1. 隐私保护基础1.1. 个人数据安全或者说隐私保护是数据安全中的一个重要部分1.2. 除了需要满足企业内部的数据安全要求之外还需要满足所有适用的法律法规要求。满足内部的要求可称为内部合规满足法律法规的要求就是外部合规1.3. 隐私1.3.1. 自从人类开始穿上“衣服”​隐私的意识就萌芽了1.3.2. 隐私也存在各种表现形式如单独的生活空间房间、屏风、帘子​不愿告知他人财富数量或疾病等1.3.3. 直到1890年美国律师Samuel Warren和Louis Brandeis在《哈佛法学评论》上发表了《The Right To Privacy》​隐私权后才被视为隐私权的真正诞生1.3.4. 隐私就是自然人享有的其个人事务、关系不被他人知悉的权利以及免于被打扰或监视的权利1.3.5. 个人数据是已经识别出来的或者可以识别出来的跟自然人有关的任何数据1.3.5.1. 已经识别出来的数据是指可以唯一确定某个自然人的数据1.3.5.2. 可以识别出来的数据是指不包含可直接确定某个自然人的数据但通过已有的信息经过分析或推理可以确定某个自然人的数据1.3.6. 隐私保护与数据安全之间存在交集这个交集即个人数据安全那么隐私保护可以理解为个人数据的数据安全与合规遵从1.3.7. 数据安全以“保障数据全生命周期的安全防止数据泄露”为首要目标隐私保护以“法律合规”为首要目标2. 隐私保护的技术手段2.1. 身份认证Authentication​用户主体是谁2.2. 授权Authorization​授予某些用户主体允许或拒绝访问客体的权限2.3. 访问控制Acccess control​是否放行的执行者2.4. 可审计Auditable​形成可供追溯的记录2.5. 资产保护Asset protection​资产的保密性、完整性、可用性保障2.6. 实现业务数据安全和个人数据安全的技术手段大体上是相同的3. 合规遵从3.1. 欧盟GDPR通用数据保护条例​3.2. 中国的《网络安全法》​2017年6月1日生效​、​《个人信息安全规范》​3.3. 日本《个人信息保护法》​The Personal Information Act, PIPA,2015年修正案2017年生效​3.4. 《加州消费者隐私法案》​CCPA,2020年1月1日生效​、​《美欧隐私盾协议》​2016年8月1日生效内容主要是个人数据从欧盟传输到美国公司后适用欧盟数据保护标准​、​《隐私法案》​1974生效以1973年FIPs即公平信息实践准则为基础​3.5. 如果提供的是网络服务比如网站涉及不特定用户的注册访问就需要特别小心了这可能涉及处理当地居民的个人数据3.6. 各国或地区隐私保护相关法律法规的要求也在互相借鉴大多数条款是相似或重复的3.7. 法律法规数量众多总数量数百部一一匹配是不现实的3.8. 隐私保护团队需要将“合规基准”作为制定内部文件体系的输入3.9. “合规基准”并不是一成不变的也需要适应外部法律环境的变化4. GDPR4.1. 在隐私保护领域GDPR是截至目前最为重要、适用范围最广也最受关注的一部法律是隐私保护工作最为重要的输入之一4.1.1. 长臂管辖4.2. GDPRGeneral Data Protection Regulation通用数据保护条例是欧盟通过的旨在保护自然人的个人数据及个人数据在欧盟境内自由流通的法律已于2018年5月25日生效4.3. GDPR适用于在EEAEuropean Economic Area欧洲经济区境内运营处理个人数据的组织也适用于EEA以外为EEA公民提供商品或服务的组织以及监控欧盟公民行为的组织4.4. 瑞士瑞士虽然位于欧洲腹地德国、法国、意大利之间​但它既不在欧盟也不在EEA国家名单中并不是GDPR直接适用的国家4.4.1. 瑞士有自己的联邦数据保护法案Swiss Federal Data Protection Act​在GDPR发布后该法案参考GDPR做了修订可认为是类似GDPR的法案4.5. 角色4.5.1. 数据控制者Controller4.5.1.1. 数据控制者决定处理数据的目的和方式有义务确保它跟数据处理者之间的合同遵从GDPR要求4.5.2. 数据处理者Processor​4.5.2.1. 数据处理者代表控制者处理个人数据有维护数据处理记录的义务4.5.2.2. 如果数据处理者在按照数据控制者的意图处理数据之外还加入了自己的意图和处理活动就会演变为共同控制者4.5.2.3. 共同控制者也属于数据控制者需要履行数据控制者的义务4.6. 六项原则4.6.1. 合法lawfulness​、公正fairness​、透明transparency​4.6.1.1. 个人数据应当以合法、公正、透明的方式处理4.6.1.2. 如果数据处理可能引起对某些数据主体的歧视如价格歧视可视为公正性受到影响4.6.1.3. 透明则主要体现在保障用户的知情权和明示同意方面4.6.2. 限定目的purpose limitation​收集的数据只能用于限定的目的4.6.3. 