給定一篇關於GDPR的參考文字，告訴我GDPR如何幫助保護個人資料安全。
《通用資料保護條例》（2016/679，「GDPR」）是歐盟法律中關於資料保護和隱私的一項條例，適用於歐盟和歐洲經濟區（EEA）內的資料保護和隱私。GDPR是歐盟隱私法和人權法的重要組成部分，特別是歐洲聯盟基本權利憲章第8（1）條。它還涉及個人資料在歐盟和EEA地區之外的轉移。GDPR的主要目的是增強個人對其個人資料的控制和權利，並簡化國際業務的監管環境。該條例取代了資料保護指令95/46 / EC，其中包含與處理位於EEA內的個人資料（正式稱為「資料主體」）相關的規定和要求，並適用於任何企業 - 無論其所在地和資料主體的公民身份或居住地 - 處理位於EEA內的個人資訊。

GDPR於2016年4月14日透過，並於2018年5月25日開始實施。由於GDPR是一項條例而不是指令，因此它是直接具有約束力和適用性的，併為個別成員國調整條例的某些方面提供了靈活性。

根據歐洲委員會的說法，「個人資料是指與已知或可識別的個人有關的資訊。如果您無法直接從該資訊中識別個人，則需要考慮該個人是否仍然可識別。您應考慮您正在處理的資訊以及您或任何其他人合理可能使用的所有手段來識別該個人。」諸如「個人資料」、「處理」、「資料主體」、「控制器」和「處理器」等術語的精確定義在條例第4條中說明。

原則
除非至少有一個合法的基礎來處理個人資料，否則不得處理個人資料。第6條規定的合法目的是：

（a）如果資料主體已經同意處理他或她的個人資料；
（b）履行與資料主體的合同義務，或者根據正在進入合同的資料主體的要求執行任務；
（c）遵守資料控制器的法律義務；
（d）保護資料主體或其他個人的生命利益；
（e）履行公共利益或官方權力的任務；
（f）資料控制器或第三方的合法利益，除非這些利益被資料主體的利益或根據歐洲聯盟基本權利憲章的權利（特別是在兒童的情況下）所覆蓋。

個人資料的安全性
個人資料的控制器和處理器必須採取適當的技術和組織措施來實施資料保護原則。處理個人資料的業務流程必須考慮原則並提供保護資料的保障（例如，在適當的情況下使用假名化或完全匿名化）。資料控制器必須考慮隱私設計資訊系統。例如，使用預設的最高隱私設定，以便資料集不會預設公開，並且不能用於識別主體。除非在條例規定的六種合法基礎之一下進行處理（同意、合同、公共任務、生命利益、合法利益或法律要求），否則不得處理任何個人資料。當處理基於同意時，資料主體有權隨時撤回同意。

第33條規定，資料控制器有法律義務在不過度延遲的情況下通知監管機構，除非違規行為不太可能導致個人權利和自由的風險。在發現資料洩露後的最長時間為72小時。如果確定存在高風險的不利影響，則必須通知個人（第34條）。此外，資料處理器在發現個人資料洩露後必須立即通知控制器（第33條）。但是，如果資料控制器已經實施了適當的技術和組織保護措施，使得未經授權的任何人無法理解個人資料，例如加密（第34條），則不需要通知資料主體。

資料保護官員
第37條要求任命資料保護官員。如果由公共機構（除了在其司法職能範圍內行事的法院或獨立司法機構）進行處理，或者如果處理操作涉及大規模定期和系統地監測資料主體，或者如果處理大規模特殊類別的資料和與犯罪定罪和犯罪有關的個人資料（第9條和第10條），則必須指定資料保護官員（DPO） - 具有資料保護法律和實踐專業知識的人員 - 協助控制器或處理器監測其內部合規性。

指定的DPO可以是控制器或處理器的現有員工，也可以透過服務合同將該角色外包給外部人員或機構。在任何情況下，處理機構必須確保DPO可能擁有的其他角色或利益不存在利益衝突。處理組織必須公佈DPO的聯絡方式（例如，在隱私宣告中）並向監管機構註冊。

DPO類似於合規官員，也應精通管理IT流程、資料安全（包括處理網路攻擊）以及與持有和處理個人和敏感資料相關的其他關鍵業務連續性問題。所需的技能集超出了理解資料保護法律和法規的合規性。DPO必須維護所有代表組織收集和儲存的資料的實時資料清單。有關資料保護官員的功能和角色的更多詳細資訊在2016年12月13日（修訂於2017年4月5日）的指南檔案中給出。

總部位於歐盟以外的組織也必須任命一個歐盟代表和聯絡人，以履行其GDPR義務（第27條）。這是與DPO不同的角色，儘管在責任方面存在重疊，表明指定的DPO也可以擔任指定的代表。
《通用資料保護條例》提供了儲存和處理個人資料的指南。個人資料是有關已識別或可識別的人（也稱為資料主體）的任何資訊。個人資料包括以下資訊：

姓名
地址
身份證/護照號碼
收入
文化概況
網際網路協議 (IP) 地址
醫院或醫生持有的資料（出於健康目的唯一識別一個人）。

特殊類別的資料
您不得處理有關某人的個人資料：

種族或民族血統
性取向
政治觀點
宗教或哲學信仰
工會會員資格
遺傳、生物識別或健康資料，特殊情況除外（例如，當您獲得明確同意時，或者根據歐盟或國家法律，出於重大公共利益的原因需要進行處理時）
與刑事定罪和犯罪相關的個人資料，除非得到歐盟或國家法律的授權。

誰處理個人資料？
在處理過程中，個人資料可以透過各種不同的公司或組織。在此週期內，有兩個主要的配置檔案處理個人資料：

資料控制者 - 決定處理個人資料的目的和方式。
資料處理器 - 代表資料控制器儲存和處理資料。
誰監控公司內部個人資料的處理方式？
公司可能指定的資料保護官 (DPO) 負責監控個人資料的處理方式，並向處理個人資料的員工告知和建議其義務。 DPO 還與資料保護機構 (DPA) 合作，充當 DPA 和個人的聯絡點。

為另一家公司處理資料
資料控制者只能使用提供足夠保證的資料處理者，這些保證應包含在相關各方之間的書面合同中。合同還必須包含一些強制性條款，例如資料處理者只會在資料控制者指示時處理個人資料。

歐盟以外的資料傳輸
當個人資料傳輸到歐盟境外時，GDPR 提供的保護應隨資料一起傳輸。這意味著，如果您將資料導出到國外，您的公司必須確保遵守以下措施之一：

歐盟認為非歐盟國家的保護是充分的。
貴公司採取必要措施提供適當的保護措施，例如在與非歐洲個人資料進口商簽訂的合同中包含具體條款。
貴公司依賴於特定的轉讓理由（克減），例如個人的同意。
何時允許資料處理？
歐盟資料保護規則意味著您應該以公平合法的方式處理資料，以達到指定的合法目的，並且僅處理實現此目的所需的資料。您必須確保滿足以下條件之一才能處理個人資料；你：

已獲得有關個人的同意
需要個人資料來履行與個人的合同義務
需要個人資料來履行法律義務
需要個人資料來保護個人的切身利益
處理個人資料以執行符合公眾利益的任務
只要資料被處理的個人的基本權利和自由沒有受到嚴重影響，就符合貴公司的合法利益。如果該人的權利凌駕於您公司的利益之上，那麼您就無法處理該個人資料。


同意資料處理 - 同意
訪問權和資料遷移權
糾正權和反對權
刪除權（被遺忘權）
自動化決策和分析
資料洩露——提供適當的通知
響應請求
影響評估
保留記錄