公认隐私原则_69页_2mb

公认隐私原则（GAPP）总结

核心内容

《公认隐私原则》（Generally Accepted Privacy Principles，简称GAPP）是由美国注册会计师协会（AICPA）和加拿大特许会计师协会（CICA）联合制定的一套隐私管理框架。该框架旨在帮助组织建立有效的隐私管理体系，以应对隐私义务、风险和商业机会，同时提供隐私验证的标准（通常称为隐私审计）。

主要观点

• 隐私是商业问题：良好的隐私实践是公司治理和问责制的重要组成部分，对组织的声誉、法律责任和客户信任具有重大影响。
• 国际隐私挑战：对于在多个司法管辖区运营的组织，隐私管理是一个复杂的问题。不同国家对个人信息的处理有不同的要求，因此组织需了解并遵守这些要求。
• 外包的隐私责任：虽然外包可以转移部分隐私责任，但最终的隐私责任仍归属于组织。GAPP为组织评估第三方的隐私政策和措施提供了指导。
• 隐私与保密的区别：隐私是关于个人信息的处理，而保密则涉及组织内部信息的保护。两者的定义和适用范围不同。

关键信息

隐私定义

• 隐私是指个人和组织在收集、使用、留存、披露和处理个人信息方面的权利和义务。
• 个人信息是指可以识别或与个人相关联的任何信息，包括姓名、地址、身份证号、身体特征、购买历史等。
• 敏感信息是指具有较高隐私风险的个人信息，如医疗记录、财务信息、宗教信仰等。

隐私原则

GAPP包含10项隐私原则，每项原则都附有客观、可衡量的标准：

1. 管理：组织需定义、记录、沟通并分配隐私政策和规程的责任。
2. 声明：组织应提供清晰的隐私声明，说明收集、使用、留存和披露个人信息的目的。
3. 选择和同意：个人应被赋予选择权，并在收集、使用和披露个人信息时获得明确或默示同意。
4. 收集：个人信息只能用于声明中明确的目的，不得用于其他未经同意的用途。
5. 使用、留存和处置：个人信息的使用和留存应限于必要时间，并在之后进行适当的处理或销毁。
6. 访问：个人应有途径审查、更新和纠正其个人信息。
7. 向第三方披露：组织应仅在声明中明确的目的或个人同意的情况下向第三方披露个人信息。
8. 隐私安全：组织应采取适当措施保护个人信息免受未经授权的访问、滥用、丢失等。
9. 质量：确保个人信息的准备和完整性，符合声明中确定的目的。
10. 监督与执行：组织需监督其隐私政策和规程的执行，并处理相关投诉和纠纷。

标准与控制措施

• 每项原则都有相应的标准和控制措施，以确保隐私政策的有效实施。
• 组织应定期进行隐私风险评估，并根据评估结果更新隐私政策和规程。
• 隐私声明需以清晰、醒目、可理解的方式呈现，便于个人获取和理解。
• 与个人沟通时，需说明个人信息的用途、访问方式、费用及如何处理异议。

隐私与法律、行业要求

• GAPP是基于国际隐私法规、良好实践和行业标准，适用于全球范围。
• 组织需遵守所在司法管辖区的法律和行业规定，如欧盟指令、HIPAA、COPPA、PIPEDA等。
• 在某些情况下，组织可能需采用更严格的隐私标准，如支付卡行业标准（PCI DSS）或ISO标准。

适用范围与目标

• GAPP适用于所有处理个人信息的组织，包括那些仅在国际业务有限的组织。
• 它旨在帮助组织设计、实施、维护和评估隐私计划，同时促进隐私合规和有效管理。

结构与内容

原则与标准

• 管理：组织需建立隐私政策、沟通机制和责任分配。
• 声明：组织需提供隐私声明，明确个人信息的处理目的和方式。
• 选择和同意：个人应被提供选择权，并获得明确或默示同意。
• 收集：个人信息仅限于声明中确定的目的，并需记录和描述收集方法。
• 使用、留存和处置：个人信息的使用和留存需符合声明中的目的，且需在必要时间内进行处理或销毁。
• 访问：个人应有途径获取和更新其个人信息，并需验证其身份。
• 向第三方披露：仅限于声明中明确的目的或个人同意，并需确保第三方的隐私保护水平与组织一致。
• 隐私安全：需采取适当的措施保护个人信息，包括物理和逻辑访问控制。
• 质量：确保个人信息的准确性和完整性。
• 监督与执行：组织需监督隐私政策的执行，并处理相关投诉和纠纷。

附录与支持

• 附录A提供了一份隐私相关的词汇表，有助于理解GAPP中的关键术语。
• GAPP由AICPA和CICA的隐私工作组开发，并由专家团队进行审校。
• 组织可利用GAPP进行内部和外部隐私审计，以确保合规性。

适用场景

• 制定战略：组织需明确隐私目标和合规要求。
• 诊断与风险评估：通过分析隐私差距和风险，制定改进措施。
• 实施与管理：建立隐私政策、流程、系统和控制措施。
• 维持与监控：定期监测隐私政策执行情况，确保符合标准。
• 审计：内部或外部审计师可使用GAPP评估隐私计划的有效性。

总结

《公认隐私原则》（GAPP）为组织提供了一套全面的隐私管理框架，帮助其应对隐私义务、风险和商业机会。其核心在于将复杂的隐私要求转化为清晰的隐私政策和标准，确保个人信息的保护和合规性。GAPP不仅适用于处理个人信息的组织，也为外包和跨国业务提供了指导，帮助组织在多司法管辖区环境中有效管理隐私风险。