4.5 隐私与数据保护

概述与动机

安全保护数据不被未经授权访问。隐私则提出了一个不同的问题：你究竟是否应该收集、使用并保留这些数据，数据所描述的人是否有发言权？这两者有所重叠，但并不相同。你可以做到完全安全，却仍然侵犯隐私（）办法包括囤积你本无正当理由持有的数据、将数据用于人们从未同意的目的，或以法律所禁止的方式跨境转移数据。对大型团队而言，隐私是一项设计约束。它触及几乎每一个处理个人信息的服务，而如今这几乎意味着所有服务。

风险高企，且仍在攀升。隐私监管已在全球范围内蔓延，其罚款随营收规模而上升，并赋予个人对其数据可执行的权利。对企业而言，不当处理个人数据会招致监管行动、集体诉讼，以及重建成本高昂的客户信任流失。对政府而言，责任更为沉重。公民无法为自己的税务、医疗或福利数据另选一家服务商，因此政府对他们负有特殊的注意义务。而隐私方面的失败，会侵蚀政府所依赖的公众信任。

本章将隐私视为一门工程学科。我们将讨论从一开始就进行隐私设计、负责任地最小化和保留数据、对 PII 和 PHI 等敏感类别进行分类和保护、处理同意与合法依据，以及管理日益影响架构的跨境传输和数据驻留要求。

另见： 第 4.6 章（合规与治理）、第 7.1 章（数据战略与治理）以及第 4.1 章（安全基础与文化）。

核心原则

隐私设计（Privacy by design）与默认隐私保护。 从一开始就将隐私内置于系统之中，并将最具隐私保护性的设置作为默认值。
数据最小化。 只收集你真正需要的数据，只在需要的时间内保留它，并只在必要时共享它。
目的限制。 只将数据用于收集时所披露的特定目的。
合法依据。 每一项处理活动都要有有效的法律正当性。
个人权利。 尊重人们访问、更正、删除和迁移自己数据的权利。
透明度。 明确告知人们你收集了什么、为什么收集，以及与谁共享。
问责制。 能够证明合规，而不仅仅是宣称合规。

建议

从一开始就为隐私而设计

在一个已经建成的系统上强行加装隐私保护，既昂贵又不完整。要从一开始就将其融入其中。

为大规模处理个人数据或风险较高的新系统和新功能开展 数据保护影响评估（DPIA），在构建之前识别并缓解隐私风险。
让默认设置具备隐私保护性：非必要处理采用选择加入（opt-in）而非选择退出（opt-out）、数据字段最小化、保留期尽可能短且合理。
让隐私专业知识尽早参与设计，与安全威胁建模同步进行，使二者都能在信任边界阶段被一并考虑。
维护一份数据地图或清单：你持有哪些个人数据、存放在哪里、为何持有，以及数据流向何处。你无法保护或说明你看不见的数据。

负责任地最小化、保留和清除数据

你所持有的每一份个人数据，既是资产，也是负债。

最小化收集： 对每一个字段都要提出质疑。如果某项数据对已声明的目的而言不是必需的，就不要收集它。
按数据类型和用途设定保留期限，并通过自动化删除来强制执行。“以防万一”而保留的数据，正是等待被泄露或被传票调取的数据。
支持删除权： 构建在所有系统（包括备份和下游副本）中查找并删除某个个人数据的能力，并在法定期限内完成。这在设计阶段就纳入考虑，会比事后加装容易得多。
对用于分析和测试的数据进行匿名化或聚合处理，避免可识别数据扩散到次级环境中。

对敏感数据进行分类和保护

并非所有个人数据都带有相同的风险，某些类别还带有特殊的法律权重。

将数据分级，区分 PII（个人身份信息）、PHI（受保护的健康信息）、财务数据，以及带有更高法律保护的特殊类别数据（如种族、宗教、健康、生物特征或性取向）。
按敏感程度施加相应比例的保护：对最敏感的层级采用更严格的访问控制、加密和监控。
使用 令牌化（tokenization），用非敏感的令牌替换敏感值（例如卡号或国民身份号码），从而缩小接触原始数据的系统范围，进而缩小合规范围。
使用 假名化（pseudonymization），将标识符与记录的其余部分分离，使数据不能被直接归属到个人，从而在保留数据可用性的同时降低风险。
在日志、错误消息、分析数据和非生产环境中对敏感数据进行脱敏处理。

