读数据安全架构设计与实践23隐私保护基础

1. 隐私保护基础

1.1. 个人数据安全，或者说隐私保护，是数据安全中的一个重要部分

1.2. 除了需要满足企业内部的数据安全要求之外，还需要满足所有适用的法律法规要求。满足内部的要求可称为内部合规，满足法律法规的要求就是外部合规

1.3. 隐私

• 1.3.1. 自从人类开始穿上“衣服”​，隐私的意识就萌芽了

• 1.3.2. 隐私也存在各种表现形式，如单独的生活空间（房间、屏风、帘子）​，不愿告知他人财富数量或疾病等

• 1.3.3. 直到1890年，美国律师Samuel Warren和Louis Brandeis在《哈佛法学评论》上发表了《The Right To Privacy》​（隐私权）后才被视为隐私权的真正诞生

• 1.3.4. 隐私，就是自然人享有的其个人事务、关系不被他人知悉的权利，以及免于被打扰或监视的权利

• 1.3.5. 个人数据是已经识别出来的或者可以识别出来的跟自然人有关的任何数据

• 1.3.5.1. 已经识别出来的数据，是指可以唯一确定某个自然人的数据

• 1.3.5.2. 可以识别出来的数据，是指不包含可直接确定某个自然人的数据，但通过已有的信息，经过分析或推理可以确定某个自然人的数据

• 1.3.6. 隐私保护与数据安全之间存在交集，这个交集即个人数据安全，那么隐私保护可以理解为个人数据的数据安全与合规遵从

• 1.3.7. 数据安全以“保障数据全生命周期的安全，防止数据泄露”为首要目标，隐私保护以“法律合规”为首要目标

2. 隐私保护的技术手段

2.1. 身份认证（Authentication）​：用户主体是谁？

2.2. 授权（Authorization）​：授予某些用户主体允许或拒绝访问客体的权限

2.3. 访问控制（Acccess control）​：是否放行的执行者

2.4. 可审计（Auditable）​：形成可供追溯的记录

2.5. 资产保护（Asset protection）​：资产的保密性、完整性、可用性保障

2.6. 实现业务数据安全和个人数据安全的技术手段大体上是相同的

3. 合规遵从

3.1. 欧盟GDPR（通用数据保护条例）​

3.2. 中国的《网络安全法》​（2017年6月1日生效）​、​《个人信息安全规范》​

3.3. 日本《个人信息保护法》​（The Personal Information Act, PIPA,2015年修正案，2017年生效）​

3.4. 《加州消费者隐私法案》​（CCPA,2020年1月1日生效）​、​《美欧隐私盾协议》​（2016年8月1日生效，内容主要是个人数据从欧盟传输到美国公司后，适用欧盟数据保护标准）​、​《隐私法案》​（1974生效，以1973年FIPs即公平信息实践准则为基础）​

3.5. 如果提供的是网络服务，比如网站涉及不特定用户的注册访问，就需要特别小心了，这可能涉及处理当地居民的个人数据

3.6. 各国（或地区）隐私保护相关法律法规的要求也在互相借鉴，大多数条款是相似或重复的

3.7. 法律法规数量众多，总数量数百部，一一匹配是不现实的

3.8. 隐私保护团队需要将“合规基准”作为制定内部文件体系的输入

3.9. “合规基准”并不是一成不变的，也需要适应外部法律环境的变化

4. GDPR

4.1. 在隐私保护领域，GDPR是截至目前最为重要、适用范围最广也最受关注的一部法律，是隐私保护工作最为重要的输入之一

• 4.1.1. 长臂管辖

4.2. GDPR（General Data Protection Regulation，通用数据保护条例）是欧盟通过的旨在保护自然人的个人数据及个人数据在欧盟境内自由流通的法律，已于2018年5月25日生效

4.3. GDPR适用于在EEA（European Economic Area，欧洲经济区）境内运营处理个人数据的组织，也适用于EEA以外为EEA公民提供商品或服务的组织，以及监控欧盟公民行为的组织

4.4. 瑞士，瑞士虽然位于欧洲腹地（德国、法国、意大利之间）​，但它既不在欧盟，也不在EEA国家名单中，并不是GDPR直接适用的国家

• 4.4.1. 瑞士有自己的联邦数据保护法案（Swiss Federal Data Protection Act）​，在GDPR发布后，该法案参考GDPR做了修订，可认为是类似GDPR的法案

