SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场privacy-engineering

privacy-engineering

安全与审计

查看项目

更新于 10-15 17:41

技能介绍

用途

隐私工程技能用于在代码、数据和基础设施层面实现隐私控制，把法律要求转化为真正按声明运行的系统。它强调隐私与安全的重叠但不等同：安全防止未授权访问，隐私防止已授权但不正当的使用。该技能产出合规的技术实现，最终合规判定仍归法律顾问。

覆盖的法规

  • GDPR（欧盟）：适用于对欧盟/欧洲经济区居民个人数据的任何处理，涉及第 5 条（原则）、第 6 条（合法依据）、第 7 条（同意）、第 15-22 条（数据主体权利）、第 25 条（隐私设计）、第 30 条（处理记录）、第 32 条（安全）、第 33 条（泄露通知，72 小时）、第 35 条（DPIA）。
  • CCPA / CPRA（加州）：适用于达到门槛的加州居民数据处理企业，涉及知情权、删除权、更正权、选择退出出售/共享、敏感个人信息类别、年度隐私通知、服务提供商合同。
  • LGPD（巴西）：与 GDPR 形态相似，有本地差异。
  • PIPEDA（加拿大）：联邦商业领域，基于同意与合理预期，含泄露通知。
  • 美国各州法律（VA、CO、CT、UT 等）：大致呈 CCPA 形态；满足 GDPR + CCPA 的工程实践通常可覆盖州法。

工程现实：按适用的最严格制度构建。GDPR 在多数维度最严格；CCPA 增加了“选择退出出售/共享”和敏感个人信息类别。

主要能力（隐私设计工程实践）

  1. 数据分类：每个数据存储都需分类。最小分类为公开、内部、个人、敏感个人、受监管。敏感个人包括 GDPR 第 9 条特殊类别（健康、生物识别、政治、性取向、种族、宗教）与 CCPA SPI（精确位置、种族、宗教、生物识别、基因、性生活、邮件内容、政府 ID、金融账户、公民身份、工会成员）。审计步骤：确认每个数据存储的分类已记录且与实际数据匹配。

  2. 数据最小化：收集、保留、共享均取最小。常见发现包括：仅为限流却记录 IP（限流决策后截断为 /24）、存储完整 user-agent 而只需设备类别、为年龄验证收集出生日期而只需布尔值、退出后仍保留电话号码、备份保留远超运营需要、分析平台收到含订单/用户 ID 的完整 URL 路径。审计 grep 模式涵盖数据库列名（email、phone、name、address、ssn、dob、birth、gender、ip、user_agent、device_id、ip_address）、日志语句、分析集成。

  3. 合法依据（GDPR）/ 目的（CCPA）：每项处理活动需记录合法依据。常见依据：合同（第 6(1)(b) 条）、同意（第 6(1)(a) 条，门槛高，敏感数据需第 9 条明确同意）、正当利益（第 6(1)(f) 条，需记录平衡测试）、法律义务/重大利益/公共任务（适用范围窄）。工程钩子：应用记录每项处理活动及其合法依据，作为 DSAR 披露的事实来源。

  4. 同意管理：同意记录应包含用户 ID（或预认证设备 ID）、具体目的、时间戳、所展示同意文本版本、来源、授予或拒绝、撤回时间戳。撤回同意必须与授予同样容易（GDPR 第 7(3) 条）。常见审计发现：Cookie 横幅在用户点击前加载跟踪脚本、非必要 Cookie 默认设为“正当利益”、未存储同意时间戳、营销同意与接受服务条款捆绑、用户无法查看同意历史或撤回。