正确处理同意与合法依据

处理个人数据需要有效的法律基础，而同意只是其中之一。

为每一项处理活动识别并记录合法依据：根据适用法律体系的不同，可以是同意、合同、法定义务、重大利益、公共任务或合法利益。
当同意作为依据时，要确保它是自由给出、具体、知情且明确的，并配有同样便捷的撤回方式。预先勾选的选项和捆绑式同意都不具有法律效力。
记录同意情况：当事人同意了什么、何时同意，以及在什么条款下同意，以便你能够加以证明。
遵守目的限制：未经重新取得依据，不要将数据挪作与收集初衷不相符的其他用途。
在法律要求的情况下，尊重请勿跟踪（Do Not Track） / 全球隐私控制（Global Privacy Control）等信号以及退出请求。

管理跨境传输与数据驻留

数据实际存放和流动的位置，如今已成为一项首要的架构考量。

了解数据驻留要求：某些司法辖区要求特定数据必须留在国境之内，某些政府数据必须留存在特定的主权或经认证环境中。
对于跨境传输，要确保有一套有效的法律机制（充分性认定、标准合同条款或同等机制）到位并有文档记录。
从一开始就为数据驻留而设计架构：区域固定存储、数据本地化，以及对备份、日志和分析数据流向的严格控制，因为这些往往会在不知不觉中让数据跨境泄漏。
追踪次级处理者和第三方；一家将数据迁往境外的供应商，可能代你违反数据驻留义务。

权衡：利与弊

决策	优点	缺点
激进的数据最小化	风险更低，泄露影响更小，合规更简单	可能限制分析能力和未来的产品选项
长期保留	为分析、机器学习和争议处理提供丰富的历史数据	负债更大，泄露风险更高，删除工作更复杂
令牌化	缩小合规范围，保护原始数据	增加系统复杂度，需要保护令牌保险库
选择加入默认设置	信任度更高，合规更清晰	数据量更低，增长指标更难达成
区域化数据驻留	满足法律要求，建立主权信任	架构复杂度上升，成本更高，基础设施重复
集中式数据湖	分析能力强大，数据来源单一	风险集中，目的限制更难落实

核心矛盾在于业务对数据的渴求与数据所代表的负债之间的张力。产品和分析团队自然希望收集更多数据、保留更久。隐私纪律则朝相反方向拉扯。成熟的解决之道，是将数据重新定位为需要被证明其正当性的负债，而非可以囤积的资产。每一项收集和保留决策，都必须相对于其所创造的风险来证明自身价值。数据驻留还增加了成本与合规之间的权衡维度。满足主权要求可能使基础设施成倍增加，然而在某些市场和政府场景下，这根本没有商量的余地。

