法国国家信息与自由委员会（CNIL）在 2026 年 4 月更新了 DPO 活动报告指南，并同步提供官方模版。它们回答的不是“年报怎么排版”，而是 DPO 如何把登记册、DPIA、数据泄露、权利请求和监管往来这些零散工作，整理成管理层看得懂、能据此判断风险并配置资源的治理工具。本文提供全文翻译，并附一篇更适合中国语境理解和落地的译者序。

译者序

这份译文包含两部分内容。第一部分，是法国国家信息与自由委员会（CNIL）发布的指南页，说明 DPO 活动报告为什么值得写、应该服务哪些管理目标、又应如何向管理层和员工进行差异化沟通。第二部分，是 CNIL 配套提供的官方模版，按照 DPO 职能定位、合规行动、风险事件、未来路线图等模块，给出一套可以直接改造和落地使用的报告骨架。换句话说，这不是一篇单纯讲理念的短文，也不是一个孤立的表格文件，而是一套“指南 + 模版”组合：前者解释为什么写、写给谁看、重点放在哪里，后者提供具体怎么搭、怎么填、怎么沉淀为年度治理工具的操作底稿。

如果只把它看成“一个年报模板”，就会低估它的价值。因为在数据治理进入深水区之后，DPO 早已不应只是规则的看守者。真正成熟的 DPO，既要理解法律文本，也要能够把风险、资源、业务优先级和组织成熟度翻译成管理层听得懂、愿意支持、能够据此决策的治理语言。也正因此，CNIL 推荐的这份 DPO 活动报告指南和官方模版，价值绝不只是“教你怎么写年报”。它更像是一套把零散合规工作转化为治理判断与决策支持的工作方法。

很多机构里，DPO 的日常工作天然是碎片化的。处理活动登记册要补，数据泄露要跟，权利请求要回，项目评审要参加，合同条款要看，培训要做，审计要配合。问题不在于事情不重要，而在于这些事情如果始终停留在“逐项完成”的层面，就很难被组织识别为战略价值。最后的结果往往是：DPO 非常忙，但管理层并不真正理解 DPO 到底承担了什么风险、避免了什么损失、还需要哪些资源。这恰恰是 CNIL 这份文件最重要的切入点。它提醒 DPO：如果你的工作不能被汇总成可读、可比较、可升级的治理视图，那么你做的很多努力就很难转化为组织层面的支持。

一、这份文件的真正价值，不是“填表”，而是重建 DPO 的治理位置

从表面上看，这份材料分成两层：一层是 CNIL 对活动报告价值和写法的解释，一层是具体可操作的官方模版。但如果只把它理解成“一个模板”，就低估了它。

它真正做的，是把 DPO 的工作重新安放到三个更高的位置上：

• 第一，它把活动报告明确成 DPO 向最高管理层汇报的治理接口，而不只是内部归档材料。
• 第二，它把活动报告变成组织数据保护成熟度的动态诊断仪，而不只是对过去工作的流水账。
• 第三，它把活动报告变成风险、资源和优先级的交换媒介，使 DPO 不再只是“接活的人”，而成为推动治理资源配置的人。

换句话说，一份好的 DPO 活动报告，不应该只是“今年做了什么”，而应该回答下面这些更关键的问题：

• 机构当前的数据保护风险主要集中在哪里？
• 哪些问题已经被识别、处理、缓解，哪些问题仍然在累积？
• DPO 的时间主要耗在什么地方，这种分配是否合理？
• 组织现有的人力、流程、系统和预算，是否足以支撑下一阶段的合规要求？

如果一份报告没有把这些问题照亮，它可能完成了记录功能，却没有完成治理功能。

二、CNIL 的方法论启发，在于把日常合规动作转化为决策信息

这份文件最值得借鉴的地方，不是它列出了多少栏目，而是它隐含了一套非常成熟的“治理提炼逻辑”。

DPO 的日常工作原本是分散的，但在 CNIL 的框架下，这些分散工作会被重新抽取为几类高价值治理资产：

• 处理活动登记册，告诉你治理覆盖率、业务更新频率和盲区在哪里；
• DPIA，告诉你哪些处理活动是真正高风险的，哪些风险已经降下来了，哪些风险还留在原地；
• 数据泄露记录，告诉你现有技术和组织措施是否真的有效；
• 权利请求、投诉以及与监管机关的往来，告诉你组织面临的外部摩擦点与声誉压力正在集中在哪些环节。

