隐私工程白皮书

隐私工程白皮书CCSA TC601 大数据技术标准推进委员会2023年9月版权声明本报告版权属于 CCSA TC601 大数据技术标准推进委员会，并受法律保护。转载、摘编或利用其它方式使用本报告文字或者观点的，应注明“来源：CCSA TC601 大数据技术标准推进委员会”。违反上述声明者，编者将追究其相关法律责任。前 言2022 年，我国发布了国家标准 GB/T 41817-2022《信息安全技术 个人信息安全工程指南》（“《个人信息安全工程指南》”）。作为支撑《中华人民共和国个人信息保护法》（“《个人信息保护法》”）落地的国家标准之一，该标准结合国外隐私工程的实践经验以及《个人信息保护法》的相关要求，在需求、设计、开发、测试、发布的传统开发流程中嵌入个人信息保护的工程化要求，旨在将个人信息保护措施与产品和服务同步规划、建设和使用，主动预防个人信息安全风险和侵害用户个人信息权益事件的发生，为帮助网络产品和服务提升个人信息保护能力提供工程化指引。“ 个 人 信 息 安 全 工 程 ” 的 概 念 取 自 “ 隐 私 工 程 ” 即 “privacyengineering”，国际标准 ISO/IEC TR 27550:2019《信息技术 安全技术 系统生命周期流程中的隐私工程》将隐私工程定义为“将隐私问题纳入系统和软件工程生命周期过程的工程实践”。作为将隐私保护要求嵌入系统工程乃至企业管理全流程的一套方法论，欧盟、美国等国家对其进行持续讨论和研究，对于隐私工程与隐私保护立法的关系、如何指导企业进行隐私工程实践等形成了较为体系化的结论和成果。相比之下，我国对于隐私工程的研究和实践仍处于初期。一方面，随着我国个人信息保护立法的不断完善，如何在落实个人信息保护合规要求的同时尽量减少对业务的负担成为企业无法回避的课题，越来越多的企业开始从技术和管理等多角度求解，但尚未形成较为系统和全面的方法论；另一方面，我国对数据要素市场的大力发展也促使企业主动探寻数据安全合规流通路径，尤其是个人信息的安全合规使用，以掌握参与数据要素市场建设的先机。为了加深企业对隐私工程的理解，帮助处在不同发展阶段的企业提升隐私保护能力，我们联合在隐私工程理论和实践方面有经验的企业共同撰写了《隐私工程白皮书》，对隐私工程的理论发展和我国企业的隐私工程实践经验进行介绍，希望能够为企业隐私保护能力建设提供参考，推动形成更适合我国企业的隐私工程体系。编制说明本报告由 CCSA TC601 牵头撰写，在撰写过程中得到了多家单位的大力支持，主要的参编单位及人员如下：参编单位：蚂蚁科技集团股份有限公司、阿里巴巴（中国）有限公司、Amber Group、OPPO 广东移动通信有限公司、湖北星纪魅族集团有限公司、奇安盘古（上海）信息技术有限公司、杭州用九智汇科技有限公司、联通数字科技有限公司、翼健（上海）信息科技有限公司、北京数牍科技有限公司、北京市金杜律师事务所、广联达科技股份有限公司、中兴通讯股份有限公司参编人员：王丹阳、闫树、吕艾临、侯宁、王泽宇、张斯睿、白晓媛、郑昊旸、苏豫陇、冯坚坚、曾茜、彭晋、李世奇、黄吉鲲、胡恺健、杨晓丹、刘桃松、付艳艳、苏翔、朱玲凤、赵帅、刘隽乔、穆昭薇、崔玲龙、罗震、张霖涛、盛勤芬、金银玉、单进勇、宁宣凤、吴涵、徐梦悦、张婷、孙鹏、郭海生、王德政、薛勇目录一、隐私工程的起源：从隐私设计到隐私工程....................................................... 1(一)隐私设计的产生和发展.......................................................................... 1(二)隐私设计与隐私工程.............................................................................. 4二、隐私工程的内涵：以隐私嵌入系统工程为核心......................................... 6(一)隐私工程的定义...................................................................................... 6(二)隐私工程的目标...................................................................................... 8(三)隐私工程的内容.................................................................................... 10三、隐私工程的价值：企业隐私保护的必经阶段........................................... 13(一)监管趋势：隐私保护监管趋于精细化常态化.................................... 13(二)用户需求：个人信息主体权利保护成为隐私保护重点.................... 15(三)企业发展：隐私保护助力企业合规高效发展.................................... 16四、隐私工程的实践：我国隐私工程实践探索............................................... 18(一)隐私工程体系建设流程参考................................................................ 18(二)隐私工程体系建设架构参考................................................................ 32(三)隐私工程体系建设建议........................................................................ 43五、结语............................................................................................................... 46参考文献..................................................................................................................... 47图 目 录图 1 隐私设计七大基本原则....................................................................................... 2图 2 个人信息安全工程目标和《个人信息保护法》基本原则映射....................... 9图 3 《个人信息安全工程指南》个人信息安全工程各阶段活动