資料保護影響評估：適用於使用 Office 365 之資料控制者的指引
根據一般數據保護規定 (GDPR) ，數據控制者必須準備數據保護影響評估 (DPIA) ，以處理可能對自然人的權利和自由造成高風險的作業。 Microsoft Office 365 中沒有任何固有的專案需要數據控制器使用它來建立 DPIA。 相反地，是否需要 DPIA 將取決於您作為數據控制者、部署、設定和使用 Office 365 方式的詳細數據和內容。
本文件的第 1 部分提供 Office 365 的相關資訊，以協助身為資料控制者的您判斷是否需要 DPIA。 如果您的回答是「是」，則本文件的第 2 和 第 3 部分提供來自Microsoft 的重要資訊，可協助您草擬 DPIA。 具體來說，第 2 部分針對 DPIA 所需的每個必要元素提供適用於所有 Office 365 服務的解答。 第 3 部分則針對客戶草擬自己的 DPIA 時需要的數個最相關資訊，提供額外的特定產品資訊。 第 3 部分也包含 DPIA 說明文件，您可以下載並加以修改，讓您更輕鬆地草擬 DPIA。
Office 365 應用程式和服務，包括但不限於 Exchange Online、SharePoint、適用於工作和學校的 OneDrive、Viva Engage 和 Microsoft Teams。 可在 GDPR 和 CCPA 的 Office 365 資料主體要求中的表 1 和表 2 中看到 Office 365 提供之服務的較完整清單。
第 1 部分：判斷是否需要 DPIA
GDPR 第 35 條規定，「如果某種處理，特別是使用新技術，並考慮到處理的性質、範圍、背景和目的，可能會對自然人的權利和自由造成高度風險」，則資料控制者必須建立「資料保護影響評估」。 它還進一步列出表明如此高風險的特定因素，將在下表進行討論。 在判斷是否需要 DPIA 時，您身為資料控制者，應根據控制者對特定 Office 365 的實作和使用，考慮這些因素以及任何其他相關因素。
| 風險因素 | Office 365 的相關資訊 |
|---|---|
| 系統地、廣泛地評估與自然人有關的個人方面，該評估基於自動處理 (包括概況分析)，並基於這些決策產生與自然人有關的法律效力或類似地對自然人產生重大影響的決策 | 視數據控制器的設定而定，Office 365 可能會執行特定的數據自動化處理，例如由 Viva Personal Insights 所執行的分析，讓數據控制者根據使用者信箱中的電子郵件和行事曆標頭資訊，衍生組織內人員共同作業方式的見解。 Office 365 並非旨在執行自動處理，以作為對個人產生法律或類似重大影響之決策的基礎。 不過，因為 Office 365 是個能高度自訂的服務，資料控制者可能會將其用於此類處理。 |
| 大規模處理 1 特殊類別的資料 (揭露種族或民族血統、政治傾向、宗教或哲學信仰或貿易同盟會員資格的個人資料，用於唯一識別自然人的基因資料、計量生物學資料，有關健康的資料或有關自然人性生活或性向的資料)，或與刑事定罪和犯罪行為有關的個人資料 | Office 365 並非設計來大規模處理特殊類別的個人資料。 不過，資料控制者也可以使用 Office 365 來處理列舉之特殊類別的資料。 Office 365 是個能高度自訂的服務，可讓客戶追蹤，或處理任何類型的個人資料，包括特殊類別的個人資料。 控制者自行判斷是否需要 DPIA。 但身為資料處理者，Microsoft 對於這類使用無控制權，且通常僅有少許或完全沒有對該使用的瞭解。 |
| 大規模有系統地監視可公開進入的地區 | Office 365 並非特別設計用來進行或協助這類監視。 不過，資料控制可以使用它來處理透過這類監視收集到的資料。 |
注意事項