这些材料一旦被放进活动报告，它们就不再只是“档案”，而会开始产生管理含义。一个成熟的 DPO，不能满足于“这些东西我都有”，而必须进一步追问：“这些东西能不能支持判断？能不能帮助管理层分清轻重缓急？能不能据此作出资源决策？”这正是活动报告的意义所在。

三、真正有价值的报告，一定要能把风险分层、把资源问题说透

CNIL 的文本虽然语气克制，但它实际上指向了一个非常锋利的判断标准：DPO 报告如果没有风险排序，也没有资源导向，那么它的组织价值就会大打折扣。

在很多机构里，问题从来不是“没有做工作”，而是“做了工作却没有形成治理压力”。比如：

• 登记册长期更新缓慢，但没有量化成覆盖率和业务配合度问题；
• 高风险处理迟迟没有完成 DPIA，但没有升级为预算和优先级问题；
• 数据泄露反复发生，但没有被转化为技术治理薄弱点的证据；
• DPO 大量时间被消耗在行政和应急事务上，但没有被表达为职能结构失衡的问题。

而 CNIL 这套方法最强的地方就在于，它鼓励 DPO 通过报告把这些“本来只是现象”的内容，转化为“足以驱动治理行动”的信号。

所以，从治理角度看，一份好的 DPO 活动报告至少要完成三件事：

• 让管理层看见风险，而不是只看见任务；
• 让管理层理解瓶颈，而不是只看见工作量；
• 让管理层愿意配置资源，而不是只接受一份总结。

四、官方模版的价值，在于它已经给出了 DPO 年度治理叙事的骨架

这份官方模版并不是简单把栏目排好，而是已经隐含了一套很成熟的叙事结构。

前段部分讲的是 DPO 的职能位置、独立性、联络网络和资源条件。这部分的功能，不是“自我介绍”，而是回答一个根本问题：DPO 是否真的被放在能够有效履职的位置上。

中段部分讲的是培训、内部流程、模板建设、登记册、DPIA、审计、数据泄露、权利请求、投诉和监管应对。这部分不是为了证明“我很忙”，而是为了把机构的实际合规运行状态完整展现出来，让管理层看到治理基础设施是否已经成型。

后段部分则进入成熟度评估、剩余风险、下一年度路线图和资源需求。这里是整份报告最关键的地方，因为它决定了一份报告究竟停留在“记录过去”，还是进一步进入“塑造未来”。

也就是说，这份模版最值得珍惜的地方，不是它帮你省了排版时间，而是它已经帮 DPO 搭好了一个从事实、到风险、到改进、再到资源请求的治理桥梁。

五、这份材料尤其适合中国语境下的 DPO/隐私负责人借鉴

在很多本地组织中，DPO、隐私负责人、数据合规负责人或法务合规团队常常面临同一个难题：做了很多具体工作，却很难形成持续、稳定、可被管理层消费的治理表达。大家往往有项目记录、台账、制度、审计意见、整改记录，但缺少一个能够定期汇总、纵向比较、横向沟通的总抓手。

CNIL 的这份文件，恰好提供了这样一个抓手。

它特别适合以下几类场景：

• 组织已经有零散合规材料，但缺少年度治理总览；
• DPO 是兼职、共享或外部顾问，需要证明自身工作的持续价值；
• 管理层愿意听合规汇报，但尚未形成固定的治理看板；
• 机构准备应对更严格的外部监管、客户尽调或内部问责要求。

在这些场景里，这份材料最重要的启发不是“照着填”，而是“照着建立自己的治理汇报机制”。

六、关于本译文的使用建议

这次译文保留了 CNIL 原始结构，同时将官方模版中的可填写表格整理为更适合直接落地使用的中文底稿样式。术语上，法文原文中的 AIPD 已在译文层统一规范为 DPIA，并在术语表中单独注明，便于后续内部复用和对外沟通时保持一致。