数据最小化data minimisation​仅收集必要的数据4.6.4. 准确accuracy​个人数据应当准确4.6.5. 留存期限限制storage limitation​4.6.5.1. 已达成数据处理目的不再需要留存的数据应在合理的留存期到期后及时清理这个留存期通常是为了满足法定的审计要求4.6.6. 完整性和保密性integrity and confidentiality​4.6.6.1. 采取适当的技术或组织措施来防止未授权的访问防止数据被破坏或丢失4.6.7. 问责制accountability​即数据控制者有责任且能够证明自身合规包括隐私保护政策文件以及保留处理隐私活动的记录4.6.7.1. 隐私影响评估PIA记录4.6.7.2. 隐私安全设计文档4.6.7.3. 数据流转审核记录4.6.7.4. 数据主体请求及处理的记录4.6.7.5. 隐私泄露事件响应与处理的记录4.7. 法律依据4.7.1. 数据主体的同意4.7.2. 合同义务4.7.3. 法定义务4.7.4. 保护数据主体或他人的核心利益4.7.5. 公共利益如公共安全4.7.6. 数据控制者或第三方的合法利益但不得妨碍数据主体的利益、基本权利和自由并需要考虑到数据主体的合理期望4.7.7. 处理儿童数据4.7.7.1. 处理16岁以下儿童的个人数据需要征得监护人的同意或授权4.7.7.2. 欧盟各成员国也可以通过立法调整年龄阈值但最低不得低于13岁4.7.8. 特殊的数据类型4.7.8.1. 禁止处理种族、血统、宗教信仰、基因遗传、工会成员、健康以及与性相关的个人数据4.8. 数据主体的权利4.8.1. 知情权4.8.1.1. 收集个人数据时一种方式是直接向数据主体即自然人本人收集第二种方式是通过其他渠道获取4.8.2. 访问权4.8.2.1. 确认其个人数据是否被处理、处理的目的用途​、数据类别、存储期限或标准4.8.2.2. 权利信息更正、删除、限制、拒绝的权利4.8.2.3. 个人数据的副本4.8.3. 更正权4.8.3.1. 数据主体有权更正错误的个人数据4.8.4. 删除权4.8.4.1. 数据主体有权删除自己的数据4.8.5. 限制处理权4.8.5.1. 在特定场景下数据主体有权要求数据控制者限制对他的个人数据的使用4.8.5.2. 数据不准确4.8.5.3. 处理数据的行为没有法律依据或者使用了非法的手段4.8.5.4. 数据虽然已不再需要用于原来的目的但有可能需要作为法律证据保留这时用户可要求限制处理但并不删除4.8.5.5. 处理数据的法律依据是为了公共利益或数据控制者及第三方的合法利益4.8.6. 可移植权4.8.6.1. 数据主体有权要求将自己的数据转移到另一家数据控制者数据控制者应当配合4.8.7. 反对权4.8.7.1. 数据主体有权撤回自己之前的同意但是不影响在撤回之前基于用户同意所做的处理4.8.7.2. 数字营销、自动化决策含画像需要获得用户的明示同意4.9. 数据控制者和数据处理者的义务4.9.1. 保持透明4.9.1.1. 为每个业务提供明确的隐私政策并在醒目的位置放置链接4.9.2. 获取用户授权同意4.9.2.1. 如果需要收集、使用用户个人数据则应获取用户明确同意4.9.2.2. 不能默认勾选用户同意选项必须确保所有的用途都已明确获得用户的同意4.9.3. 赋予用户控制权4.9.3.1. 赋予用户查询、更正、删除个人隐私及限制访问、撤回同意等权利4.9.4. 任命数据保护官4.9.4.1. 数据保护官的职责是对数据保护工作进行监测、内部教育培训、合规性审计以及代表企业与GDPR监管方或用户沟通4.9.4.2. 数据保护官的工作是独立开展的在法律规定的框架下履行职责不能接受来自企业内部的“指导”​4.9.5. 问责制与自我证明合规4.9.5.1. 数据处理记录4.9.5.2. 隐私影响评估记录4.9.5.3. 定期执行隐私合规审计和政策审核作为证明自身合规的一部分4.9.5.4. 作为数据处理者需能够向数据控制者证明自身的合规性并接受数据控制者或其委托人的审计4.9.6. 事件报告4.9.6.1. 在发生危及欧盟公民个人信息的安全事件后72小时之内企业须上报欧盟数据保护机构4.9.6.2. 发生个人数据泄露事件后数据处理者当立即通知数据控制者4.10. GDPR是隐私保护的法律文件对适用范围内的企业具有强制性效力5. 个人信息安全规范5.1. 个人敏感信息5.1.1. 个人身份信息各种身份证件以及网络账号、口令、口令保护、数字证书等5.1.2. 个人财产信息如账号、口令、存款及流水记录、房产、信贷、征信、虚拟财产等5.1.3. 个人健康生理信息如既往病史及诊疗记录、生育信息、健康状况等5.1.4. 个人生物识别信息如基因、指纹、声纹、虹膜、面部识别特征等5.1.5. 其他敏感信息如婚史、性取向、宗教信仰、犯罪记录、通信记录、定位及轨迹、住宿记录、上网浏览记录等5.2. 个人信息安全原则5.2.1. 权责一致收集了用户个人信息就需要对其安全负责对处理不当造成的损害负责5.2.2. 