与团队讨论的问题

你们针对每一类个人数据的保留期限是多少，又由什么来强制执行删除？ “以防万一”而保留的数据，正是等待被泄露或被传票调取的数据，因此每个字段、每条记录都需要一个与其目的相绑定的明确生命周期。先按数据类型决定保留期限，再用自动化删除来强制执行，而不是寄望于有人记得。对企业而言，这能同时缩小泄露风险敞口和存储成本；对政府而言，这符合”持有公民数据不得超过法律允许期限”的法定义务。带上你们存放时间最久的一批样本记录，问一问还有谁需要它们、依据是什么，因为诚实的答案往往是”没有人需要”。如果删除是人工执行的、或者根本不存在，数据就会永久累积，你的负债也会在资产负债表上悄悄增长。
哪些敏感字段可以令牌化或假名化，从而同时缩小风险和合规范围？ 用令牌替换卡号或国民身份号码，能将原始值限制在一个小型、受到严格管控的保险库中，从而大幅缩小 PCI-DSS 等审计所涉及的系统范围。假名化将标识符与记录的其余部分分离，在降低风险的同时保留数据用于分析和测试的实用性。要判断哪些高敏感度的值值得为其建立令牌保险库（这会增加复杂度，需要保护该保险库），哪些只需要在日志和非生产环境中做脱敏处理即可。带上一份当前原始敏感值流向的地图，因为每一个接触这些数据的系统，都是你必须保护和审计的系统。对受监管数据和政府数据而言，这种范围缩减是少数能同时降低成本和风险的举措之一，因此应优先瞄准你最敏感的字段。
在你们下一个功能上线之前，什么会触发数据保护影响评估，由谁来执行？ 在一个已经建成的系统上强行加装隐私保护，既昂贵又不完整，因此 DPIA 必须尽早进行，与安全威胁建模同步展开，趁设计改动成本还很低的时候进行。要确定触发条件（新的大规模处理、特殊类别数据、新的用途），并指定评估的责任人，以免它在交付压力下被遗漏。一次真正的 DPIA 能在上线前发现过度收集的问题，例如把精确定位改为粗粒度的区域数据，而不损失任何产品价值。带上一个即将上线的功能，逐项走一遍：它收集了哪些个人数据、为什么，以及是否存在侵入性更小、却能达成同样目标的设计。对于公民无法选择退出的政府服务而言，这种早期检查是注意义务的一部分，应当将其作为一道关卡，而不是事后补救的环节。
当个人数据跨境流动（包括通过备份、日志和次级处理者）时，每一次跨境都由哪种法律机制覆盖，你能证明吗？ 数据驻留和传输规则如今对架构的影响，不亚于任何性能要求，而真正让团队栽跟头的跨境往往不是那些显而易见的情形：发往海外可观测性工具的日志、被复制到更便宜区域的备份，或悄悄将数据迁往境外的次级处理者。对大型组织而言，这里存在真实的相互制约，因为区域固定的基础设施成本更高、运维也会重复，然而一次违法的传输就可能使某个市场准入作废，或引发执法命令。带上一份当前的数据流向图，标明个人数据实际存放或流经的每一个地点、每一次跨境所依据的法律机制（充分性认定、标准合同条款或同等机制），以及次级处理者及其所在地的清单。对于政府和主权数据场景，应将数据驻留视为一项硬性的架构约束，而非合同条款，因为某些记录绝不能离开经认证的国家环境，而问责主体也无法将这项责任委托给供应商。
每一项处理活动背后依据的是哪种合法依据？你明天能向监管机构为这个选择辩护吗？ 同意只是几种法律基础之一，而团队常常默认选择它，尽管合同、法定义务、公共任务或合法利益本可以既更诚实、也更持久。这在规模化场景下尤为重要，因为一个薄弱或选错的依据可能使整条处理流程失效，而事后厘清一项你本无权进行的处理，远比一开始就选对依据昂贵得多。要坦诚地权衡各种相互制约的因素：同意能给予个人控制权，但可以被撤回，且必须是自由给出、具体且不捆绑的；而合法利益之类的依据虽能避免”同意疲劳”，却要求有文档记录的利益权衡测试。带上一份登记表，将每一项处理活动与其所声称的依据、支持该依据的证据，以及一旦受到质疑时如何撤回或切换依据对应起来。在政府场景中，大多数核心处理依据的是公共任务而非同意，因此要精确界定可选的、可撤回的同意从哪里开始，因为将二者混为一谈，会侵蚀公民别无选择、只能给予的信任。
如果今天有人行使其访问、删除或数据迁移的权利，你能否在法定期限内、在每一个系统中满足这一请求？ 个人权利在隐私政策中很容易承诺，但在一个把个人数据副本散落到备份、缓存、分析存储和下游服务中的架构里，却很难真正兑现。对大型团队而言，这正是抽象合规变成具体工程测试的时刻，错过法定期限既是一次可报告的失败，也是一个信号，表明你其实看不清自己的数据。相互制约的因素在于成本和复杂度，因为构建真正的跨系统删除和导出能力是实打实的工作，但另一种选择（）人工、缓慢、容易出错的履行方式（）既无法扩展，又会在不知不觉中触犯法律。带上一次真实请求从受理到完成的诚实全流程演示，包括如何触达备份和第三方，并将其耗时与法定期限对照。对于公民无法退出的政府服务，应将自助式、完整且可审计的权利履行视为注意义务的一部分，而不是可以延后排期的功能。

行业视角

初创企业。 团队规模很小、资金也有限，应把隐私视为廉价的保险，而不是一个你根本养不起人手的项目。只收集核心功能所需的字段，用一份轻量级的电子表格维护数据地图，使你真正能够回应删除请求，并让电子邮件和令牌远离你的日志。现在建立清晰的同意流程和真正的删除能力，只需要花一个下午；等到第一个企业客户或监管机构提出要求后再补做，代价要高得多，而过度收集的数据是一种你持有了却毫无收益的负债。