我更建议把这份译文当作三个层次的工具来使用：

• 第一层，把它当作阅读材料，理解 CNIL 对 DPO 活动报告的治理定位；
• 第二层，把它当作模板底稿，直接据此搭建本机构的年度或季度汇报框架；
• 第三层，把它当作治理升级工具，借此反推内部指标、风险分层、资源申请和管理层沟通机制。

如果说普通的合规记录只是“发生过什么”的留痕，那么优秀的 DPO 活动报告写作，真正要完成的是另一件事：让组织理解什么值得优先处理、什么风险必须升级、什么资源现在就该投入。

这正是我认为这份 CNIL 文件最值得翻译、也最值得反复使用的原因。它不是在教 DPO 如何完成一份报告，而是在教 DPO 如何把自己的工作，转化为组织可以理解、可以支持、也必须回应的治理语言。

全文翻译

第一部分｜CNIL 指南译文

> 以下部分为 CNIL 指南页的全文翻译。

《CNIL 关于 DPO 活动报告的指南：用于推进合规管理并体现其工作价值》

CNIL 建议，数据保护官的活动报告有助于推进合规管理，并使 DPO 能够向管理层汇报其工作情况。为便于编制此类报告，CNIL 提供了一份模板。

一项值得推荐的良好实践

作为 DPO，您并没有义务撰写活动报告。尽管如此，这仍是一项由 CNIL 推荐的良好实践，而且天然属于您职责范围的一部分。

活动报告有多方面价值：

• 它直接服务于合规管理，并使您能够向机构最高管理层汇报情况；
• 它有助于评估并持续跟踪机构在数据保护方面的成熟度水平；
• 它还可以被延展用于内部和外部的合规沟通。

合规管理中的关键工具

无论是按季度、半年还是按年度编制（取决于机构活动情况），活动报告都旨在：

• 依托处理活动记录、影响评估、审计结果、数据泄露、投诉等材料，对机构中主要的高关注处理活动和项目作出“诊断”；
• 从法律、财务和声誉层面评估机构所面临的风险；
• 记录为遵守法规而已经开展或正在推进的工作（例如完善告知说明或合同条款），以及为推动采取更具保护性的数据实践而作出的努力（例如强化技术和组织安全措施、为员工组织意识提升培训、建立数据泄露和权利行使请求处理流程）；
• 识别阻碍因素，并明确为提高个人数据保护水平、推动机构提升成熟度而应采取的措施。

撰写这份报告，也是在系统思考一些关键问题：

• 优先事项是否已经完成？还有哪些内容需要核查和改进？
• 哪些处理活动或项目需要特别关注？它们对相关个人带来哪些风险？应采取哪些缓解措施？
• 机构已经采取的技术和组织措施，是否与处理活动的风险和重要性相匹配？为此配置的资源是否充足？

因此，活动报告是真正意义上的仪表盘，能够形成已开展工作的历史记录，尤其在 DPO 更替时更具价值。

用于汇报合规推进工作的工具

面向机构管理层

GDPR 规定，DPO 应向最高管理层报告。因此，这份报告至少每年可以展示一次：

• 您的活动、意见和建议的完整概览；
• 与数据保护有关的关键指标（例如权利行使请求数量及响应时限、数据泄露数量、已经产出的文档模板等）。

因此，您担任 DPO 的机构可以要求您提交活动报告，而这并不会损害您的独立性。

在条件允许时，CNIL 建议在会议场景下正式介绍这份报告。这是 DPO 与管理层就机构合规水平进行交流的一个宝贵时刻。

展示并分享活动报告，将有助于您：

• 体现您在履行职责中的投入程度、机构已经取得的进展（整体治理、数据管理的理顺以及处理活动的合规性），以及由此带来的收益，尤其是经济层面的收益（例如提升法律与信息系统安全性、改善内部协作氛围、增强面向客户或公众的声誉）；
• 说明已经遇到的困难，并争取为今后在令人满意的条件下继续履职所必需的资源（例如培训、加入专业协会、强化管理层支持、增加履职时间等）。

