ISOIEC TS 275602023 隐私技术-同意记录信息结构标准立项发展报告

隐私技术——同意记录信息结构标准立项发展报告StandardizationDevelopmentReport:PrivacyTechnologies—ConsentRecordInformationStructure摘要随着全球数字化转型的深入推进，个人信息保护已成为各国立法与监管的核心议题。在数据流通与共享日益频繁的背景下，如何有效记录、管理和证明用户同意意愿，成为隐私合规的关键技术挑战。ISO/IECTS27560:2023《隐私技术——同意记录信息结构》作为国际标准化组织（ISO）发布的国际标准，首次系统性地定义了同意记录的信息结构，为跨系统、跨法域的个人信息同意管理提供了统一的技术框架。本报告系统梳理了该标准的立项背景、编制历程、技术架构、核心条款及推广应用前景，重点分析了其在GDPR、PIPL等全球主要隐私法规下的实施路径，并对主要起草单位——英国标准协会（BSI）的标准研制工作机制进行了详细介绍。报告认为，该标准填补了同意管理领域的技术标准空白，对于构建可信数据流通体系、促进数字经济健康发展具有重要的基础性支撑作用。关键词：隐私技术；同意记录；信息结构；ISO/IEC27560；个人信息保护；合规互认Keywords:PrivacyTechnology;ConsentRecord;InformationStructure;ISO/IEC27560;PersonalInformationProtection;ComplianceInteroperability一、引言1.1研究背景数字经济的蓬勃发展使得个人信息的收集、处理与跨境流动呈指数级增长态势。据国际数据公司（IDC）预测，2025年全球数据总量将达到175ZB，其中个人相关数据占比超过30%。在数据要素市场化配置的全球浪潮下，个人信息保护的法治化水平持续提升：欧盟《通用数据保护条例》（GDPR,2016/679）自2018年生效以来，已成为全球隐私保护立法的标杆；中国《个人信息保护法》（PIPL）于2021年正式实施，标志着我国个人信息保护进入全新阶段；巴西《通用数据保护法》（LGPD）、日本《个人信息保护法》（APPI）等区域性立法亦相继更新完善。在合规框架日趋严格的背景下，"同意"作为个人信息处理最重要的合法性基础之一，其全过程记录与管理成为各类组织面临的共性技术难题。不同法域对同意的定义、形式要件、撤回机制和存证要求存在差异，而市场上缺乏统一的技术标准来支撑同意记录的规范化管理，导致合规成本高企、跨主体互认困难、监管审计效率低下等问题突出。1.2标准立项的必要性（一）合规需求的迫切性GDPR第7条明确要求"数据控制者应能够证明其已获得数据主体的同意"，中国《个人信息保护法》第14条亦规定"同意应当由个人在充分知情的前提下自愿、明确作出"。这些法律条款对同意的可证明性提出了明确要求，但如何以结构化、标准化方式记录同意过程，在全球范围内缺乏统一技术规范。（二）跨系统互操作的现实需要在现实的数据处理生态中，同一数据主体的个人信息往往被多个控制者、处理者在不同系统中处理，涉及的同意记录面临着跨系统流转、跨机构核验的实际需求。缺乏统一的信息结构意味着各系统间传输同意相关信息时需要大量定制化对接，增加了集成成本和出错风险。（三）技术标准空白的客观存在尽管ISO/IEC29184《在线隐私通知与选择》等标准涉及隐私通知与选择的技术框架，但专门的同意记录信息结构标准在全球范围内仍属空白。ISO/IECJTC1/SC27（信息安全、网络安全与隐私保护分技术委员会）经过充分论证，于2020年正式立项该标准项目。二、标准基本信息标准编号：ISO/IECTS27560:2023标准全称：Privacytechnologies—Consentrecordinformationstructure标准中文名称：隐私技术——同意记录信息结构标准状态：现行（Published）发布机构：国际标准化组织（ISO）/国际电工委员会（IEC）技术归口：ISO/IECJTC1/SC27/WG5（身份管理与隐私技术工作组）发布日期：2023年8月8日标准性质：技术规范（TechnicalSpecification,TS）标准定价：1489元人民币（约合210瑞士法郎/230美元）标准文本格式：电子版加密PDF，需安装FileOpen插件，限制累计3台电脑共打印5次三、标准编制历程3.1立项阶段ISO/IECTS27560的编制工作起源于ISO/IECJTC1/SC27在隐私保护标准化领域的系统性布局。