ENISA数据保护工程报告（英）-42页_962kb

报告摘要

数据保护工程总结

核心内容

本报告探讨了数据保护工程（Data Protection Engineering）的概念、方法和实际应用，旨在支持实践者和组织在数据保护“设计并默认”原则下的技术实现。报告强调，随着技术的发展，数据共享、处理和存储方式发生了重大变化，同时也带来了新的隐私和数据保护挑战。这些挑战包括缺乏透明度和控制权、数据重用、数据推断与再识别、用户画像和自动化决策等。因此，传统的数据保护方法已无法满足当前需求，必须采用更加系统和工程化的手段。

数据保护工程可以被视为“数据保护设计并默认”原则的一部分，它支持技术与组织措施的选择、部署和配置，以满足特定的数据保护要求。这些措施包括隐私增强技术（PETs）、数据匿名化、数据假名化、数据掩码、隐私保护计算、隐私增强的访问控制、透明度与用户控制工具等。

主要观点

数据保护设计并默认是GDPR中的关键原则，要求数据处理者在设计系统和流程时就考虑数据保护，而不是事后补救。
数据保护工程是一个系统化的过程，不仅涉及技术手段，还包含组织措施，目的是实现数据保护原则的可操作性和有效性。
**隐私增强技术（PETs）**是数据保护工程的重要组成部分，包括加密、安全多方计算、可信执行环境、差分隐私等，这些技术旨在在不损害系统功能的前提下保护数据隐私。
数据匿名化和数据假名化是两种关键的数据保护技术，它们在实际应用中存在差异，匿名化数据不再能识别个人，而假名化数据仍可通过附加信息重新识别。
差分隐私是一种新兴的隐私保护方法，能够在数据发布过程中提供数学上的隐私保障，防止个体被识别。
数据保护工程需要根据具体的数据处理场景、技术特性、应用场景和潜在攻击模型进行定制化选择和实施，不能一概而论。

关键信息

技术与方法

数据匿名化：通过模糊化、泛化或添加噪声来降低数据的可识别性，但需在数据效用与隐私保护之间找到平衡。
k-匿名性：一种数据匿名化方法，确保每个数据记录与至少 $k-1$ 个其他记录具有相同的特征，从而防止个体被识别。
差分隐私：一种数学方法，通过在数据中引入随机噪声，确保数据发布后个体隐私不会被泄露，适用于大规模数据集。
隐私增强技术（PETs）：包括同态加密、安全多方计算、可信执行环境、私密信息检索、合成数据等，这些技术在不同场景下支持隐私保护。

应用与挑战

在移动数据、地理位置数据等非表格数据的处理中，匿名化面临更大挑战，因为数据的连续性和时间维度更容易被用于重新识别。
合成数据是一种替代方案，通过模拟真实数据的统计特性生成数据，可用于训练AI模型而不泄露原始数据。
数据保护工程需要在早期阶段就被纳入数据处理流程，以确保技术与组织措施的有效集成。

实施建议

监管机构应推动数据保护工程的最佳实践，通过发布指导文件和认证机制来促进统一标准。
研究社区应继续探索适用于数据保护工程的技术，同时寻求欧盟机构在政策和资金上的支持。
数据保护工程的实施应结合数据保护影响评估（DPIA），确保技术选择与数据处理场景相适应。

文档结构

引言：介绍了技术发展对数据保护的影响，以及数据保护设计并默认原则的重要性。
数据保护工程：探讨了从隐私设计到数据保护工程的演变，强调了其与DPIA和PETs的关系。
数据匿名化与假名化：分析了两种技术的定义、区别和实际应用，包括k-匿名性和差分隐私。
数据掩码与隐私保护计算：介绍了同态加密、安全多方计算、可信执行环境等技术。
访问控制与数据存储：讨论了隐私增强的访问控制、通信和存储技术。
透明度与用户控制工具：涵盖了隐私政策、隐私图标、隐私偏好信号、隐私仪表板、同意管理等工具。
结论与建议：总结了数据保护工程的关键作用，并提出了未来研究与实践的方向。

参考文献

报告引用了多个来源，包括ENISA过往的报告、GDPR相关条款、欧盟数据保护机构的指南和研究项目成果，以支持其分析和建议。

版权与法律声明

本报告由ENISA于2022年发布，受CC-BY 4.0许可。
报告内容不代表欧盟机构的官方立场，而是ENISA的分析与建议。
第三方引用内容由其来源负责，ENISA不承担相关责任。

联系信息

作者联系邮箱：isdp@enisa.europa.eu
媒体联系邮箱：press@enisa.europa.eu

贡献者与编辑

贡献者：Claude Castelluccia、Giuseppe D'Acquisto、Marit Hansen、Cedric Lauradoux、Meiko Jensen、Jacek Orzel、Prokopios Drogkaris
编辑：Prokopios Drogkaris、Monika Adamczyk