面向机构员工

DPO 的年度活动报告也是面向员工代表机构和全体协作者的数据保护意识提升材料：

• 它会增强您的可见度；
• 它会让已经开展和仍需继续推进的工作更加清晰。

因此，建议从面向管理层撰写的报告中提炼若干关键要点，用于：

• 尽可能广泛地分享数据保护方面已经取得的进展以及“尚待完成”的事项；
• 组织一次集体交流，讨论相关议题，并再次提醒大家可以使用的各类资源（DPO 联系方式、告知说明模板、数据泄露和权利请求处理流程等）。

这类行动值得在最高层级管理者积极且明确的支持下组织开展。因为这本就属于数据保护官的首要功能：在机构内部推动“数据保护”文化的传播与吸收。

如何编制活动报告？

您在以下方面享有较大自由：

• 首份报告及后续报告的编制时间（例如任职满一年后、自然年或会计年度伊始、或者年度预算编制和机构风险与目标确定之时）；
• 报告的格式、结构和内容，这些都应根据机构规模、机构性质、处理活动数量以及相关风险而变化。

我们建议您在撰写报告时，同时考虑它作为管理工具和沟通工具的双重属性。此外，任命您担任 DPO 的机构也完全可以就报告提出一些具体要求。

良好实践

• 将活动报告视为一份“活文档”，不要等到最后一次性集中完成，而应随着 DPO 日常活动逐步补充（在预先设定好的结构中，按“培训”“咨询”“监督”等活动类别持续累积内容）。这样可以避免年末工作量过大或内容遗漏。报告也可以反过来支持 DPO 与任命机构之间的阶段性沟通。
• 依托 CNIL 提供的工具，跟踪本机构在数据保护方面成熟度的变化。您可以直接利用其中列出的评估要素和待办行动：我们现在处于什么阶段、希望达到什么状态、应在何时以何种方式实现？
• 采用清晰、简洁的风格撰写报告，并尽可能加入数字化、可视化和图形化元素，以提升可读性，例如柱状图、表格、时间轴、不同进展等级对应的颜色等。

需要注意的是，大多数“GDPR 合规管理”软件都内置了报告或统计模块，便于生成量化数据。鉴于其中部分材料本身具有较高价值，它们也可以作为附录，或者附上保存相关文件夹的链接（例如与 CNIL 的往来记录、DPIA 摘要等）。

一份供您使用的模板

为便于撰写活动报告，CNIL 提供了一份 ODT 格式的模板。该模板不具有强制性，但可以作为面向管理层进行结构化汇报的有用基础。

该模板可以根据您的需要加以调整：

• 根据机构的具体特点进行适配（规模、资源、业务性质、处理活动的数量和敏感性、内部报告习惯等）；
• 在您为多个机构履职时，将部分内容进行共用（例如联合 DPO 或共享 DPO 场景）；
• 在必要时区分作为控制者进行的处理活动与作为处理者进行的处理活动；
• 制作更简化或衍生版本，以便更广泛传播，尤其是面向员工。

下载活动报告模板。

第二部分｜CNIL 官方模版译文

> 以下部分为 CNIL 官方活动报告模版的全文翻译，并已整理为更适合直接填写的中文底稿样式。

《CNIL 提供的数据保护官活动报告模板》

2026 年 4 月版

本文件是一份报告模板，仅供参考，不具有约束力。

您可以根据所在机构的具体情况自由调整并重组其内容。至于采用何种呈现形式，无论是写作风格、图形展示还是表格整合等，都由您自行决定。

在您的报告中，尤其可以涵盖以下几大主题：

• DPO 就数据保护所识别出的战略性议题；
• DPO 职能在机构内部的组织安排及履职条件；
• 已经实施的合规推进工作；
• 已开展工作的评估，以及来年的展望和资源需求。

所展示的标识还有女性版本，可在 CNIL 网站获取：

https://www.cnil.fr/fr/logo-delegue-la-protection-des-donnees-et-ses-conditions-dutilisation

[请在阅读完这些说明后删除本页]