1 關於「大規模」處理的準則，GDPR 第 91 條闡明：「如果處理是有關於個別醫生、其他醫療保健專業人員或律師之病患或客戶的個人資料，則處理個人資料不應視為大規模。 在此類情況下，資料保護影響評估不應強制。」
第 2 部分：DPIA 的內容
GDPR 第 35(7) 條要求資料保護影響評估需指出處理的目的和對預期處理的系統描述。 在 Microsoft 的 DPIA 中，此類系統描述包括諸如處理的資料類型，保留資料的時間，資料的位置和傳輸位置，以及哪些第三方可以訪問資料等因素。 此外，DPIA 也必須包含：
- 評估與目的有關的處理操作的必要性和比例性；
- 評估自然人的權利和自由風險；和
- 旨在解決風險的措施，包括保障措施、安全性措施和機制，以確保個人資料受到保護，並在考慮到資料主體和其他有關人員的權利和合法利益的情況下證明符合「一般資料保護規定」。
下表提供來自 Microsoft 的重要資訊，可協助您草擬 DPIA。 其中包含與 DPIA 所需每個必要元素相關的 Office 365 相關資訊。 在第 1 部分中，資料控制者必須考量以下提供的詳細資料，以及 Office 365 特定實作和使用的詳細資料。
| 風險因素 | Office 365 的相關資訊 |
|---|---|
| 處理的目的 | 使用 Office 365 進行處理的目的取決於實作、設定及使用 Office 365 的控制者。 如 產品條款 和 Microsoft產品和服務數據保護增補 (DPA) 所指定，Microsoft作為數據處理者，根據客戶的檔指示，處理客戶數據以提供客戶在線服務。 如標準 產品條款 和 Microsoft產品及服務數據保護增補 (DPA) 中所述，Microsoft也會使用個人資料來支援一組有限的合法商務作業，其中包括： (1) 計費和帳戶管理; (2) 補償 (例如，計算員工委員會和合作夥伴獎勵) ; (3) 內部報告和模型化 (例如預測、營收、容量規劃、產品策略) ; (4) 財務報告，並遵守法律義務， (受限於產品條款和數據保護增補) 中所述的客戶數據洩漏限制。 Microsoft接受個人資料處理控制者的義務，以支持這些特定合法的商務作業。 Microsoft先匯總個人資料，再將其用於合法的商務營運、移除Microsoft識別特定個人的能力，並以最低可識別的形式使用個人資料，以支援合法商務作業所需的處理。 Microsoft 不會將客戶資料或其衍生的資料用於分析、廣告或類似的商業用途。 |
| 處理的個人資料類別 |
客戶資料：這是所有資料，包括文字、音訊、視訊或影像檔和軟體，由客戶提供給 Microsoft 或是透過使用 Microsoft 線上服務代表客戶提供。 包括客戶上傳用於存儲或處理以及自訂的資料。 Office 365 中處理的客戶數據範例包括 Exchange Online 中的電子郵件內容，以及儲存在 SharePoint 或 OneDrive 中供公司和學校使用的文件或檔案。 服務產生的資料：這是 Microsoft 透過服務的運作而產生或衍生的資料，例如使用或效能資料。 這些資料大部分都包含由 Microsoft 產生的 pseudonymous 識別碼。 診斷資料：Microsoft 會從連線至線上服務的客戶在本機安裝的軟體收集或取得這項資料，我們也可稱之為遙測。 這個資料通常可由本機安裝的軟體或執行該軟體的電腦所具備的屬性來識別。 支援資料：這是為了獲得線上服務的技術支援，由客戶或代表客戶 (或客戶授權 Microsoft 從線上服務取得) 透過與 Microsoft 的合作向 Microsoft 提供的資料。 客戶資料、系統所產生的記錄資料和支援資料不包含系統管理員和帳單資料，例如客戶系統管理員連絡資訊、訂閱資訊和付款資料，Microsoft 會利用其資料控制者身分 (本文件範疇外) 所具備的功能收集和處理這些資料。 |
