詳細解讀 GDPR 的資料保護原則，第三部分：準確度與儲存限制

今年五月是個很有意思的月份。Google 和 Facebook 雙雙面臨 88 億美元的訴訟；Kanye West 宣佈支持 Donald Trump；而幾乎所有人的收件匣都擠滿了「我們已更新隱私權聲明」電子郵件。這一切代表什麼？癥結點是什麼？當然，這意味著我們也必須遵守 GDPR。Kanye 那件事毫不相關，所以不算在內。

一般資料保護規範 (General Data Protection Regulation, GDPR) 自 2018 年 5 月 25 日起正式生效。也就是說，從現在起，全球舉凡需收集歐盟居民個人資料的公司行號，在處理這些個人資料時皆須更加謹慎，必須保障這類資訊的安全與隱私。同時，這也表示現在該繼續探討系列文章「詳細解讀 GDPR 的資料保護原則」了。

在本系列連載文章中，我們將探討這七項資料保護原則、這些原則與 GDPR 之間的關係，以及如何運用這些原則保障貴公司的資料並確實遵守 GDPR 與其他監管準則。

在第一篇文章中，我們介紹了 GDPR 的基本概念，包括何謂 GDPR、GDPR 的重點，以及 GDPR 所影響的對象；此外，我們也探討了資料保護的第一條原則：有權要求公平、合法且公開透明的資料處理流程。不出您所料，我們的第二篇文章已經探討過第二條和第三條原則：目的限制與資料最小化。

所以，現在就接續之前的內容，繼續探討第四條和第五條原則：準確度與儲存限制。

個人資料必須準確無誤

依據 GDPR 的第四條原則，舉凡所收集或處理的個人資料，皆須「準確無誤，且必須酌情保持更新。」GDPR 進一步規定以資料處理目的為前提，「必須在合理範圍內盡一切可能立即刪除或更正不準確的個人資料，不得延誤」。

這究竟是什麼意思？簡而言之：您不能保留無用資料，而且有責任確保資料的準確度與時效性。如果資料不準確或不符合時效，就必須刪除。舉例來說，假設您忙著處理一項政治宣傳活動，而您所用的資料是上一次大選期間得到的資料。第四條原則規定您有責任先確認自己使用的資料準確無誤且符合時效，之後才能將資料寄給選民。

這項規定牽涉到資料當事人更正及刪除資料的權利，而這兩項權利都是 GDPR 的重要條款。依據更正權的規定，個人有權要求更正不正確的資訊，也有權要求補齊不完整的資訊。依據刪除權的規定，個人有權要求刪除其資料，而且您應該及時進行刪除。

GDPR 並未深入規範資料準確度原則。具體而言，這條原則並未確切列舉出何謂「盡一切可能」保障準確度。不過，有一點是肯定的：若不更新或刪除已經過時的無用資料，您有可能會面臨重罰，這就關係到下一條原則。

您必須針對個人資料的儲存設限 (亦即不可保留不再需要的資料！)

我在探討第三條原則時曾經提過，保留一切資料以備不時之需是違反 GDPR 的行為，還記得嗎？規定制訂者太重視這條規定了，所以整份資料保護原則皆以這條規定為準據：即儲存限制原則。

依據這條原則，個人資料「不得以能夠辨別資料當事人身分的形式進行保存，且保存期限不可超過個人資料處理目的所需時間」。若要長時間儲存個人資料，必須證明該項資料「經處理後純粹做為歸檔之用，其目的是以公共利益、科學或歷史研究或統計為準據」。

基本上，就像之前提過的，唯有在依據資料收集目的完成作業所需的期間內，您才能保留資料。資料可用期限也許更長，但您不能繼續持有，也不能將資料重複運用於其他用途 (或將資料出售給他人)。這樣的規定有助於預防諸如 Facebook/Cambridge Analytica 所發生的醜聞，同時這也是 GDPR 所賦予的基本權利。

您必須備妥規定留存期限的政策，以及該項政策的文件記錄規定 (為進行法遵稽查所需)，才算遵守這項原則。此外，您還要經常檢查已經過時的資料，適時刪除已經不再需要的資料。

管理式檔案傳輸對於企業遵守規定的助益

如前所述，若貴公司需收集、儲存、處理或傳輸歐盟居民的個人資料，就必須遵守一般資料保護規範 (GDPR)。有鑑於此，最佳做法就是保證個人資料傳輸流程所用的系統、使用者驗證及加密技術全數安全無虞且遵守 GDPR。 

像 MOVEit 如此可靠的管理式檔案傳輸解決方案，能夠透過許多方式協助貴公司遵守 GDPR。 

MOVEit 可以讓您運用自動的檔案完整性檢查流程，以利證明檔案未經竄改，避免出現嚴重錯誤而導致資料不準確。

同理可證，您可以運用 MOVEit 的內建排程工具安排一般資料傳輸前及傳輸後作業，例如確認資料的準確度和效力，以及檢查並遵守留存期間。

MOVEit 安全管理式檔案傳輸也具備傳輸及閒置資料加密功能，不但能與既有資安系統整合，也能提供詳細的檔案傳輸活動記錄。

歡迎參閱下列資源，進一步瞭解 GDPR 及其象徵含義。

遵守 GDPR 的七個步驟(英文)

檔案傳輸與 GDPR(英文)

英國脫歐與 GDPR(英文)

金融服務資料傳輸與 GDPR(英文)

另請觀看這部快速簡介七項資料原則的影片