数据保护官活动报告

基本信息（可填写）

• DPO 身份信息与联系方式：________________
• 任命该 DPO 的机构：________________
• 发布日期（或所覆盖期间）：________________
• 其他撰稿人和联系方式：________________
• 文件的保密级别 / 分发范围：________________

核心要点

目标：概括活动报告中的关键信息。

在报告开头，为突出最重要的信息，您可以提供一份简要摘要（最多 1 至 2 页），内容包括：

• 在数据保护方面识别出的战略性议题；
• 需要记住并在机构内部传播的关键信息和关键数字；
• 本年度的重要成果，以及 DPO 重点投入时间的主要工作；
• 主要预警 / 风险；
• 下一年度的展望。

这份摘要可以帮助您在内部向业务部门和管理层机构进行沟通。

如有可能，优先采用可视化呈现方式（表格、柱状图等），以更好体现合规现状、已开展活动和您的建议。

您还可以将有用材料作为附件附上（例如某项 DPIA 的摘要）。

本总结中提供的信息和数字应对应您所选择的统计周期（请说明是年度、季度还是其他周期）。

机构内 DPO 职能的组织与履职条件

目标：说明 DPO 在机构中的位置，并评估机构为其更好履行职责所投入的努力。

这一信息模块整体较为稳定，但仍应根据已经发生的变化和调整进行更新。

可附上任何有用文件（例如任命函；关于 DPO 参与处理活动盘点、影响评估开展以及数据泄露管理条件的内部流程；“信息与自由”联络人网络名单等）。

对于共享 DPO，您当然可以调整这一写法，并就您被任命服务的每一机构进一步概括关键内容。

DPO 是个人数据保护中的关键角色。其职能涵盖告知、咨询和监督任务，同时也是数据主体与 CNIL 的联系点。

DPO 必须以独立方式行事，并在履职过程中获得充分保护。他或她应避免利益冲突，并直接向机构最高管理层汇报其工作。为确保其职责能够真正有效履行，机构应为其提供完成任务所需的资源，并便利其接触个人数据和处理操作。

通过统筹数据保护规则下的合规推进工作，DPO 帮助机构在网络安全和法律风险日益增加的环境下增强稳健性，并推动与员工、客户 / 行政相对人、外部合作方等建立信任关系。

如需更详细说明，可参见 CNIL 发布的《数据保护官指南》。

DPO 的任命：日期与背景

• 对机构而言的首次任命 / 替换前任 DPO（请注明首次任命日期）；
• 基于 GDPR 的自愿任命 / 强制任命。

任命范围

• 所覆盖实体数量（例如子公司数量等）；
• 所涉及员工或公职人员人数。

DPO 的资格

• 培训经历、职业经历；
• DPO 能力认证（如有）；
• 其他职业认证。

DPO 在机构中的身份、角色与位置

• 说明 DPO 独立性的强制性与必要性，并尽可能给出实际体现；说明为保障 DPO 独立性而采取的措施。
• 内部 / 外部 DPO、共享 DPO、全职或兼职（必要时注明投入时间比例以及兼任的其他职能）。
• 任命函 / 岗位说明的内容（目标、优先事项、必要时的行动计划），以及机构就该职能所进行的内部沟通。
• DPO 在机构中的汇报位置（如为内部 DPO）。例如：归属于法务部门，由秘书长负责。
• 说明不存在利益冲突，并在必要时说明已经采取的补救措施。
• 如已有组织架构图，可考虑加入。

DPO 的主要任务

• 请说明这些任务在实践中的具体展开方式，以便管理层理解日常究竟做了哪些具体工作。
• 请注明在各类主要任务上投入的时间，以便理解哪些事项被优先处理（或本应优先处理），以及哪些事项较为耗时。

为 DPO 提供的资源

这里可以介绍：

• 您可能拥有的团队；
• 您的“GDPR”联络人 / 内部支撑人员，以及其他关键联系人（例如信息系统安全负责人 RSSI、档案管理员、PRADA 即行政文件获取负责人）及其沟通方式；
• 您如何被纳入机构内部所有与数据保护相关的问题中，例如：定期参加定义涉及个人数据的战略项目会议、在发生数据泄露时立即获知信息等；
• 您可使用的资源（例如独立预算或可动用预算、专门基础设施、内部沟通工具、数据库访问权限、负责管理相关资源的服务支持、持续培训与职业发展机制等）。