小型企业。 在没有专职隐私专家、预算又紧张的情况下，善用你所购买的工具中已经内置的隐私控制功能，并优先选择数据处理透明、驻留地清晰的供应商。把决策框定为”买”还是”造”：你几乎不会自己去构建令牌化或权利履行能力，因此应选择开箱即用就提供保留规则、导出和删除功能的平台。清楚你持有哪些个人数据、一条错误或丢失的记录会让你损失哪位客户，并为每一种用途写下合法依据，哪怕这份文档很简短。

企业。 在规模化场景下，问题在于如何在众多团队之间保持一致性：一份共享的数据地图、标准化的分级体系，以及强制执行的保留规则，避免任何一个团队成为薄弱环节。要为跨系统删除、令牌保险库和具备驻留意识的架构明确编列工程预算，并集中治理次级处理者，避免某一家供应商代你违反传输义务。把 DPIA 作为交付流程中的一道关卡，并度量隐私态势，因为审计方和监管机构会要求你证明合规，而不只是口头宣称。

政府。 采购规则、透明义务和公共问责塑造着每一项决策，公民无法为自己的税务、医疗或福利数据另择他处，因此注意义务被进一步加重。将敏感记录（包括备份和分析数据）固定在经认证的国家环境中，通过合同约束每一家供应商承担同样的驻留和删除义务，并为核心处理记录合法依据（通常是公共任务），同时将可选用途分离为单独的、可撤回的同意。以通俗语言公开你收集了什么、为什么收集，并在法定时限内可靠地履行权利请求，因为一旦在这里出现隐私失败，就会侵蚀该服务所依赖的公众信任。

示例

初创企业。 一款早期阶段的消费级应用只收集其真正需要的数据，因为每一个多余的字段都是它今后不愿承担的负债。它用一份简单的电子表格维护个人数据存放位置的地图，使自己真正能够回应删除请求，让电子邮件和令牌远离日志，并设定一条基本的保留规则，定期清除早已停用账户的数据。现在建立清晰的同意流程和真正的删除能力，只需要一个下午；等到第一个企业客户或监管机构提出要求后再补做，代价要高得多。

企业。 一款全球消费级应用在上线一项新的推荐功能之前进行了 DPIA，发现该功能会不必要地收集精确位置信息；团队将其改为粗粒度的区域数据，在不损失产品体验的情况下降低了风险。卡号被令牌化，使得只有一个小型、受到严格管控的保险库才会持有原始值，从而大幅缩小了公司在 PCI（支付卡行业）方面的合规范围。自动化的保留规则按计划清除不活跃账户的数据，一个自助式流程让用户能够在法定期限内、跨所有系统（包括备份）导出并删除自己的数据。

政府。 某国家医疗服务机构将所有患者记录归类为 PHI 和特殊类别数据，执行严格的访问控制、加密和审计日志记录。数据驻留政策将所有记录（包括备份和分析数据）留存在国境之内，每一家供应商都以合同形式受到同等约束。公民核心处理拥有一份文档化的合法依据（公共任务），而可选的研究用途则需要单独的、可撤回的同意，并对此加以记录和尊重。一份数据地图支撑着该机构在法定时限内响应访问和删除请求的能力。

商业理由：动机、投资回报率与总拥有成本

隐私投入常被简单地视为纯粹的合规成本，但这低估了它的价值。其总拥有成本包括 DPIA 流程、数据地图和清单工具、令牌化和保留基础设施，以及支持个人权利和数据驻留所需的工程投入。将其与不投入的代价相权衡，后者的代价既严重、又日益可能发生。如今隐私罚款可高达全球营收的一定比例，重大数据泄露事件之后往往伴随集体诉讼，监管机构也已表明会采取行动。除罚款之外，隐私处理不当还会摧毁支撑营收的客户信任。而事后补救隐私方面的失败（补装删除功能、理清违法的数据流）远比一开始就建好这些机制昂贵得多。

其投资回报率也确实存在真实的上行空间。强有力的隐私保护是一种竞争差异化优势，在受监管市场和政府市场中，它更是赢得业务的先决条件。数据最小化能直接降低泄露风险敞口和存储成本，令牌化则能缩小 PCI-DSS 等审计所涉及的昂贵范围。在向领导层论证时，请从两个角度呈现隐私工作：一是作为具有真实监管风险敞口的、经风险调整的负债管理；二是作为能够打开市场的信任资产。要强调：相较于”靠诉讼倒逼隐私合规”，“隐私设计”成本低廉得多，而无目的地囤积数据，则是一项静静躺在资产负债表上、等待被兑现的负债。