4.5. 角色

• 4.5.1. 数据控制者（Controller）

• 4.5.1.1. 数据控制者决定处理数据的目的和方式，有义务确保它跟数据处理者之间的合同遵从GDPR要求

• 4.5.2. 数据处理者（Processor）​

• 4.5.2.1. 数据处理者代表控制者处理个人数据，有维护数据处理记录的义务

• 4.5.2.2. 如果数据处理者在按照数据控制者的意图处理数据之外，还加入了自己的意图和处理活动，就会演变为共同控制者

• 4.5.2.3. 共同控制者也属于数据控制者，需要履行数据控制者的义务

4.6. 六项原则

• 4.6.1. 合法（lawfulness）​、公正（fairness）​、透明（transparency）​

• 4.6.1.1. 个人数据应当以合法、公正、透明的方式处理

• 4.6.1.2. 如果数据处理可能引起对某些数据主体的歧视，如价格歧视，可视为公正性受到影响

• 4.6.1.3. 透明则主要体现在保障用户的知情权和明示同意方面

• 4.6.2. 限定目的（purpose limitation）​：收集的数据只能用于限定的目的

• 4.6.3. 数据最小化（data minimisation）​：仅收集必要的数据

• 4.6.4. 准确（accuracy）​：个人数据应当准确

• 4.6.5. 留存期限限制（storage limitation）​

• 4.6.5.1. 已达成数据处理目的，不再需要留存的数据应在合理的留存期到期后及时清理，这个留存期通常是为了满足法定的审计要求

• 4.6.6. 完整性和保密性（integrity and confidentiality）​

• 4.6.6.1. 采取适当的技术或组织措施来防止未授权的访问，防止数据被破坏或丢失

• 4.6.7. 问责制（accountability）​，即数据控制者有责任且能够证明自身合规，包括隐私保护政策文件以及保留处理隐私活动的记录

• 4.6.7.1. 隐私影响评估（PIA）记录

• 4.6.7.2. 隐私安全设计文档

• 4.6.7.3. 数据流转审核记录

• 4.6.7.4. 数据主体请求及处理的记录

• 4.6.7.5. 隐私泄露事件响应与处理的记录

4.7. 法律依据

• 4.7.1. 数据主体的同意

• 4.7.2. 合同义务

• 4.7.3. 法定义务

• 4.7.4. 保护数据主体或他人的核心利益

• 4.7.5. 公共利益，如公共安全

• 4.7.6. 数据控制者或第三方的合法利益，但不得妨碍数据主体的利益、基本权利和自由，并需要考虑到数据主体的合理期望

• 4.7.7. 处理儿童数据

• 4.7.7.1. 处理16岁以下儿童的个人数据，需要征得监护人的同意或授权

• 4.7.7.2. 欧盟各成员国也可以通过立法调整年龄阈值，但最低不得低于13岁

• 4.7.8. 特殊的数据类型

• 4.7.8.1. 禁止处理种族、血统、宗教信仰、基因遗传、工会成员、健康以及与性相关的个人数据

4.8. 数据主体的权利

• 4.8.1. 知情权

• 4.8.1.1. 收集个人数据时，一种方式是直接向数据主体（即自然人本人）收集，第二种方式是通过其他渠道获取

• 4.8.2. 访问权

• 4.8.2.1. 确认其个人数据是否被处理、处理的目的（用途）​、数据类别、存储期限或标准

• 4.8.2.2. 权利信息（更正、删除、限制、拒绝的权利）

• 4.8.2.3. 个人数据的副本

• 4.8.3. 更正权

• 4.8.3.1. 数据主体有权更正错误的个人数据

• 4.8.4. 删除权

• 4.8.4.1. 数据主体有权删除自己的数据

• 4.8.5. 限制处理权

• 4.8.5.1. 在特定场景下，数据主体有权要求数据控制者限制对他的个人数据的使用

• 4.8.5.2. 数据不准确

• 4.8.5.3. 处理数据的行为没有法律依据，或者使用了非法的手段

• 4.8.5.4. 数据虽然已不再需要用于原来的目的，但有可能需要作为法律证据保留，这时用户可要求限制处理，但并不删除

