新技术形式下数据安全合规实践课件

1、新技术形式下 数据安全合规实践01数据安全立法及合规实践数据安全立法执法动态20172018201920202018年05.01 信息安全技术 个人信息安全规范正式实施6.27 网络安全等级保护条例08.27 民法典各编草案提请审议，确立保护隐私和个人信息基本原 则09.07 个人信息保护法列入十三届全国人大常委会立法规划09.17 信息安全技术 金融信息服务安全规范2020年01.20 移动互联网应用收集个人信息基本规范个人 信息告知同意指南公开征求意见02.13 央行发布个人金融信息保护技术规范03.19 移动互联网App收集使用个人信息自评估指南公开征求意见05.28 民法典正式颁布07

2、.03 数据安全法（草案公开征求意见10.01 新版个人信息安全规范实施10.24 个人信息保护法（草案）正式发布2017年06.01 网络安全法正式实施06.01高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释10.01 民法总则正式实施，首次明确自然人的个人信息受法律 保护2019年01.25 四部门联合开展“APP违法违规收集使用个人信息专项治理行动”03.01 APP违法违规收集使用个人信息自评估指南发布05.28 数据安全管理办法公开征求意见06.01 移动互联网应用基本业务功能必要信息规范发布06.13 个人信息出境安全评估办法（征求意见稿）09.1

3、0 大批数据公司因涉嫌非法获取个人信息被查10.01 儿童个人信息网络保护规定施行12.30 四部门联合发布App违法违规收集使用个人信息行为认定方法国内隐私监管形势网信办：关于10款App存在无隐私政策等问题的通 报工信部：开展APP侵犯用户权益专项整治行动 2020年10月26日，通报今年第五批131款侵 害用户权益行为APP市场监督总局：侵害消费者个人信息违法行为专项行动 罚款564万、执法联动604次、开展行政约谈 279次、开展宣传活动3129次公安部：“净网2019”“净网2020”公信宝、考拉征信、摩羯科技、新颜科技等 多家数据公司被查处个人信息保护合规要点个人信息保护：全生命周

4、期要求 个人信息的收集合法性最小必要多项业务功能 的自主选择授权同意个人信息保护政策征得授权同 意的例外个人信息的存储存储时间 最小化去标识敏感信息的传输和存储个人信息控制者停止运营个人信息的使用访问控制措施展示限制使用的目 的限制用户画像的 使用限制个性化展示的使用汇聚融合信息系统 自动决策个人信息的委托处理、共享、转让、公开披露第三方接入个人信息跨境传输GB- T 35273 - 2020 信息安全技术 个人信息安全规范 第三方接入个人信息控制者接入第三方产品或服务是否具备收集 个人信息功能是否属于 委托处理不适用本标准适用本标准9.1条之规定 委托处理是否属于共同 个人信息控制者适用本标

5、准9.6条之规定 共同个人信息控制者a) 建立第三方产品或服务接入管理机制和工作流程，必要时应建立安全评估等 机制设置接入条件。b) 应与第三方产品或服务提供者通过合同等形式明确双方的安全责任及应实施 的个人信息安全措施；c) 应向个人信息主体明确标识产品或服务由第三方提供；d) 应妥善留存平台第三方接入有关合同和管理记录，确保可供相关方查阅；e) 应要求第三方根据本标准相关要求向个人信息主体征得收集个人信息的授权 同意，必要时核验其实现的方式；f) 应要求第三方产品或服务建立响应个人信息主体请求和投诉等的机制，以供 个人信息主体查询、使用；g) 应监督第三方产品或服务提供者加强个人信息安全管

6、理，发现第三方产品或 服务没有落实安全管理要求和责任的，应及时督促整改，必要时停止接入；h) 产品或服务嵌入或接入第三方自动化工具（如代码、脚本、接口、算法模型、 软件开发工具包、小程序等）的，宜采取以下措施：1) 开展技术检测确保其个人信息收集、使用行为符合约定要求；2) 对第三方嵌入或接入的自动化工具收集个人信息的行为进行审计，发现超出约定的行为，及时切断接入。否是是个人信息保护合规要点GB- T 35273 - 2020 信息安全技术 个人信息安全规范 个人生物识别信息 属于个人敏感信息A类别包括个人基因、指纹、声纹、掌纹、耳 廓、虹膜、面部识别特征等B范围不应公开披露个人生物识别信息。

