BfDI德国：如何遵守德国数据保护当局——技术实施指南

为什么德国GDPR执行比其他欧盟国家更严格

BfDI（德国联邦数据保护和信息自由专员）是欧盟中最活跃的数据保护当局之一。

在2024年：

• 德国提交：27,829份GDPR违规通知
• 欧盟平均值：9,400份（各DPA）
• 德国的执行是欧盟平均值的3倍

原因是什么？

GDPR第32条："控制人和处理人应通过应用适当的技术和组织措施来保保护...个人数据。"

BfDI将此解释为对"适当的"技术控制的严格执行，而不仅仅是存在任何控制。

BfDI的立场是：如果您处理个人数据，您必须部署具体的技术控制，并能够证明它们已被部署。政策和承诺是不够的。

BfDI审计的关键要求

BfDI与其他DPA不同，因为它进行详细的技术审计。当调查数据泄露或投诉时，BfDI调查员会问：

1. PII检测

"您使用了什么技术来检测个人数据？"

BfDI期望具体的答案："我们使用Presidio检测PII，配置为识别X个体类型，阈值为Y%。"

"我们有一个政策" 不是答案。

2. 检测验证

"您如何验证检测有效？"

BfDI期望审计证据："我们运行定期测试，使用包含已知PII的样本文件，验证检测速率为99.2%。"

3. 审计日志

"显示所有检测到的PII和处理方式的日志。"

BfDI不接受汇总报告。他们想看到逐个事件的日志：何时检测、检测了什么、如何处理。

4. 配置管理

"您的检测配置是什么时候部署的？已更改吗？"

BfDI想看到变更管理文件——配置的版本历史、部署日期、批准。

5. 员工培训

"您的员工如何被培训处理检测到的PII？"

BfDI想看到培训记录、材料和签名文件。

BfDI遵守：实际步骤

步骤1：实施一致的PII检测

BfDI期望所有个人数据的同一检测工具。选择一个涵盖以下内容的工具：

• 姓名
• 电子邮件地址
• 电话号码
• 地址
• 身份证号（Personalausweis）
• 税号（Steuer-Identifikationsnummer）
• 驾驶执照号
• 护照号
• 特殊类别数据（种族、民族、政治观点、宗教、工会、遗传、生物识别、健康、性生活）

步骤2：部署和验证

将检测工具部署到所有处理个人数据的位置：

• 所有员工工作站（Word加载项、浏览器扩展）
• 所有文件共享系统（SharePoint、OneDrive网关）
• 所有电子邮件系统（电子邮件网关）
• 所有数据库和数据仓库

BfDI期望部署文件——日期、版本号、受影响的用户数量。

步骤3：建立基线检测有效性

创建测试数据集，其中包含您组织中常见的真实PII类型。在所有检测点运行它。

记录结果：

• 运行日期
• 测试数据集（脱敏，但有记录）
• 检测到的PII数量
• 误报率

BfDI期望这个基线作为"我们的检测有效"的证据。

步骤4：实施审计日志

使用具有详细日志的PII检测工具。日志应包含：

• 时间戳（精确到秒）
• 用户ID
• 检测到的PII类型
• 置信度分数
• 采取的行动（标记、匿名化、拒绝等）

BfDI会查询日志："2024年1月5日，有多少次PII检测事件？"您应该能够立即检索答案。

步骤5：配置管理和变更日志

维护检测配置的版本历史：

• v1.0：2024年1月15日，部署，检查的10个实体类型
• v1.1：2024年3月22日，更新，添加了驾驶执照识别，由X批准
• v1.2：2024年9月10日，更新，增加了置信度阈值，由Y批准

BfDI会问："为什么在2024年3月改变了配置？"您需要解释原因。

步骤6：员工培训文件

BfDI会要求证明员工已培训PII检测工具和政策。维护：

• 培训课程材料
• 参与者签名
• 培训日期
• 培训主题

步骤7：定期有效性验证

BfDI期望定期测试证明您的检测工具继续有效。至少每季度运行测试：

• 创建包含已知PII的测试数据集
• 运行通过所有检测点
• 记录检测率（应该>95%）
• 记录任何改变或调查失败的原因

德国特定的PII类型和法律关联

BfDI对以下类型的特别重视特别严格：

身份证号（Personalausweis）

• 法律依据：GDPR将其分类为个人数据
• BfDI立场：必须始终与其他标识符分离
• 技术要求：身份证号应单独加密，密钥与其他数据分离

税号（Steuer-Identifikationsnummer）

• 法律依据：德国税法要求严格的机密性
• BfDI立场：必须最小化存储，必须与其他数据分离
• 技术要求：税号应仅被授权用户访问，所有访问必须记录

社会保险号（Sozialversicherungsnummer）

• 法律依据：GDPR和德国社会法典
• BfDI立场：特别敏感，应用与医疗数据相同的保护
• 技术要求：社会保险号应加密，分离存储

特殊类别数据

• 宗教信仰：工会成员列表，政治捐献记录
• BfDI立场：应在法律允许的范围内最小化存储
• 技术要求：额外的访问控制，审计日志，加密

避免BfDI审查的常见错误

错误1：声称一个政策而没有技术验证

"我们有PII检测政策。"——不足够。

BfDI会问："您使用了哪个工具？它何时部署？部署在哪里？"

修复：实施一个具体的工具，文件化部署，建立审计日志。

错误2：部署工具但不验证有效性

"我们安装了PII检测软件。"——不足够。

BfDI会问："它有效吗？您如何验证？"

修复：建立测试过程，定期验证有效性，维护检测测试日志。

错误3：有审计日志但没有访问控制

"我们记录了所有PII检测。"——部分足够。

BfDI会问："谁可以访问这些日志？日志本身受到保护吗？"

修复：限制对审计日志的访问，对日志本身进行加密，维护日志访问日志（日志的日志）。

错误4：一致的PII检测，但在某些应用中禁用

"我们对大多数系统使用PII检测，但不是对这个遗留系统。"——风险。

BfDI会问："那个遗留系统处理什么样的个人数据？您对该数据使用什么技术控制？"

修复：要么为遗留系统添加PII检测，要么清晰文件化您正在处理那里的个人数据类型，使用补偿性控制。

错误5：工具配置不一致

"我们在Office中使用PII检测，在Chrome中不同配置。"——不一致。

BfDI会问："为什么不同的应用有不同的配置？您如何确保一致的覆盖范围？"

修复：对所有应用使用相同的配置。如果系统施加限制，文件化它们并实施补偿控制。

BfDI审计准备检查表

• 确定您处理的所有个人数据类型
• 选择覆盖所有这些类型的PII检测工具
• 部署工具到所有处理个人数据的位置
• 创建基线有效性测试和结果文件
• 配置详细的审计日志
• 创建配置版本历史和变更日志
• 创建员工培训文件和签署
• 建立定期验证过程（至少每季度）
• 限制对审计日志的访问
• 文件化任何例外或禁用的控制及其补偿措施

底线

BfDI是欧盟最严格的数据保护当局之一。它期望具体的技术控制，不是政策或承诺。

GDPR遵守不是文件驱动的；它是技术驱动的。如果您处理个人数据，您需要：

1. 一个具体的PII检测工具
2. 部署证明
3. 有效性验证
4. 详细的审计日志
5. 配置管理
6. 员工培训
7. 定期测试

这不是可选的。BfDI期望这个。

来源：

• BfDI（德国联邦数据保护和信息自由专员）
• BfDI GDPR执行指南
• GDPR第32条