給我一個關於GDPR的參考文獻, 告訴我GDPR如何幫助保護個人資料.
Context:一般資料保護條例 (2016/679,簡稱"GDPR") 是歐盟法律中的關於歐盟和歐洲經濟區 (EEA) 資料保護和隱私的條例. GDPR是歐盟隱私法和人權法的重要組成部分,特別是歐盟基本權利憲章第8條第1款. 它還涉及個人資料在歐盟和歐洲經濟區以外的轉移. GDPR的主要目標是加強個人對個人資料的控制和權利,並簡化國際業務的監管環境. 該條例取代了資料保護指令95/46 /EC,包含了與位於歐洲經濟區的個人個人資料處理相關的規定和要求,並適用於任何在歐洲經濟區內處理個人個人資訊的企業,無論其所在地和資料主體的國籍或居住地. 該GDPR於2016年4月14日通過,並於2018年5月25日起生效. 由於GDPR是一個法規,而不是指令,它具有直接約束力和適用性,併為各個成員國調整該法規的某些方面提供靈活性.  根據歐盟委員會",個人資料是與已識別或可識別個人有關的資訊. 如果您無法從這些資訊中直接識別個人,那麼您需要考慮該個人是否仍然可以識別. 您應該考慮您正在處理的資訊以及您或任何其他人合理可能使用的方法來識別該個人. "個人資料"",處理"",資料主體"",控制者"和"處理者"等術語的確切定義在該條例的第4條中列明.  這些原則 個人資料不得被處理,除非有至少一個法律依據. 第六條規定合法目的是:  (a) 如果資料主體同意處理其個人資料; (b) 履行與資料主體的合同義務,或根據正在簽訂合同的資料主體的要求執行任務; (c) 遵守資料控制者的法律義務; (d) 保護資料主體或其他個人的重要利益; (e) 履行公共利益或官方權威的任務; (f) 為了資料控制者或第三方的合法利益,除非這些利益被資料主體的利益或根據"基本權利憲章"的權利所取代 (特別是在兒童的情況下).  個人資料的安全 個人資料的控制者和處理者必須採取適當的技術和組織措施來執行資料保護原則. 處理個人資料的業務流程必須考慮到這些原則,並提供保護資料的保障措施 (例如,酌情使用偽名化或完全匿名化). 資料控制者必須在設計資訊系統時考慮到隱私. 例如,預設使用儘可能高的隱私設定,這樣資料集預設不會公開可用,無法用於識別受試者. 個人資料只能根據法規規定的六個合法依據 (同意,合同,公共任務,重要利益,合法利益或法律要求) 進行處理. 當處理基於同意時,資料主體有權隨時撤銷同意.  第33條規定,資料控制者有法律義務在不必要的延遲的情況下通知監管機構,除非違規行為不太可能對個人權利和自由造成風險. 在瞭解資料洩露後最多有72小時才能提交報告. 如果確定有害影響的高風險,必須通知個人 (第34條). 此外,資料處理者必須在瞭解個人資料洩露後,不應拖延地通知控制者 (第33條). 然而,如果資料控制者實施了適當的技術和組織保護措施,使個人資料無法被任何未經授權訪問的人理解,例如加密,那麼對資料主體的通知是不必要的 (第34條).  資料保護專員  第37條要求任命一個資料保護官. 如果處理是由公共機構進行的 (法庭或獨立司法機關在以司法身份行事時除外),或者如果處理操作涉及對資料主體進行大規模的定期和系統監控,或者如果處理涉及刑事定罪和犯罪的特殊類別資料和個人資料 (第9條和第10條) 的大規模處理,則必須指定資料保護專員 (DPO) - - 具有對資料保護法律和實踐的專家知識的人員,協助控制者或處理者監督其內部遵守本條例.  指定資料保護人員可以是控制者或處理者的現任工作人員,也可以通過服務合同將其職責外包給外部人員或機構. 在任何情況下,處理機構都必須確保在資料保護人員可能擁有的其他角色或利益方面沒有利益衝突. 資料保護人員的聯絡方式必須由處理機構公佈 (例如在隱私宣告中),並向監管機構註冊.  個人資料保護官與合規官相似,他還應熟練管理IT流程,資料安全 (包括處理網路攻擊) 以及與個人和敏感資料的儲存和處理相關的其他關鍵業務連續性問題. 需要的技能不僅僅是瞭解法律對資料保護法律和法規的遵守. 個人資料保護官必須對所有代表組織收集和儲存的資料進行現有資料清單. 2016年12月13日 (2017年4月5日修訂) 在指導檔案中對資料保護官的職能和作用提供了更多細節.  總部設在歐盟以外的組織也必須任命一個在歐盟的個人作為其GDPR義務的代表和聯絡人 (第27條). 這是一個與資料保護專員不同的角色, 儘管責任重疊, 這表明指定資料保護專員也可以擔任這一角色.
