8月3日，由TUV莱茵学院举办的GDPR合规与企业数据保护官培训北京专场圆满结束。来自北京小米移动软件、北京疯景科技、中国质量认证中心、某跨国金融公司的法务、IT专家、质量管理人员、企业负责人等作为准数据保护官们参加了结业仪式，通过课堂上的相互交流，激烈讨论，数据保护官们对GDPR相关参与方的权利和义务、数据保护官职责、数据流风险分析、DPIA数据保护影响评估、跨国数据转移和云计算、DPMS数据保护管理系统建立、组织和技术解决方案等知识有了全新的认识。

TUV 莱茵学院全国首期数据保护官培训及人员资质认可

TUV莱茵学院GDPR合规与企业数据保护官培训视频：

部分学员还将参加TUV PersCert （人员资格认可）能力考试，通过后将获得数据保护官资格（DPO）证书（根据欧盟通用数据保护条例EU-GDPR）。 该培训由TUV 莱茵学院与中国质量认证中心共同推出，旨在帮助中国企业应对史上最严数据保护法 -- 欧盟GDPR法案。

GDPR全称欧盟《通用数据保护条例》，已于2018 年5月25日生效。此法案适用于全球，无论厂商是否在欧盟境内，只要其产品或服务在欧盟区销售，并且关系到保存与处理欧盟公民个人数据，就必须遵守此法案。未达到要求的企业将面临高达2000万欧元或企业全球当年营业额4%的罚款（两者取其高）。因此，从现在开始主动完成欧盟GDPR的合规性要求对于中国企业在欧盟国家的长期发展至关重要。

全国GDPR&DPO排期

TUV莱茵学院本次推出的GDPR专项课程由TUV莱茵总部的数据安全专家Nelson Java Celis担任讲师，Nelson讲师在信息安全和数据保护领域均拥有长期的培训和咨询经验。该课程对GDPR的细节和相关条款进行了详细解释，期间的案例展示和互动研讨大大提高了讲座的实用性。通过培训，受训企业品质、法务、认证、海外销售、IT、供应链管理等部门的专业人员收获了对GDPR法案更精准而深刻的理解。

本次课程的另外一项重头戏是对企业数据保护官（DPO）的角色职责进行培训、考试和资格认定。根据GDPR第39条的规定，数据保护官需具有相关职责，即：告知控制者或处理者及其完成处理工作的员工应履行的义务；监督相关人员遵守条例；对绩效评估与监督工作提出建议；与监管机构进行合作；就涉及数据处理的各种问题担任与监管机构接洽的联络人；关注风险。

虽然GDPR并未规定所有企业必须设立数据保护官，但在实际操作中，设立数据保护官是一个复杂而敏感的问题。对此，实施本次培训的专家Nelson先生特别强调：“很多中小型企业认为自己规模较小无需设立DPO。事实上，简单依据企业规模来确定是否需要设立DPO是错误且危险的认识。每个欧盟国家对DPO的设立可能存在特殊的要求。例如，德国联邦数据保护法案要求，如果企业拥有超过10名员工需要经常性处理用户数据，那么就必须设立DPO。根据BDSG新版第38条的规定，控制者和处理者如通常雇佣至少十人进行个人数据自动化处理，则其应任命一名数据保护专员。而根据2016/679号指令（欧盟）的第35条，出于传输、匿名传输或市场和意见研究的目的，欲对个人数据进行商业处理，无论其雇佣参与数据处理的人数如何，都应任命数据保护专员。而据EuropeanArticle 29 Working Party (WP29)所示，作为GDPR合规的一项，DPO的设立被监管部门强烈推荐。”在考虑了解决风险的措施后，数据保护影响评估结果仍表明自然人的权利和自由面临高风险，则控制者必须与主监管机构商议对策（GDPR第36条）。

TUV莱茵总部数据安全专家Nelson Java Celis

此外，企业通常存在的误区是，DPO必须由内部高级管理人员或法律背景人士担任。对此，TUV莱茵的解读是，GDPR没有对DPO提出任何资质要求。另外，如果由内部高管来担任DPO，很难避免利益冲突。因此，TUV莱茵建议DPO最好是对数据保护相关法规（特别是GDPR）有深入了解的、同时对信息技术和数据保护技术有足够知识的专业人士。作为数据保护官（DPO）人员资质认证机构，TUV莱茵学院具备国际公认的资质与技能测评条件，所颁发的PersCert人员资质证书赢得了行业广泛认可。

TUV莱茵学院可提供人员培训与资格认可服务，长期以来致力于协助客户掌握最新商业战略及管理模式，提高企业竞争力。此次，TUV莱茵学院凭借多年来在德国及欧洲数据保护领域的深入研究，为企业精准解读GDPR相关法规，帮助企业按法规强制要求培养专业数据保护官（DPO），并协助企业建立全面的数据保护管理体系，为企业合规和业务健康可持续发展保驾护航。