  5. 数据主体权利（DSAR 流程）：

  • 访问权（第 15 条 / CCPA 知情权）：枚举所有含该用户个人数据的存储，按请求拉取，以机器可读格式（JSON/CSV）导出，披露前验证身份，30 天（GDPR）/45 天（CCPA）交付。
  • 删除权（第 17 条 / CCPA 删除权）：主数据库删除/软删除；副本/备库确认复制传播或安排清除；备份按保留窗口老化，需记录保留并在恢复时重新删除；缓存（Redis、CDN、应用级）失效；搜索索引（Elasticsearch/Algolia/Meilisearch）重新索引；分析平台（Mixpanel、Amplitude、Segment、GA）各有删除 API；数据仓库（BigQuery/Snowflake/Redshift）单独管道，通常批量；日志按保留期老化；第三方/子处理者需删除扇出。审计 grep 模式：analytics.track、segment.identify、sentry.setUser、mixpanel.people.set、datadog.*user、posthog.identify，以及 Sentry.init、analytics.load、LogRocket.init、FullStory.init 等 SDK 初始化。
  • 可携带权（第 20 条）：用户所提供数据的机器可读导出，与访问权不同。
  • 更正权（第 16 条 / CCPA 更正权）：产品内置更正路径，不要求邮件联系支持。
  • 反对权（第 21 条）：停止用于直接营销等目的，需抑制列表/选择退出标志在所有处理路径生效。 审计步骤：在真实用户之前，用自己的账户端到端模拟一次 DSAR。

  1. 供应商/子处理者管理：每个处理个人数据的供应商都是子处理者。GDPR 要求与每个供应商签订数据处理协议（DPA），并向用户提供子处理者清单。工程审计：清点代码库中所有触及用户数据的 SaaS/API 集成；确认 DPA 存档；确认发送数据为最小必要；确认存在删除 API 或流程；确认数据驻留地与跨境传输机制（欧盟外传输需标准合同条款）。常见发现：Sentry/Datadog/LogRocket/FullStory 在错误报告和会话录制中捕获 PII；Slack 用于客户数据讨论；2024 年前分析工具跨境传输；未在 DPA 下的 Webhook 交付。

  2. 泄露通知：GDPR 第 33 条要求知悉个人数据泄露后 72 小时内通知监管机构；第 34 条要求高风险时通知受影响个人。工程钩子：检测（SIEM 规则）、范围界定（快速确定涉及哪些记录/字段/个人）、遏制（撤销访问、轮换凭证）、文档（知悉时钟从团队任何人知悉时开始）。

  3. DPIA（数据保护影响评估）：高风险处理（第 35 条）需要，包括大规模敏感数据处理、系统性监控、影响个人的自动化决策。工程输入：数据流图、个人数据类别、数据主体类别、接收方、各类保留期、安全措施、风险评估与缓解。该技能产出工程输入，法律/隐私顾问产出 DPIA 本身。

使用方式

该技能以审计/实现报告形式输出，格式包括：范围、法规背景、日期、数据清单表（数据存储、分类、PI 类别、合法依据、保留期）、发现表（ID、严重性、实践、问题）、DSAR 管道状态清单、供应商/子处理者清单表、同意记录状态、行动项（含负责人与截止日期）。处置规则（已修复/推迟/接受风险）参照 owasp-audit 的报告格式；隐私发现的接受风险决策通常还需法律签署。

适用场景

适用于在产品与基础设施中落地隐私控制、开展隐私审计、构建 DSAR 流程、管理同意与供应商、准备泄露响应技术侧、为 DPIA 提供工程输入等场景。

限制与边界

  • 该技能产出技术实现与审计发现；最终合规判定需法律/隐私顾问。
  • 泄露通知：技能产出技术范围与时间线；通知本身需法律审查并经 security-comms。
  • 拒绝帮助构建旨在违反隐私法的系统，包括暗模式同意流程、监视即营销、超合法保留期囤积 PI。
  • “匿名化”门槛很高：假名化（用代理键替换直接标识符但保留再识别能力）不等于匿名化（不可逆移除可识别性）。需认真对待再识别风险。
  • 向非充分性司法管辖区跨境传输需标准合同条款或等效机制；法律机制不属该技能范围，但通过合规管道路由数据的工程工作属于。

参考资料

GDPR 全文（eur-lex.europa.eu/eli/reg/2016/679）、EDPB 指南、ICO（英国，ico.org.uk）、CCPA/CPRA（加州总检察长 oag.ca.gov/privacy/ccpa）、IAPP、NIST 隐私框架、ISO/IEC 27701、Ann Cavoukian 的“隐私设计”七项基本原则、Bibi Lin 等“Privacy Engineering”、Dwork & Roth《The Algorithmic Foundations of Differential Privacy》、Data Privacy Framework（EU-US、US-UK、US-Swiss）。