与机构的沟通方式

• 您的联系点 / 主要对接人是谁？（例如总经理、总秘书长、副总经理、执行委员会）
• 您通过什么方式沟通？沟通类型和频率如何？（例如每月、每两周、每季度例会）

DPO 角色的横向性

• 您可以在此说明会与哪些部门合作、围绕哪些项目开展工作。这里的重点是体现 DPO 对处理活动的 360 度观察视角及协作能力（例如采购策略、档案、网络安全等）。
• 请体现您在内部和外部开展的网络化协作工作（内部联络人体系及其运行方式、您是否参加某个 DPO 网络、您在该网络中的贡献等）。

已开展的合规推进工作

目标：介绍与各部门、外部合作方以及必要时与 CNIL 一起开展的各项工作。

这一部分应纳入许多类型的活动（意识提升、协助业务部门处理涉及个人数据使用的项目等）。

只要可能，请补充各类活动所投入的时间；将这些信息以可视化和图形化方式呈现（例如表格等）；您也可以提供一份汇总，列出主要已完成工作、重点项目及关键数字，使决策者可以按栏目快速掌握重点信息。

开展意识提升和培训活动（由 DPO 自行组织或在其推动下组织）

您是否组织过意识提升和 / 或培训活动？[ ] 是 [ ] 否

如有：

• 请说明面向各部门开展了哪些活动、组织了多少场、约有多少人接受了意识提升 / 培训（例如组织说明会、通过邮件发送数据保护新闻简报 / 快讯、提供资料资源等）；
• 请说明面向决策层机构开展了哪些活动（例如在执行委员会上的汇报）。

为合规管理建立流程和文档模板

您是否已经建立用于推进本机构合规管理的流程和文档模板？[ ] 是 [ ] 否

• 请列出已经制定或补充完善的治理文件，例如：隐私政策、信息系统安全政策、信息化章程、新员工入职手册等。
• 请列出已经存在的内部流程（或正在制定中的流程）。如果文件仍在起草 / 更新中，请尽可能注明预计完成日期。
  • DPO 及其内部联络人的介入申请流程；
  • 处理活动记录的维护；
  • 权利行使请求的处理；
  • 个人数据泄露的管理；
  • CNIL 检查应对；
  • 其他。
• 请列出已经存在或正在制定中的合规文档模板（合同条款、告知说明、DPIA 等）。如果文件仍在起草 / 更新中，请注明预计完成日期。

处理活动登记册的进展情况

请说明处理活动记录表的进展情况：

• 处理活动登记册是否完整？登记表中的各项记录以何种频率更新？
• 哪些业务部门参与了登记册的补充和更新？
• 下一步围绕登记册还需要开展哪些工作？

您被征询较多的主要议题

在适当情况下，除量化信息外，还可以用下表突出您处理过的主要议题（例如敏感处理活动等）。

可填写表格（按需增行）：

已完成 DPIA 的重点情况

请说明已经开展了哪些数据保护影响评估（DPIA），以及针对那些可能对个人权利与自由造成高风险的处理活动，已经采取或尚待采取的主要措施。

已开展审计及纠正措施的重点情况

纠正措施示例：

• 增加面向相关个人的新告知说明；
• 采取措施便利权利行使，并确保在法定期限内处理请求；
• 清理保存期限过长的数据；
• 强化部分物理、逻辑和 / 或组织层面的安全措施；
• 修订合同治理框架（例如在委托处理场景中补入必需条款，签署欧盟委员会标准合同条款以规范向欧盟以外的数据传输）；
• 根据发现情况更新处理活动登记册（新增 / 删除处理活动，或调整其实施条件，例如排除某一类数据、缩短保存期限）。