| 資料保留 |
客戶數據： 如產品條款和數據保護增補條款中的數據保護條款中所述，Microsoft在客戶有權使用服務期間保留客戶數據，直到根據客戶的指示或產品條款和數據保護增補條款刪除或傳回所有客戶數據為止。 在客戶訂用帳戶期間，客戶隨時都可以存取、擷取和刪除儲存在服務中的客戶數據，在某些情況下，會受限於特定產品功能，以降低意外刪除的風險 (例如，Exchange 複原的專案資料夾) ，如產品檔中進一步所述。 除了免費試用版和 LinkedIn 服務，Microsoft 將在客戶訂閱到期或終止訂閱後的 90 天內，將儲存在線上服務中的客戶資料保留在功能有限的帳戶中，以便客戶可以存取資料。 90 天的保留期間結束後，Microsoft 將停用客戶的帳戶並刪除客戶資料。 服務產生的資料：此資料會保留從收集起算最多 180 天的預設期間，受限於針對服務安全性或符合法律或法規義務而需要較長的保留期間。 如需可讓客戶隨時刪除在服務中維護之個人資料的服務功能進一步資訊，請參閱 Office 365 的資料主體要求指南。 |
| 個人資料的位置和傳輸 | 如產品條款附件 1 所述，如果 Customer 在澳洲、加拿大、歐盟、法國、印度、日本、南韓、英國或 美國 中布建其 Office 365 實例，Microsoft只會將下列待用客戶數據儲存在該位置內： (1) Exchange Online信箱內容 (電子郵件內文、行事歷專案，以及電子郵件附件) 的內容、 (2) SharePoint 網站內容和該網站內儲存的檔案、 (3 個) 檔案上傳至 OneDrive 以供公司和學校使用，以及 (4 個) 項目內容上傳至 Project Online。 對於從歐洲經濟區域、瑞士和英國傳輸的個人資料，Microsoft將確保將個人資料傳輸到第三個國家或國際組織，受限於 GDPR 第 46 條中所述的適當保護措施。 除了Microsoft在處理器和其他模型合約的 Standard 合約條款下的承諾，Microsoft遵守數據隱私權架構的條款。 |
| 與第三方子處理者共用資料 | Microsoft 與作為本公司次處理者的第三方共用資料，以支援諸如客戶和技術支援、服務維護及其他作業等功能。 Microsoft傳送客戶數據、支持數據或個人資料的任何轉包商，都會與Microsoft簽訂書面協定，其保護範圍不小於 產品條款的數據保護條款。 在線服務轉包處理者洩漏中會包含從Microsoft核心在線服務共用客戶數據的所有第三方 轉包處理者。 所有可存取支援資料 (包括客戶在其支援互動中選擇要共用的客戶資料) 的第三方次要處理者，都會納入 Microsoft 商業支援承包商清單中。 |
| 與獨立第三方共用資料 | 部分 Office 365 產品具有擴充選項，可在控制者的選取下，與獨立的第三方共用資料。 例如，Exchange Online 就是一種可延伸的平台，可讓第三方增益集或連接器與 Outlook 整合，並擴充 Outlook 的功能集。 這些增益集或連接器的第三方提供者可獨立運作不受 Microsoft 管理，其增益集或連接器必須由使用其增益集或連接器帳戶進行驗證的使用者或企業系統管理員啟用。 Microsoft除非法律要求，否則不會向執法機關揭露客戶數據或支持數據。 如果執法機關連絡Microsoft客戶數據或支持數據的需求，Microsoft會嘗試重新導向執法機關，直接向客戶要求該數據。 如果強制向執法機關揭露客戶數據或支持數據，Microsoft會立即通知客戶，並提供要求的複本，除非法律禁止這樣做。 收到任何其他客戶數據或支持數據的第三方要求時，除非法律禁止，否則Microsoft會立即通知客戶。 除非法律要求遵守，否則Microsoft會拒絕要求。 如果要求有效，Microsoft會嘗試將第三方重新導向，以直接向客戶要求數據。 |