一般資料保護條例提供了關於儲存和處理個人資料的指導方針. 個人資料是指任何有關已識別或可識別人的資訊,也稱為資料主體. 個人資料包括他們的:  名稱 地址 身份證/護照號碼 收入 文化特色 網際網路協議 (IP) 地址 醫院或醫生持有的資料 (用於健康目的的唯一識別資料).  特殊類別的資料 您不得處理有關某人的個人資料:  種族或民族 性傾向 關於政治觀點 宗教或哲學信仰 工會成員資格 遺傳,生物識別或健康資料,除非在特定情況下 (例如,您已給予明確同意或需要根據歐盟或國家法律處理重大公共利益的原因) 除非歐盟或國家法律允許的外,與刑事定罪和犯罪有關的個人資料.  誰處理個人資料? 在處理過程中,個人資料可能會通過不同的公司或組織. 在這個週期中,有兩個主要的個人資料處理個人資料:  資料控制者 - 決定個人資料的處理目的和方式. 資料處理者 - 代表資料控制者儲存和處理資料. 誰監控公司內部的個人資料處理方式? 資料保護官 (DPO) 負責監督個人資料的處理方式,並向處理個人資料的員工提供有關其義務的資訊和建議. 個人資料保護專員還與資料保護局 (DPA) 合作,作為資料保護局和個人之間的聯絡人.  為另一家公司處理資料 資料控制者只能使用提供足夠保證的資料處理者,這些保證應包含在有關各方之間的書面合同中. 合同還必須包含一些強制性條款,例如資料處理者只能在受資料控制者指示時處理個人資料.  資料在歐盟以外的轉移 當個人資料被轉移到歐盟以外時,GDPR提供的保護應與資料一起傳播. 這意味著如果您將資料出口到國外,您的公司必須確保遵守以下措施之一:  歐盟認為非歐盟國家的保護措施足夠. 您的公司採取必要措施提供適當的保障措施,例如在與非歐洲個人資料進口商達成的合同中包括具體條款. 您的公司依據特定的轉讓理由 (豁免),例如個人同意. 什麼時候允許處理資料? 歐盟資料保護規則意味著您應該以公平和合法的方式處理資料,為特定和合法目的而處理資料,並且只處理實現該目的所必需的資料. 您必須確保您滿足以下條件之一處理個人資料;您:  已經得到了有關個人的同意 需要個人資料來履行與該個人的合同義務 需要個人資料來履行法律義務 需要個人資料來保護個人的重要利益 處理個人資料以履行公共利益的任務 在您的公司的合法利益中採取行動,只要處理資料的個人基本權利和自由不會受到嚴重影響. 如果該人的權利超過了您公司的利益,那麼您不能處理個人資料.   對資料處理的同意 - 同意 訪問權和資料可移植權 糾正權和反對權 刪除權 (被遺忘權) 自動決策和個人資料 資料洩露 <unk>提供適當的通知 響應請求 影響評估 記錄