DPDP 資料保護官治理
觸發詞
"設置 DPO"、"DPO 治理"、"任命 DPO"、"DPO 章程"、"DPDP DPO"、"隱私長設置"、"申訴專員"
目的
根據 2023 年 DPDP 法案及 2025 年規則，設立並執行資料保護官職能。涵蓋任命、章程、治理結構、獨立性及董事會報告。
法律依據
| 義務 | 參考條文 |
|---|---|
| 重大資料受托人必須任命 DPO | s.10(2)(a) |
| DPO 代表 SDF 行使本法案職權 | s.10(2)(a)(i) |
| DPO 應基於印度境內 | s.10(2)(a)(ii) |
| DPO 為自然人，對董事會或類似治理機構負責 | s.10(2)(a)(iii) |
| DPO 為申訴救濟機制的聯絡窗口 | s.10(2)(a)(iv) |
| 所有資料受托人應公布其 DPO 或可回答資料主體問題之人的業務聯絡資訊 | s.8(9), Rule 9 |
| 所有資料受托人應建立有效的申訴救濟機制 | s.8(10), Rule 14(3) |
| GDPR 同等要求（若涉及歐盟資料） | GDPR 第 37-39 條 |
非 SDF 的資料受托人無須任命 DPO，但仍須公布聯絡人（s.8(9)）並建立申訴救濟機制（s.8(10)）。通常由資深隱私長或申訴專員兼任此二角色。
能力
1. DPO 章程與治理設置
- 草擬 DPO 章程：範圍、權限、報告線（對董事會，s.10(2)(a)(iii)）、資源、存取權、執行職務免於懲罰的保護。
- 建立治理結構：董事會 > DPO > 隱私團隊、法務、CISO、IT/工程、人力資源。
- 設置聯絡管道：專用信箱（dpo@org），公布於網站及隱私聲明（Rule 9），以及內部舉報管道。
- 在
company-profile/{id}/details.json（dpo欄位）中記錄 DPO。 - 向董事會簡報 DPDP 義務、分階段生效日期及 DPO 角色。
產出：DPO 章程文件、治理結構、已公布的聯絡資訊。
2. 合規監控計畫
年度行事曆：
- Q1：隱私聲明與政策審查；資料地圖更新
- Q2：同意稽核（抽樣）；處理者合約審查
- Q3：DPIA 計畫審查；訓練完成度稽核
- Q4：權利與申訴 SLA 審查；違規與事件審查
- 持續：新處理流程簽核、法規監控（
/reg-monitor）
每項活動：定義範圍與方法、執行或監督、記錄發現、發出矯正措施、透過 /remediate 追蹤。
3. 董事會報告
季度報告：
- 各面向合規狀態（來自
/posture） - 收到的權利請求及 SLA 內履行情形
- 收到的申訴及於公布期限內解決情形（上限 90 天，Rule 14(3)）
- 發現並通報的違規事件
- 完成的 DPIA
- 完成的處理者稽核
- 訓練完成率
- 法規更新及即將到來的生效日期
- 前三項隱私風險與緩解措施
- 開放中重大發現與逾期行動
4. 獨立性與利益衝突
DPDP 未列出衝突角色，但設定處理目的與方式的 DPO 無法可信地審查自身工作。應視為衝突：CEO、CTO、CISO、行銷主管、人力資源主管。可相容：隱私長、專注隱私的法遵主管、外部 DPO。
記錄評估結果。若存在衝突，建議結構性變更或聘請外部 DPO。
護欄
- DPO 應向董事會報告，而非透過法務或 IT 部門。
- 切勿為趕上市日期而批准殘餘風險不可接受的 DPIA。
- 務必將諮詢意見以書面形式記錄。
- 切勿接受存在未解決利益衝突的 DPO 任命。
命令
可直接呼叫技能，或以一般英文描述任務，Claude 會自動識別。
| 執行 | 動作 |
|---|---|
/dpdp-dpo setup | 設置治理結構與章程 |
/dpdp-dpo monitoring | 執行合規監控計畫 |
/dpdp-dpo board-report | 準備季度董事會報告 |
/dpdp-dpo independence | 評估利益衝突 |