目的明确需要有合法、正当、必要、明确的用途5.2.3. 选择同意向用户明示个人信息的用途、范围、规则征得用户授权同意5.2.4. 最少够用基于用户同意的目的只处理所需的最少个人信息且目的达成后删除5.2.5. 公开透明公开处理个人信息的范围、目的、规则接受外部监督5.2.6. 确保安全采取足够的安全管理措施和技术手段保护个人信息的保密性、完整性、可用性5.2.7. 主体参与向用户提供查询、更正、删除其个人信息以及撤回授权、注销账号、投诉等方法5.3. 生命周期管理5.3.1. 合法性不得采用欺诈、隐瞒、诱骗/误导的方式不得从非法渠道间接获取不得收集法律法规禁止收集的个人信息5.3.2. 必要性最小化收集5.3.3. 非强迫不得强迫用户一次性授权各项业务的收集需求用户已拒绝的收集需求不得频繁征求同意5.3.4. 明示与授权需要明确告知用户收集的个人信息类型、用途、收集方式和频率、存储期限、自身安全能力等并获取用户的授权收集14周岁以下儿童的个人信息需要征得其监护人的明示同意5.4. 个人信息的使用5.4.1. 对被授权访问个人信息的人员应建立最小化授权的访问控制策略5.4.2. 对个人信息的重要操作设置内部审批流程5.4.3. 对数据操作、安全管理、审计等角色执行职责分离不能由同一人担任其中两种重要角色5.4.4. 对个人信息加工处理产生的信息如能单独或者结合其他信息识别出自然人的身份则该信息也认定为个人信息5.4.5. 使用个人信息如超出收集时向用户明示的范围应再次征得用户同意5.4.6. 对于个性化定制内容​应显著标识个性化展示等字样并提供简单直观的退出选项5.5. 个人信息的删除5.5.1. 个人信息控制者违反约定收集、使用约定范围之外的个人信息或向第三方共享/转让个人信息或披露个人信息用户要求删除的应删除个人信息5.6. 撤回授权5.6.1. 应向用户提供撤回授权的方法并在撤回后不再收集、使用其个人信息5.6.2. 应保障用户拒收基于其个人信息推送广告的权利5.7. 注销账户5.7.1. 应向用户提供简便的注销账户的方法注销后应及时删除其个人信息或做匿名化处理6. GAPP框架6.1. GAPP即Generally Accepted Privacy Principles公认隐私准则是由美加会计师协会2003年联合发布的隐私保护准则框架后又经过多轮修订目前版本为2009年8月修订​旨在方便隐私管理促进隐私合规以及为隐私认证或审计提供一个可供参考的标准6.2. 10项隐私原则6.2.1. 管理Management​建立并文档化隐私政策、控制流程、沟通机制、问责机制6.2.2. 告知Notice​向数据主体提供隐私政策、控制措施标明个人信息被收集、使用、留存、披露的目的6.2.3. 选择同意Choice and consent​向数据主体提供选择机制并获得数据主体对其个人信息收集、使用、留存、披露等用途的明示同意6.2.4. 收集Collection​收集的个人数据仅用于明确告知的用途6.2.5. 使用/留存/披露Use, retention, and disposal​个人数据限定使用于明确告知的用途并需要得到个人的明示同意留存时间不超过法规要求或实现该用途所需的时间并在到期时清理6.2.6. 访问Access​提供个人访问其个人数据的渠道用于查询、更新6.2.7. 披露给第三方Disclosure to third parties​向第三方提供个人信息时仅限已向个人告知的用途并获得个人的同意6.2.8. 隐私安全Security for privacy​保护个人数据防止未授权的访问包括物理访问以及逻辑上访问6.2.9. 质量quality​保证个人信息准确、完整仅用于告知的用途6.2.10. 监督和实施Monitoring and enforcement​应监督隐私政策和控制措施确保合规并具备针对用户投诉、争议的处理流程6.3. GAPP是协助管理隐私政策和隐私项目的综合性框架不具有强制性6.3.1. GAPP要早于GDPR7. ISO 270187.1. 旨在保证云上个人可识别信息Personally Identifiable Information, PII的安全7.2. 同意Consent​云服务提供商不得使用其收集的个人信息用于广告营销目的除非获得客户的明确同意7.3. 控制Control​客户可以明确地控制对他们的个人信息的使用7.4. 透明度Transparency​云服务提供商必须告知客户他们的数据被存储在哪里披露是否有分包商处理PII并且对如何处理这些数据做出明确的承诺7.5. 问责制Accountability​任何信息安全事件都需要触发对云服务提供商的审核确定是否存在PII泄露、篡改7.6. 沟通Communication​在出现PII数据泄露的时候云服务提供商需告知客户及监管机构并清楚地记录本次事故及响应7.7. 独立审计Independent audit​云服务提供商应定期每年一次交由独立第三方审计