2019年至2020年间，SC27/WG5在制定ISO/IEC29184（在线隐私通知与选择）和ISO/IEC27701（隐私信息管理体系）等标准的过程中发现，同意记录的标准化问题缺乏专门的技术规范予以回应。为此，多国国家成员体提出新工作项建议（NWIP），经SC27全体会议投票通过后于2020年下半年正式立项，编号ISO/IECTS27560。3.2编制阶段标准编制工作由WG5下设的特别工作组负责推进，项目负责人（ProjectEditor）由英国专家担任。编制过程经历了WD（工作草案）、CD（委员会草案）、DTS（技术规范草案）等阶段：-WD阶段（2020年Q4—2021年Q2）：工作组收集分析了全球主要隐私法规（GDPR、PIPL、LGPD、CCPA等）及相关技术标准中对同意记录的要求，形成了共识性框架文件。-CD阶段（2021年Q3—2022年Q1）：委员会草案在全球范围内征求意见，共收到来自超过15个国家成员体的200余条反馈意见，涉及数据结构的灵活性、不同法域法律要求的映射、与其他标准的兼容性等核心议题。-DTS阶段（2022年Q2—2023年Q2）：经过多轮修订和评审，技术规范草案于2022年底提交SC27全体会议审议，最终于2023年上半年通过正式投票，于2023年8月8日正式发布。3.3主要参与国家与组织该标准编制过程中，共有来自英国、德国、法国、美国、中国、日本、韩国、加拿大、澳大利亚等20余个国家成员体的专家参与，同时吸收了欧盟网络与信息安全局（ENISA）、世界经济论坛（WEF）等国际组织的观察意见。中国国家标准化管理委员会（SAC）积极派员参与编制工作，将中国《个人信息保护法》的同意条款要求和技术实践经验输出到标准文本中。3.4标准发布过程ISO/IECTS27560:2023于2023年8月8日由ISO和IEC联合正式发布。四、标准技术内容解析4.1适用范围与定位ISO/IECTS27560:2023为隐私技术领域提供了一个独立于具体应用场景的同意记录信息结构框架，适用于各类规模的组织——无论是大型互联网平台、金融机构，还是中小企业和公共部门机构。其核心定位体现在以下三个层面：-技术中立方：该标准不限定特定的技术实现方案，适用于数据库系统、区块链存证、可信执行环境（TEE）、分布式身份（DID）等多种底层技术。-法域中立性：标准选取了不同法律体系下"同意"概念的共同要素进行建模，并提供了法律映射指南，支持组织在多个法域下使用同一信息结构满足不同合规要求。-全生命周期：覆盖同意的获取（obtained）、记录（recorded）、更新（updated）、撤回（withdrawn）和审计（audited）的完整生命周期管理。4.2核心术语与概念标准系统定义了以下关键术语：-同意（Consent）：数据主体对其个人信息进行特定处理作出的自由给予、具体、知情且明确的意愿表示，可通过声明或清晰肯定的行为作出。-同意记录（ConsentRecord）：以结构化电子形式记录的、证明同意相关事实和过程的信息集合。-同意收据（ConsentReceipt）：向数据主体提供的、简洁呈现其已授予同意的关键信息的记录形式。-处理活动（ProcessingActivity）：对个人数据进行的任何操作或一系列操作，包括收集、存储、使用、传输、删除等。-数据主体（DataSubject）：可被识别的自然人，其个人信息是同意记录的指向对象。4.3同意记录信息结构标准的核心技术贡献在于定义了一套完整的信息结构，其设计沿用了对同意记录"实体—状态—事件—证据"的全景式建模，主要涵盖以下核心数据模块：（1）同意标识信息模块该模块为每一条同意记录分配唯一的全局标识符。标准建议采用UUID或URI格式，确保在分布式环境下标识符的全球唯一性和可解析性。（2）数据主体标识模块该模块记录数据主体的身份信息。标准允许使用直接标识符、假名标识符或分布式数字身份（DID）等多种方式，并允许组织根据"数据最小化原则"自行确定标识粒度。（3）处理者与控制者信息模块该模块记录同意涉及的数据控制者（Controller）和数据处理者（Processor）的详细信息，包括机构名称、法律实体标识、联系方式、所在法域等。（4）处理目的模块该模块记录个人信息处理的具体目的。标准要求目的应当具体、明确，并以可理解的方式描述，且建议采用机器可读枚举代码与其他模块联动。（5）数据处理范围模块该模块定义同意涉及的个人数据类别范围，标准建议参考ISO/IEC19944关于数据类型的分类体系进行描述。