• 4.8.5.5. 处理数据的法律依据是为了公共利益，或数据控制者及第三方的合法利益

• 4.8.6. 可移植权

• 4.8.6.1. 数据主体有权要求将自己的数据，转移到另一家数据控制者，数据控制者应当配合

• 4.8.7. 反对权

• 4.8.7.1. 数据主体有权撤回自己之前的同意，但是不影响在撤回之前基于用户同意所做的处理

• 4.8.7.2. 数字营销、自动化决策（含画像）需要获得用户的明示同意

4.9. 数据控制者和数据处理者的义务

• 4.9.1. 保持透明

• 4.9.1.1. 为每个业务提供明确的隐私政策，并在醒目的位置放置链接

• 4.9.2. 获取用户授权同意

• 4.9.2.1. 如果需要收集、使用用户个人数据，则应获取用户明确同意

• 4.9.2.2. 不能默认勾选用户同意选项，必须确保所有的用途都已明确获得用户的同意

• 4.9.3. 赋予用户控制权

• 4.9.3.1. 赋予用户查询、更正、删除个人隐私，及限制访问、撤回同意等权利

• 4.9.4. 任命数据保护官

• 4.9.4.1. 数据保护官的职责是对数据保护工作进行监测、内部教育培训、合规性审计以及代表企业与GDPR监管方或用户沟通

• 4.9.4.2. 数据保护官的工作是独立开展的，在法律规定的框架下履行职责，不能接受来自企业内部的“指导”​

• 4.9.5. 问责制与自我证明合规

• 4.9.5.1. 数据处理记录

• 4.9.5.2. 隐私影响评估记录

• 4.9.5.3. 定期执行隐私合规审计和政策审核，作为证明自身合规的一部分

• 4.9.5.4. 作为数据处理者，需能够向数据控制者证明自身的合规性并接受数据控制者或其委托人的审计

• 4.9.6. 事件报告

• 4.9.6.1. 在发生危及欧盟公民个人信息的安全事件后72小时之内，企业须上报欧盟数据保护机构

• 4.9.6.2. 发生个人数据泄露事件后，数据处理者当立即通知数据控制者

4.10. GDPR是隐私保护的法律文件，对适用范围内的企业具有强制性效力

5. 个人信息安全规范

5.1. 个人敏感信息

• 5.1.1. 个人身份信息：各种身份证件，以及网络账号、口令、口令保护、数字证书等

• 5.1.2. 个人财产信息：如账号、口令、存款及流水记录、房产、信贷、征信、虚拟财产等

• 5.1.3. 个人健康生理信息：如既往病史及诊疗记录、生育信息、健康状况等

• 5.1.4. 个人生物识别信息：如基因、指纹、声纹、虹膜、面部识别特征等

• 5.1.5. 其他敏感信息：如婚史、性取向、宗教信仰、犯罪记录、通信记录、定位及轨迹、住宿记录、上网浏览记录等

5.2. 个人信息安全原则

• 5.2.1. 权责一致：收集了用户个人信息，就需要对其安全负责，对处理不当造成的损害负责

• 5.2.2. 目的明确：需要有合法、正当、必要、明确的用途

• 5.2.3. 选择同意：向用户明示个人信息的用途、范围、规则，征得用户授权同意

• 5.2.4. 最少够用：基于用户同意的目的，只处理所需的最少个人信息，且目的达成后删除

• 5.2.5. 公开透明：公开处理个人信息的范围、目的、规则，接受外部监督

• 5.2.6. 确保安全：采取足够的安全管理措施和技术手段，保护个人信息的保密性、完整性、可用性

• 5.2.7. 主体参与：向用户提供查询、更正、删除其个人信息，以及撤回授权、注销账号、投诉等方法

5.3. 生命周期管理

• 5.3.1. 合法性：不得采用欺诈、隐瞒、诱骗/误导的方式；不得从非法渠道间接获取；不得收集法律法规禁止收集的个人信息

• 5.3.2. 必要性：最小化收集

• 5.3.3. 非强迫：不得强迫用户一次性授权各项业务的收集需求；用户已拒绝的收集需求，不得频繁征求同意

• 5.3.4. 明示与授权：需要明确告知用户收集的个人信息类型、用途、收集方式和频率、存储期限、自身安全能力等，并获取用户的授权；收集14周岁以下儿童的个人信息，需要征得其监护人的明示同意

