 · 数据表与数据库 · REST API 与 Webhook
集成：数日内上线，而非数月
有文档的 REST API 与 Webhook、专属的企业级支持。ROOTKey 适配您的基础设施，而不是反过来。
API 集成
提供文档完备的 REST API 与 Webhook。数日内即可投入运行，无需替换现有基础设施。
自动生成证明
每次处理操作都会生成不可篡改、可审计的加密证明，运营投入极低。
即时报告
实时合规看板，数秒内即可导出面向监管机构的证据。
常见问题
ROOTKey 如何支持 GDPR 第 5 条的数据完整性要求？
GDPR 第 5(1)(f) 条要求以适当的安全方式处理个人数据。ROOTKey 的加密哈希锚定可以证明个人数据在处理之后是否被修改或篡改。
ROOTKey 对 GDPR 第 32 条有帮助吗？
有。GDPR 第 32 条要求采取适当的技术措施以确保数据完整性。ROOTKey 提供持续的完整性验证和不可篡改的审计追踪，可用以证明已满足这一要求。
ROOTKey 如何支持 GDPR 第 33 条的数据泄露通报？
第 33 条要求在 72 小时内通报数据泄露。ROOTKey 的篡改检测告警会提供完整性遭到破坏的精确时间戳，为准确通报提供所需的证据。
使用 ROOTKey 是否构成 GDPR 意义上的数据处理？
这取决于部署模式。在 SaaS 平台上，ROOTKey 在欧盟托管受保护的数据，并依据数据处理协议担任处理者。在数据保留于您自身基础设施的定制部署中，ROOTKey 仅处理数字指纹和元数据，从不处理文件本身。数字指纹是单向的，不包含数据本身；但根据 GDPR，个人数据的数字指纹仍可能被视为假名化的个人数据，因此应在您的处理活动记录和数据处理协议中涵盖 ROOTKey 的角色。建议由您的法务团队确认适用于您情形的角色。