| 資料主體權利 | 以處理者的身分操作時，Microsoft 會為客戶 (資料控制者) 提供資料主體的個人資料，及其依據 GDPR 行使其權利時履行資料主體要求的能力。 我們執行此作業的方式與產品功能一致，且角色如同是處理者。 如果我們收到客戶資料主體中的要求，指出想要依據 GDPR 行使其一或多項權利，我們會將資料主體重新導向，以將其要求直接送至資料控制者。
Office 365 的資料主體要求指南向資料控制者提供如何使用 Office 365 的功能支援資料主題權利的說明。 根據 GDPR，針對處理以支援合法商務程式的個人資料，數據主體所要求的許可權應導向Microsoft，如Microsoft 隱私聲明中所述。 Microsoft通常會先匯總個人，再將其用於合法的商務作業，而且無法識別匯總中特定個人的個人資料。 這樣可以大幅降低個人承受的隱私權風險。 Microsoft 在無法識別個人身分的情況下，便無法支援存取、清除、可攜性、處理限制或異議等方面的資料主體權利。 |
| 評估與目的有關的處理操作的必要性和比例性 | 這類評量取決於控制器的需求和處理目的。 關於 Microsoft 進行的處理，這種處理對於向資料控制者提供服務的目的是必要的且符合比例原則。 |
| 評估資料主體的權利和自由風險 | 資料主體使用 Office 365 在權利和自由方面的主要風險將取決於資料控制者如何以及在何種情況下實作、設定及使用 Office 365。 Microsoft 對於其用來支援合法商務作業以利佈建服務的個人資料，會採用匿名化或彙總之類的機制，並盡可能降低使用服務的資料主體進行此類處理的風險。 但是，與任何服務一樣，服務中保存的個人資料可能存在未經授權的存取或無意揭露的風險。 以下章節會討論 Microsoft 為解決這些風險所採取的措施。 |
| 旨在解決風險的措施，包括保障措施、安全措施和機制，以確保保護個人資料，並在考慮到資料主體和其他有關人員的權利和合法利益的情況下證明符合 GDPR | Microsoft 致力於協助保護客戶資訊的安全性。 根據 GDPR 第 32 條的規定，Microsoft 已經並將保持並遵循適當的技術和組織措施，旨在保護客戶資料和支援資料，避免遭受意外、未經授權或非法的存取、洩漏、更改、遺失或銷毀。 此外，Microsoft 遵守適用於資料處理者的所有其他 GDPR 義務，包括但不限於提供資料保護影響評估和記錄保存。 Microsoft 在處理個人資料以供合法的商務作業使用時，會善盡資料控制者適用的 GDPR 義務。 |
第 3 部分：DPIA 很困難，但本節內容能有所幫助
如果您已判斷組織必須草擬 DPIA，本節中的資訊旨在協助您輕鬆地完成這項程序。
本節內容：
- 提供 Office 365 和產品特定資訊相關服務元素，以及
- 提供您可下載、修改及用來草擬 DPIA 的空白模型 DPIA 範本。
DPIA 服務元素矩陣
DPIA 服務元素矩陣是一種內容組織，在您開始記錄 DPIA 的過程中可能會有所幫助。 這項功能依服務方式分類，提供產品特定資訊和文件連結，可幫助您更輕鬆地草擬對必要 DPIA 元素的回應式答案。
可自訂的 DPIA 文件
我們知道，草擬 DPIA 可能會是個非常耗時的工作。 雖然每個客戶的 DPIA 會根據每個組織設定和 Office 365 的使用方式而有所不同，但是以下文件可節省您的時間。 您可以下載可自訂的 DPIA 文件做為可修改的說明範本，以便快速開始。 您可以免費使用並適應您的特定服務實作。 本文件不應解釋為 Microsoft 或其任何附屬公司提供的法律建議。 如果您有任何關於 DPIA 草擬程序的問題，建議您諮詢您的律師。