7、C公开披露5.4 c) 收集个人生物识别信息前，应单 独向个人信息主体告知收集、使用个人生物识别信息的目的、方式和范围，以 及存储时间等规则，并征得个人信息主 体的明示同意。D收集6.3 b) 个人生物识别信息应与个人身份 信息分开存储；6.3 c) 原则上不应存储原始个人生物识别信息，可采取的措施 包括但不限于：1) 仅存储个人生物识别 信息的摘要信息；2) 在采集终端中直接 使用个人生物识别信息实现身份识别、 认证等功能；3) 在使用面部识别特征、 指纹、掌纹、虹膜等实现识别身份、认 证等功能后删除可提取个人生物识别信 息的原始图像。E存储9.2 i) 个人生物识别信息原则上不应共 享、转

8、让。 因业务需要，确需共享、转让的，应单独向个人信息主体告知目的、 涉及的个人生物识别信息类型、数据接 收方的具体身份和数据安全能力等，并 征得个人信息主体的明示同意。F共享、转让个人信息保护合规要点GB-T 35273-2020信息安全技术 个人信息安全规范多功能自主选择要求禁止捆绑 开启动作 关闭退出 不应通过捆绑产品或服务各项业务功能 的方式，要求个人信息主体一次性接受 并授权同意其未申请或使用的业务功能 收集个人信息的请求。应把个人信息主体自主作出的肯定性动 作，如主动点击、勾选、填写等，作为 产品或服务的特定业务功能的开启条件。 个人信息控制者应仅在个人信息主体开 启该业务功能后，开

9、始收集个人信息。应把个人信息主体自主作出的肯定性动 作，如主动点击、勾选、填写等，作为 产品或服务的特定业务功能的开启条件。 个人信息控制者应仅在个人信息主体开 启该业务功能后，开始收集个人信息。征求同意频率 功能互不影响原则 禁止强制收集个人信息 个人信息主体不授权同意使用、关闭或 退出特定业务功能的，不应频繁征求个 人信息主体的授权同意。 个人信息主体不授权同意使用、关闭或 退出特定业务功能的，不应暂停个人信 息主体自主选择使用的其他业务功能， 或降低其他业务功能的服务质量。不得仅以改善服务质量、提升使用体验、 研发新产品、增强安全性等为由，强制 要求个人信息主体同意收集个人信息。个人信息

10、保护合规要点个人信息保护合规要点影响评估个人信息影响评估重要数据影响评估数据跨境评估接收方总体数据合规评估数据发送方 保障能力评估管理保障能力技术手段保障能力数据接收方 保障能力评估主体资格管理保障能力技术手段保障能力安全事件可能性评估个人信息接收方合规评估 重要数据接收方合规评估安全事件发生可能性评估 跨境业务安全合规流程个人信息保护管理体系工作方针谁主管谁负责谁运营谁负责谁使用谁负责谁接入谁负责责任明确技管结合授权合理流程规范个人信息保护管理体系需求设计开发测试评估、检查12345需求评审,隐私影响评估合法性、 正当性、 必要性 APP功能、产品或服务设计 隐 私 设 计 PBD( 业务

11、场景、用户视角) APP收集和使用个 人信息功能合规规范 根据合规规范开发APP收集和使用个人信息的功能， 合理调用系 统 权 限 ， 合 规 嵌 入 SDK、第三方代码等根据合规规范开发测试用例，对APP收集使用个人信息的功能 点进行符合性测试、 安全性测试 个人信息安全影响评估PIA 审计、检查流程、方法收集、获取法律合规部门安全部门风险管理部门数据管理部门开发部门查询、展示报送项目、需求开发大数据平台APP、Web、 SDK、VPN、 APIDB安全防护功能设计规范审计、测试数据平台、数据服务安全评估、审计安全防护合规评审数据能力建设合规梳理合规梳理数据管理运维安全测试内部协作个人信息保

12、护管理体系APP收集使用个人信息合规评估工具表1-个人信息定义、分类表2-APP收集个人信息调研、评估填表指南 表3-APP收集个人信息调研、评估表表4-系统调用敏感权限调研、评估表表5-敏感权限清单表6-隐私政策、产品或服务协议合规评估表 表7-第三方SDK合规评估表个人信息保护管理体系细则、工具APP收集使用个人信息功能设计规范对第三方SDK（ 软件开发工具包） 的管控 SDK供应商开发出各种类型SDK后，会上传到开发者社区或者其他发布渠道（直接与企业合作等），企业或个人开发者将这些SDK集成到App中后会把 这些App再发布到应用商店，供最终用户从应用商店下载这些App使用。App个人信

