数据边界与隐私保护

数据边界与隐私保护

数据使用边界与隐私合规

---

数据分类

按敏感级别分类

[Requirement] 所有数据必须按敏感级别分级管理，分级标准与《敏感数据处理规范》一致。

级别	名称	示例	跨境传输	存储期限
L4	极敏感	密码、密钥、CVV	禁止	最短必要
L3	高敏感	身份证、手机号、住址	需审批	业务必要期
L2	中敏感	邮箱、企业信息	评估后允许	业务必要期
L1	低敏感	用户名、昵称	允许	业务必要期

按数据主体分类

类型	说明	合规依据
个人信息	可识别自然人的信息	《个人信息保护法》(PIPL)、GDPR
敏感个人信息	身份证、生物识别、金融账户等	PIPL 第二章第二节
重要数据	关系国家安全、公共利益的数据	《数据安全法》
企业机密	商业秘密、技术文档	内部保密制度

数据资产清单

[Requirement] 建立数据资产清单，记录每个数据集合的：负责人、数据类型、敏感级别、存储位置、使用方、留存期限、跨境情况。清单每季度更新。

---

使用边界

最小必要原则

[Requirement] 数据收集遵循最小必要原则：只收集业务必需的数据，不收集与业务无关的个人信息。

[Standard] 新功能上线前做数据影响评估（DPIA），回答：收集哪些数据、为什么收集、是否必需、保存多久、是否共享。

用途限制

[Requirement] 数据只能用于收集时声明的用途，禁止挪作他用（如用注册手机号做营销推送，除非用户单独授权）。

[Standard] 数据分析、模型训练使用的数据必须脱敏或匿名化，且需数据负责人审批。

处理方式	可识别性	适用场景
脱敏	部分可识别（保留部分特征）	内部测试、客服查看
匿名化	不可识别（不可逆）	数据分析、模型训练、对外共享
假名化	可通过映射表还原	内部数据分析（映射表严格管控）

数据共享边界

[Requirement] 向第三方共享个人信息前必须：①获得用户单独同意；②签订数据处理协议（DPA）；③对第三方做安全评估。

[Standard] 内部跨部门数据共享走数据申请审批流程，记录申请方、数据范围、用途、期限。

---

隐私合规

用户同意

[Requirement] 收集个人信息前必须获得用户明示同意，同意书需说明：收集目的、数据类型、保存期限、共享情况、用户权利。

[Caution] 禁止用默认勾选、捆绑同意等方式获取同意，用户有权拒绝且不影响基本功能使用。

用户权利

[Requirement] 必须支持用户行使以下权利，并提供便捷入口：

权利	说明	实现
知情权	知道收集了哪些数据	隐私政策
查阅权	查看个人数据	个人中心 / 申请接口
更正权	修改错误数据	编辑资料
删除权	删除个人数据	注销账号 / 申请删除
撤回同意权	撤回授权	设置项关闭
可携带权	导出个人数据	数据导出功能

儿童与特殊人群

[Caution] 处理不满 14 周岁未成年人个人信息，必须获得监护人同意；处理生物识别、金融账户等敏感个人信息，需单独同意并说明必要性。

隐私政策

[Requirement] 产品必须有清晰、易懂的隐私政策，首次启动时弹出确认；政策变更需重新获取同意。

---

数据流转

数据流转管控

[Requirement] 数据在系统间流转必须可追溯：记录数据来源、流向、处理方式、经手人。

[Standard] 通过数据血缘工具（如 Apache Atlas、DataHub）记录数据流转关系，支持影响分析和追溯。

数据出境

[Requirement] 个人信息和重要数据出境必须通过安全评估（《数据出境安全评估办法》），未经评估不得出境。

[Standard] 数据出境前完成：数据出境安全自评估 → 向监管部门申报 → 获得批准 → 签订标准合同。

开发测试数据

[Requirement] 开发和测试环境禁止使用生产真实数据，必须使用脱敏或合成数据。

[Standard] 生产数据导入测试环境前，必须经过自动化脱敏流程，脱敏规则与生产展示脱敏一致。

# 测试数据脱敏示例
def desensitize_for_test(record: dict) -> dict:
    record["phone"] = mask_phone(record["phone"])
    record["id_card"] = mask_id_card(record["id_card"])
    record["name"] = "测试用户"
    record["email"] = f"test_{record['id']}@example.com"
    return record

数据销毁

[Requirement] 超过留存期限的数据必须彻底销毁：磁盘数据用多次覆写或物理销毁，云存储用安全删除 API。

[Standard] 数据销毁记录留痕：销毁人、销毁时间、销毁方式、数据范围，保存 ≥ 3 年。

---

审计

数据访问审计

[Requirement] 敏感数据（L3 及以上）的所有访问（查询、导出、修改、删除）必须记录审计日志。

[Standard] 审计日志包含：操作者、操作时间、操作类型、数据对象、IP、结果。

异常行为检测

[Standard] 对以下行为触发告警：

• 非工作时间查询大量敏感数据
• 短时间内高频导出数据
• 访问与本职工作无关的数据
• 账号在异地登录后立即查询敏感数据

合规审计

[Default] 每年至少做一次隐私合规审计，检查：数据收集是否合规、用户权利是否可实现、数据留存是否超期、第三方共享是否合规。

数据泄露应急

[Requirement] 发生数据泄露事件时，按应急流程处理：

1. 立即采取措施控制影响（停用泄露接口、回收权限）
2. 评估泄露范围和影响
3. 72 小时内向监管部门报告（PIPL 要求）
4. 通知受影响用户（如可能造成危害）
5. 复盘并整改，更新防护措施