反模式与陷阱

先收集一切，以后再决定。 毫无目的地囤积数据，只会最大化负债而毫无收益。
靠疏忽来”保留”。 因为不存在任何计划而从不删除任何东西，数据永久累积。
同意剧场。 预先勾选的选项、捆绑式同意，或不具法律效力且侵蚀信任的暗黑模式。
遗漏备份的删除。 从主存储中删除了数据，却把副本遗留在备份、日志和分析数据中。
日志和测试数据中的 PII。 让敏感数据扩散到管控薄弱的环境中，极易被暴露。
忽视数据流向。 忽略了日志、备份、分析数据和次级处理者会让数据跨境流动这一事实。
把隐私仅仅当作法务问题。 将其视为文书工作，而非一项工程设计约束。
没有数据地图。 无法回答个人数据存放在哪里，这使得权利请求和数据泄露响应都无从谈起。

成熟度模型

第 1 级：初始。 隐私即便被处理，也是被动应对的。个人数据被随意收集，没有清单、没有最小化、也没有保留期限。同意只是事后补充，没有访问或删除请求的处理流程，数据实际存放的位置也从未被考虑过。

第 2 级：发展。 基本实践已经出现，但因团队而异。存在一份隐私政策，也采集了基本的同意信息，对保留有一定的意识。权利请求靠人工缓慢处理，数据分类是非正式的，可能一个团队在绘制数据地图，而另一个团队仍在随意收集。整个组织范围内没有统一的强制执行。

第 3 级：标准化。 隐私设计已被文档化，并在整个组织范围内强制执行。高风险项目会开展 DPIA，数据已被绘制成图并分级，保留期限通过自动化删除得到强制执行。每一项处理活动都有文档记录的合法依据，有效的同意机制已经到位，权利请求能在期限内得到履行，受监管数据的驻留问题也得到了处理。

第 4 级：管理。 隐私项目对照基线被度量和管控。你会跟踪权利请求履行时间相对于法定期限的表现、保留策略的覆盖率和最久记录的年限、纳入范围的个人数据字段数量及其中多少已被令牌化或假名化、符合条件的功能的 DPIA 完成率，以及审计中发现的未受管控的跨境数据流数量。这些指标会输入到预设阈值中，因此一旦触及目标线（例如某个权利请求即将到期、出现意外传输、保留期限出现偏差），就会触发有文档记录的响应，而不会被悄悄忽视。

第 5 级：协同。 隐私是一项默认的工程约束，在整个组织范围内被持续改进并深度融合。最小化、令牌化和自动化保留是标准做法，权利请求实现自助式服务，并能在所有系统（包括备份）中完整履行，数据流向和数据驻留得到持续追踪和执行。隐私态势会随着监管、市场和架构的变化而调整，经验教训也会反馈进设计之中，使基线水平持续提升，而不仅仅是维持现状。

讨论思路

当分析团队想要更多数据、而隐私要求更少数据时，你们如何化解这种张力？
要在主存储、备份和下游副本之间真正兑现删除权，一个现实可行的架构是什么样的？
你们的每一项处理活动分别适用哪种合法依据？你能为这一选择辩护吗？
在不妨碍调试工作的前提下，你们如何让个人数据远离日志和非生产环境？
你们所在的市场分别适用哪些数据驻留要求？备份和分析数据又如何使问题复杂化？
隐私和安全威胁建模应当如何合并为一项统一的设计活动？

关键要点

隐私决定你是否以及如何使用个人数据；它与安全不同，但二者相辅相成。
通过 DPIA 和具有隐私保护性的默认设置，从一开始就将隐私纳入设计。
最小化数据收集，强制执行保留期限，并构建真正的删除能力。
对 PII、PHI 和特殊类别数据进行分类，并通过令牌化和脱敏按比例加以保护。
建立并记录合法依据；确保同意是自由给出、具体且可撤回的。
将数据驻留和跨境传输视为首要的架构约束。
数据既是资产，也是负债；无目的地囤积数据，是一种等待被兑现的风险。

参考文献与延伸阅读

Ann Cavoukian，Privacy by Design: The 7 Foundational Principles
欧盟，《通用数据保护条例》（GDPR）条文及指南
美国国家标准与技术研究院，Privacy Framework 及 SP 800-122（PII 保护指南）
ISO/IEC 27701，隐私信息管理
Daniel Solove，Understanding Privacy
OECD，隐私指南 及 公平信息实践原则（FIPPs）
《加州消费者隐私法案》（CCPA/CPRA）法律条文及监管指南