13、息保护合规主要问题对第三方SDK（ 软件开发工具包） 的管控 第三方SDK收集个人信息的行为是通过其所依附的App主动获 取的，还是该第三方SDK自行收集的？ 通过APP主动获取并将收集到的个人信息共享给第三方SDK，属 于间接收集类SDK。此时，该APP需要在隐私政策中向用户告知 第三方SDK的名称、收集个人信息的目的、方式和范围等； 该第三方SDK自行收集：需要进一步分析该第三方SDK是否与宿 主APP为共同控制者。第三方SDK自行收集个人信息时，如果宿主APP未申请相应收 集权限，第三方SDK是否能单独申请相应权限收集个人信息？ 是：宿主APP所有者在接入第三方SDK时，应检测其申请权限

14、， 并核对隐私政策的描述是否准确。App个人信息保护合规主要问题02新技术形势下数据安全挑战用数字科技为实体经济创造新动能通过数字科技为实体经济创造新动态，主要体现在：AI与机器人、数字营销、智能城市、金融科技等，其 中核心技术包括人工智能、区块链、大数据及云计算等。17人工智能区块链大数据云计算人工智能在金融领域应用的安全风险人工智能自身 数据安全风险训练数据污染导致人工智能决策错误；运行阶段的数据异常可导致智能系统运行错误；模型窃取攻击可对算法模型的数据进行逆向还原；开源学习框架存在安全风险，可导致人工智能系统数据泄露。人工智能应用可导致个人数据过度采集，加剧隐私泄露风险；人工智能放大数据

15、偏见歧视影响，威胁社会公平正义；人工智能应用人工智能技术的数据深度挖掘分析加剧数据资源滥用，加大社会治理和国家数据安全风险安全挑战；人工智能技术可提升网络攻击的智能化水平，进而实施数据智能窃取；基于人工智能技术的数据深度伪造将威胁网络安全、社会安全和国家安全。人工智能应用 数据治理风险人工智能提升数据资源价值，数据权属问题更为突出；人工智能凸显数据的战略地位，数据违规跨境冲击国家安全。技术层面难以兼顾部分金融场景安全、性能、功能要求治理层面完善监管、标准、人才管理要求区块链技术通过大量的冗余数据和 复杂的共识算法提升安全可信水平， 现有技术环境下系统可用性受到挑 战。搭载智能合约可能带来一些新

16、 的风险。密钥安全仍存在一定隐患。尚存在模糊地带且应用创新缺少权威第三方评估链上资产和智能合约等方面法律有效性界定不清晰。去中心化机制对违规和潜在风险管 理难度加大。国外开源程序以来属地法律法规要求，存在跨域法律风险。不同区块链间信息互通和融合的合 规风险。区块链跨学科综合，合规人员培养 和实践经验累计周期长。 依托区块链平台开展的数字凭证拆 分、积分通兑等环节存在一定的模 糊地带。 共识机制下敏感信息缺乏隐私性， 隐私保护管理受到挑战。 无法保证数据上链前的真实性和完 整性。 应用创新未经严密论证，且缺少权 威的第三方评估意见作参考。区块链技术在金融领域应用的安全风险大数据、云计算在金融领域

17、应用的安全风险大数据技术和平台安全风险传统安全措施管理：传统的安全检测 技术基于大量的日志分析，发现安全事件，大数据技术促使日志数据剧增，存在过多误报的问题。 平台安全机制：大数据平台自身安全 机制存在局限性，分布式存储和计算 导致安全配置管理难度加大，大数据 平台带来的新型攻击手段。 应用访问控制：数据类型复杂、应用 范围广泛，随着技术发展，应用访问 控制方面也面临是巨大的挑战。 基础密码技术能力：近来年提出了大量的用于大数据安全保护的密码技术。 包括同态加密算法、完整性校验、密 文搜索和密文数据去重等。数据安全和个人信息保护 安全风险数据安全保护：分布式系统部署、开 放的网络环境、复杂的数据应用和众 多的用户访问，使大数据在保密性、 完整性、可用性等方面面临更大的挑 战。个人信息泄露风险：个人信息数据被 集中存储，面临着大量数据泄露的风 险。 数据真实性保障：由于数据收集来源 来自各种传感器、主动上传以及公开 网站，对数据真实性确认、来源验证 等需求增加，数据真实性保障得到挑 战。数据所有者权益保障：数据脱离数据所有者控制将损害数据所有者的权益。新技术形势下法益分析法益侵害因数据泄露导致的法益侵犯原始数据；浅加工数据；深度加工数据。因数据管理不善导致的法益侵害应用商因未尽数据管理责任