2023-10-10-大数据技术标准推进委员会-2023隐私工程白皮书_56页_2mb

报告摘要

《隐私工程白皮书》由CCSA TC601大数据技术标准推进委员会牵头撰写，联合多家企业与机构共同完成，旨在推动我国企业构建系统化的隐私工程体系，将隐私保护要求嵌入产品与服务的全生命周期，提升隐私保护能力，应对日益严格的个人信息保护监管，同时满足用户对隐私权的保护需求。

隐私工程的起源：隐私工程起源于隐私设计（Privacy by Design），其核心是将隐私保护原则和要求融入系统工程，以实现隐私保护的工程化、制度化和流程化。
隐私工程的内涵：隐私工程不仅包括隐私设计在系统和软件开发流程中的应用，还需涵盖组织保障、制度流程、技术工具、知识管理、第三方合作、个人权利保障、隐私安全事件管理及隐私风险管理等多个方面。
隐私工程的价值：隐私工程是企业实现合规、提升用户体验、助力可持续发展的必经阶段。它有助于降低隐私保护对业务的影响，实现隐私保护与业务价值的双赢。
隐私工程的实践：我国企业在隐私工程实践中已探索出多种体系架构和流程，包括隐私工程体系建设流程、组织架构、技术工具、合规基线、隐私影响评估、隐私风险监测等。

隐私工程体系建设分为五个阶段：计划阶段、构建阶段、集成阶段、验证阶段、运营阶段，各阶段的目标与活动如下：

阶段	活动	输入	输出
计划阶段	组织架构、人员职责、制度流程、技术工具、知识管理	无	隐私保护合规要求清单、通用设计指南
构建阶段	需求定义、设计定义	业务需求、法律法规	技术设计文档、测试用例、影响评估报告
集成阶段	隐私通知与交互界面开发、产品与数据库开发、隐私管理平台配置	设计文档、合规要求	隐私设置界面、合规文档、隐私策略
验证阶段	隐私功能用户验收测试、Web Cookies扫描、App与SDK数据收集和权限扫描	隐私策略、设计文档	测试报告、合规审计结果
运营阶段	规范跟踪、过程管理、风险管控	合规政策、隐私策略	合规台账、审计报告、隐私事件响应机制

不同企业根据自身业务特点和隐私保护需求，构建了各具特色的隐私工程体系架构：

蚂蚁i-ABC隐私工程体系：
- 以“i-ABC”为框架，包括隐私水位洞察、隐私影响评估、个人信息处理数字化记录、隐私风险监测。
- 通过技术驱动，实现隐私合规基线的数字化、隐私影响评估的自动化、隐私风险监测的智能化。
阿里巴巴隐私工程框架：
- 以隐私保护与业务效益的正和为目标，将隐私保护嵌入数据处理全生命周期。
- 采用数据分类分级、数据血缘追踪、合规规则引擎等工具，实现隐私合规的系统化和自动化。
OPPO隐私工程实践框架：
- 以“三道防线”为核心组织架构，包括业务部门、安全隐私部门、审计部门。
- 将隐私设计贯穿产品全生命周期，通过智能化数据安全防御体系和合规检测技术，实现隐私保护的高效落地。
Amber Group隐私工程框架：
- 融合了NIST隐私框架、DSMM、SOC 2、ISO 27001/27701/29151等标准。
- 构建了信息安全与隐私组织架构和管理体系文件融合架构，实现隐私工程的制度化和可操作性。

隐私工程涵盖以下关键内容：

隐私工程的实施路径包括：