（6）同意状态模块该模块跟踪同意的当前状态，典型状态包括：已授予（Granted）、已撤回（Withdrawn）、已过期（Expired）、已拒绝（Denied）、待处理（Pending）。标准的特殊设计在于：标准的制定者认识到了"状态"需要历史谱系的支撑才具有可信度，因此状态更新必须保留同意的完整审计链。（7）同意事件与时间戳模块该模块记录与同意相关的每一个重大事件，包括同意授予时间、撤回时间、更新时间和相应的数字签名信息。（8）法律依据与法域模块该模块标注该同意记录对应的法律依据（如GDPR第6(1)(a)条、中国PIPL第14条等）和适用法域，支持一个同意对应多个法域法律依据的映射。（9）附加信息与扩展模块该模块允许组织根据具体业务需求补充其他信息字段，同时保持与核心结构的兼容性。4.4与相关标准的协同关系ISO/IECTS27560在设计过程中充分考虑并明确规定了与其他重要标准的协同关系:-与ISO/IEC29184（在线隐私通知与选择）形成"选择架构"和"选择记录"的前后端协同，前者解决"告知"环节的信息呈现，后者解决"同意"环节的结构化记录。-与ISO/IEC27701（隐私信息管理体系）互补，ISO/IEC27701从管理体系的视角提出了同意管理的控制措施（如PII控制者控制措施8.4.5），而ISO/IECTS27560则提供了落地实施所需的数据结构、接口定义和数据流规范。-参考ISO/IEC19944（云计算数据流动与数据分类）对数据类型和云服务场景的定义，确保该标准在云环境下的适用性。-补充ISO/IEC29100（隐私框架）中关于同意和选择的隐私原则，将原则性要求转化为可实现的技术规范。五、主要起草单位介绍——英国标准协会（BSI）5.1机构概况英国标准协会（BritishStandardsInstitution,BSI）成立于1901年，是全球首个国家标准化机构，也是国际标准化组织（ISO）的创始成员之一。BSI总部位于伦敦，在全球193个国家设有分支机构和业务网络，拥有超过4000名员工。一个多世纪以来，BSI在标准制定、产品认证、培训服务和合规评估等领域积累了深厚的技术底蕴，其制定的标准涵盖信息安全管理（BS7799，后发展为ISO/IEC27001）、隐私信息管理（BS10012，后发展为ISO/IEC27701）等国际知名标准。5.2在标准化领域的专业积累BSI在隐私与信息安全标准化领域拥有独特的专业优势。BS10012:2017是全球首个关于个人数据保护的管理体系标准，BSI在制定该标准的过程中系统性地积累了关于"同意记录管理"的方法论和最佳实践。在此基础上，BSI积极参与ISO/IECJTC1/SC27的各项标准编制工作，是ISO/IEC27701（隐私信息管理体系）的核心起草单位之一。这一深厚积累使BSI在ISO/IECTS27560的技术研讨中始终处于引领地位。5.3技术治理与实践在ISO/IECTS27560的编制过程中，BSI深度参与了项目的立项论证、技术框架设计和国际协调等关键环节，并承担了多项核心研究任务。其专家团队通过开展针对GDPR遵从性案例的研究，向工作组提供了跨法域同意记录设计的重要输入。在标准编制的联合研讨阶段，BSI利用其在认证体系领域的丰富实践，推动标准在同意记录的可审计性设计方面作出了特殊安排，旨在使后续基于该标准开展第三方认证成为可能。此外，BSI在其诸多培训和认证服务中已率先纳入ISO/IECTS27560的相关要求，为标准的全球推广和产业应用提供了人才支撑和实践基础。六、标准价值与应用展望6.1核心价值合规价值：ISO/IECTS27560提供了一套中立、可扩展、可验证的同意记录模型，在合规建设层面有效支撑《个人信息保护法》第二十二条、GDPR第7条的证明责任要求，是法律要求的"可证明的同意"从原则走向落地实施的关键桥梁，能够显著降低组织在面临监管问询时的举证难度。互操作价值：随着数据跨境流动规则在全球范围内的深化（如欧盟充分性认定、APEC跨境隐私规则CBPR体系、DEPA（数字经济伙伴关系协定）等），统一的同意记录结构有助于建立跨国、跨系统的信任链条。用户赋权价值：标准倡导的"同意收据"机制使数据主体能够便捷地查阅、获取和撤回同意，有效提升个人对其信息控制权的行使能力。6.2应用场景展望在医疗健康数据共享场景中，基于同意记录信息结构，可实现患者授权记录在不同医疗机构间的互认与流转；在金融信贷审批场景中，帮助金融机构规范化管理客户数据使用授权，有效支撑多产品交叉销售中的合规梳理；在智能网联汽车场景中，为车辆数据采集与处理的动态同意管理提供技术依据；在跨境数