与个人数据保护有关的外部机构请求（例如商业伙伴、法定授权第三方等）

其目的在于保留新类型请求及相应答复的记录，以形成可供后续参照的历史资料。

欧盟以外数据传输的管理

尤其包括标准合同条款、BCR 和认证机制。

个人数据安全管理

识别出了哪些网络安全威胁？是否已经实际发生并需要处理？安全负责人和 DPO 之间如何协作？

请在此给出一份摘要，并可主动征求机构 RSSI 的意见。

如有数据泄露登记册，也可在此引用其内容。

个人数据泄露管理

• 是否存在数据泄露管理政策和标准文档？
• 在数据泄露管理方面，内部的信息决策与共享路径是什么（特别是 RSSI 与 DPO 的协作）？外部路径又是什么（与处理者及主管机关之间的联系）？
• 发生泄露时应遵循的流程是否清晰、已知、最新且有效？DPO 如何参与其中？
• 请说明数据泄露数量，以及与上一统计期间相比是增加还是减少。
• 对于每一起泄露，请说明其性质、涉及人数、已识别风险以及已采取措施。
• 请注明是否已向 CNIL 发出通知，以及是否已告知相关个人。
• 已经采取或计划采取哪些改进措施？

您可以使用下表概括不同的数据泄露事件：

权利行使请求和 CNIL 处理投诉的管理

• 是否存在权利行使请求处理流程？是否存在投诉处理流程？
• 如果存在，内部的信息决策和共享路径是什么？
• 该流程是否清晰、已知且有效？请说明权利行使请求数量，以及与上一统计期间相比是增加还是减少。
• 您是否面临大量投诉案件？
• 这些投诉的对象是否总是相同？
• 请说明为保障个人权利并减少收到的投诉数量而采取的措施。
• 如遇到值得展示并保留在报告中的复杂案例，也请加以描述。

您可以使用下表概括不同类型的权利行使请求：

您可以使用下表概括不同投诉案件：

与 CNIL 检查、责令整改、制裁程序或其他纠正措施有关事项的跟进

您可以使用下表概括与 CNIL 检查 / 制裁有关的信息：

下一年度的评估、展望与需求

目标：

• 评估机构在数据保护方面的成熟度；
• 列出下一阶段优先项目、战略目标以及实现这些目标所需的资源。

为形成完整总结，建议您借助 CNIL 提供的工具，衡量机构在数据保护管理成熟度方面的变化（由您自行评估更新这一成熟度跟踪的合理频率）。

这一部分尤其适合用于面向管理层和同事开展意识提升工作。

与既定目标相比的满意事项

在数据保护方面，您识别出的主要成功之处是什么？既定目标是否已经实现？如果没有，原因是什么？如果已经实现，成功因素是什么？这些成果如何与上一年度形成延续？已开展行动与数据保护最新动态（CNIL 工作、法律演变等）之间有哪些联系？

可填入的示例包括：机构在外包处理活动法律治理方面的成熟度提升；由于提交给 DPO 的事项增加，员工对数据保护管理的参与程度更高。

关于处理活动合规的一般和专项关注点

DPO 识别出的主要合规风险有哪些？这些预警是否已经共享并得到处理？为解决这些问题，计划采取哪些行动？

可填入的示例包括：数据泄露增加，表明需要强化技术和 / 或组织安全措施；在保存期限管理方面存在整体性问题；某些处理活动尚未开展 DPIA。

关于 DPO 履职以及确保机构合规所采取组织措施的改进建议

待补充。

纳入下一年度拟定路线图

下一年度的目标是什么？为实现这些目标需要开展哪些行动？结合本机构的优先事项（战略规划、年度目标、引入新服务或新信息系统等），哪些工作应继续优先推进，哪些将成为新的工作重点？您将围绕哪些主题和处理活动开展工作？

可填入的示例包括：在整体合规统筹中优先推进“个人权利”“安全”“保存期限”等议题；加强意识提升与审计工作；针对某些处理活动完成 DPIA 等。

细化所需资源

为落实下一年度路线图，需要哪些人力、技术和财务资源？

可填入的示例包括：预算、培训、任命副手和 / 或联络人、增加投入工时或临时采购外部服务、加入数据保护专业协会等。

附件

如有必要。

可在活动报告附件中加入补充材料，以便对报告某些部分作进一步说明。

说明：本文件为公众号渲染试稿，建议在浏览器中打开后复制渲染结果，再粘贴到公众号编辑器。