5.4. 个人信息的使用

• 5.4.1. 对被授权访问个人信息的人员，应建立最小化授权的访问控制策略

• 5.4.2. 对个人信息的重要操作设置内部审批流程

• 5.4.3. 对数据操作、安全管理、审计等角色，执行职责分离，不能由同一人担任其中两种重要角色

• 5.4.4. 对个人信息加工处理产生的信息，如能单独或者结合其他信息识别出自然人的身份，则该信息也认定为个人信息

• 5.4.5. 使用个人信息，如超出收集时向用户明示的范围，应再次征得用户同意

• 5.4.6. 对于个性化定制内容​，应显著标识个性化展示等字样，并提供简单直观的退出选项

5.5. 个人信息的删除

• 5.5.1. 个人信息控制者违反约定，收集、使用约定范围之外的个人信息，或向第三方共享/转让个人信息，或披露个人信息，用户要求删除的，应删除个人信息

5.6. 撤回授权

• 5.6.1. 应向用户提供撤回授权的方法，并在撤回后不再收集、使用其个人信息

• 5.6.2. 应保障用户拒收基于其个人信息推送广告的权利

5.7. 注销账户

• 5.7.1. 应向用户提供简便的注销账户的方法，注销后，应及时删除其个人信息或做匿名化处理

6. GAPP框架

6.1. GAPP即Generally Accepted Privacy Principles，公认隐私准则，是由美加会计师协会2003年联合发布的隐私保护准则框架，后又经过多轮修订（目前版本为2009年8月修订）​，旨在方便隐私管理，促进隐私合规，以及为隐私认证或审计提供一个可供参考的标准

6.2. 10项隐私原则

• 6.2.1. 管理（Management）​：建立并文档化隐私政策、控制流程、沟通机制、问责机制

• 6.2.2. 告知（Notice）​：向数据主体提供隐私政策、控制措施，标明个人信息被收集、使用、留存、披露的目的

• 6.2.3. 选择同意（Choice and consent）​：向数据主体提供选择机制，并获得数据主体对其个人信息收集、使用、留存、披露等用途的明示同意

• 6.2.4. 收集（Collection）​：收集的个人数据仅用于明确告知的用途

• 6.2.5. 使用/留存/披露（Use, retention, and disposal）​：个人数据限定使用于明确告知的用途并需要得到个人的明示同意，留存时间不超过法规要求或实现该用途所需的时间，并在到期时清理

• 6.2.6. 访问（Access）​：提供个人访问其个人数据的渠道，用于查询、更新

• 6.2.7. 披露给第三方（Disclosure to third parties）​：向第三方提供个人信息时，仅限已向个人告知的用途并获得个人的同意

• 6.2.8. 隐私安全（Security for privacy）​：保护个人数据，防止未授权的访问，包括物理访问以及逻辑上访问

• 6.2.9. 质量（quality）​：保证个人信息准确、完整，仅用于告知的用途

• 6.2.10. 监督和实施（Monitoring and enforcement）​：应监督隐私政策和控制措施，确保合规，并具备针对用户投诉、争议的处理流程

6.3. GAPP是协助管理隐私政策和隐私项目的综合性框架，不具有强制性

• 6.3.1. GAPP要早于GDPR

7. ISO 27018

7.1. 旨在保证云上个人可识别信息（Personally Identifiable Information, PII）的安全

7.2. 同意（Consent）​：云服务提供商不得使用其收集的个人信息用于广告营销目的，除非获得客户的明确同意

7.3. 控制（Control）​：客户可以明确地控制对他们的个人信息的使用

7.4. 透明度（Transparency）​：云服务提供商必须告知客户，他们的数据被存储在哪里，披露是否有分包商处理PII，并且对如何处理这些数据做出明确的承诺

7.5. 问责制（Accountability）​：任何信息安全事件都需要触发对云服务提供商的审核，确定是否存在PII泄露、篡改

7.6. 沟通（Communication）​：在出现PII数据泄露的时候，云服务提供商需告知客户及监管机构，并清楚地记录本次事故及响应

7.7. 独立审计（Independent audit）​：云服务提供商应定期（每年一次）交由独立第三方审计