华为隐私保护治理白皮书

华为技术有限公司 深圳龙岗区坂田华为基地电话：+8675528780808 邮编：518129www.huawei.com 华为隐私保护治理白皮书 隐私合规17/27框架 DIPIA 通知数数据主体 据主体选择和同意 个人信息生命周期 商标声明 ，，是华为技术有限公司商标或者注册商标，在本手册中以及本手册描述 的产品中，出现的其它商标，产品名称，服务名称以及公司名称，由其各自的所有人拥有。 免责声明 本文档可能含有预测信息，包括但不限于有关未来的财务、运营、产品系列、新技术等信息。由于实践中存在很多不确定因素，可能导致实际结果与预测信息有很大的差别。因此，本文档信息仅供参考，不构成任何要约或承诺，华为不对您在本文档基础上做出的任何行为承担责任。华为可能不经通知修改上述信息，恕不另行通知。 版权所有©华为技术有限公司2022。保留一切权利。 非经华为技术有限公司书面同意，任何单位和个人不得擅自摘抄、复制本手册内容的部分或全部，并不得以任何形式传播。 华为技术有限公司2022年11月 华为隐私保护治理白皮书 华为隐私保护治理白皮书 目录01序言 01序言02 02华为隐私合规框架03 2.1隐私保护治理04 2.2个人信息生命周期保护06 03华为的隐私合规核心实践08 3.1实践一：PrivacybyDesign（PbD）08 3.2实践二：个人信息安全09 随着5G、云计算和AI等技术的快速发展，全球的数字化进程进一步深化，我们由此步入了数字化、全联接、智能化的新世界。在此进程中,保障数据安全、保护个人隐私成为了当前全球各个国家和地区都面临的重大挑战。对于企业而言，保障个人信息的安全与处理合规既是法律遵从的基本要求，也是保障企业未来数字化业务成功的基石之一。 华为作为全球领先的ICT基础设施和智能终端提供商，将构筑并全面实施端到端的全球网络安全与隐私保护保障体系作为公司的重要发展战略之一，并通过持续的资源投入，不断提升隐私合规能力，完善自身的隐私合规管理体系。华为的业务范围覆盖了全球170多个国家和地区，且业务类型复杂多样，构建一套能够适用于全球的隐私保护治理方法是华为长期探索和努力的方向。通过对外部隐私保护法律、法规及标准进行系统性地洞察和梳理，华为搭建了一套基于自身隐私合规需求的全球隐私合规框架。该框架包含了17个控制域和27个控制项，系统地归纳了隐私合规的相关控制要求，为华为各业务单元的隐私合规工作提供了指引。在本白皮书中，我们将对华为目前采用的隐私合规框架和隐私合规实践进行详细介绍，供业界参考。 我们期待与业界友好交流，共同探索隐私保护治理的最佳实践，建立隐私保护治理的长效机制。 02 01 3.3实践三：供应商管理10 3.4实践四：个人信息跨境转移11 3.5实践五：隐私合规管理流程IT化11 3.6实践六：个人信息主体权利请求（DSR）12 04结束语14 05术语定义表15 06附录一：华为隐私合规17/27框架16 ¹ICT(Informationandcommunicationtechnology),信息与通信 华为隐私保护治理白皮书 华为隐私保护治理白皮书 隐私管理制度 组织 意识能力 监控执行事件响应与沟通PrivacybyDesign个人信息安全 隐私 保护治理 洞察与跟踪 监控度量与持续改进 审计与稽查 认证获取与维护 事件响应 监管沟通与响应 PbD架构设计个人信息安全 和方法论相关要求 隐私增强技术研究和建议 个人 信息生命周期保护 个人信息清单 隐私影 响评估 通知个人 信息主体 选择和同意收集使用 披露 留存和处置跨境转移 隐私影响评估相关要求 隐私声明 或通知 个人信息个人 主体选择信息 和明示同意收集限制 个人 信息使用限制 个人信息 主体权利 向个人信息处个人信息个人信个人信息主体理者、共同处留存和处息跨境权利响应，包理者及受托人置相关要转移相括投诉处理等披露相关要求求关要求相关要求 个人信息清单管理 个人信息分级分类 专业人员能力提升 全员培训和意识提升 与流程文件 公司隐私政策 组织架构设计团队任命 人员保密协议管理 绩效考核 02华为隐私合规框架 为了实现对全球隐私合规的系统化管理，华为在洞察、分析、归纳、整合外部法律、法规与标准的基础上，持续优化，形成了一套隐私保护治理方法，即华为隐私合规框架。 数字世界的隐私保护 合法正当透明 目的限制 数据最小化 存储期限最小化 完整性与保密性 准确性 可归责 个人信息处理者 主动、依法保护隐私；增强消费者信任 受托人 确保数据安全，遵从客户指令 个人信息处理者 数据处理透明，增强全球雇员的信任； 基于雇主合法目的和必要性处理数据 重点关注 据主体选择和同意 政策和流程 组织和资源标准和法规 访问控制 记录和验证 执法机构调查和诉讼 数据处理请求响应 风险评估（PIA等） 人员意识和能力 业务连续性 评估和校正 数据泄露事件响应 审计问责 DIPIA通知数数据主体 消费者 DI PIA 通知数据主体 数据主体 选择和同意 泛网络 DI PIA 通知数据主体 数据主体 选择和同意 业务 业务 雇员 为主 为主 管理 安全 质量 监控和实施 图2-2华为隐私合规17/27框架（17/27框架） 如图2-2所示，17/27框架可分为“隐私保护治理”和“个人信息生命周期保护”两条主线。主线一“隐私保护治理”从隐私保护治理的顶层设计出发，集合了政策、组织、人员意识等控制域和控制项。主线二“个人信息生命周期保护”则覆盖个人信息全生命周期的管理，从收集、使用、披露、留存、处置等个人信息处理环节分别提出了隐私合规工作要求。下文将对两条主线各自所包含的内容进行详细说明。 图2-1华为隐私合规框架（“蜗牛图”） 隐私保护治理 2.1 华为隐私保护合规框架首创通过“蜗牛图”的形式来展示对个人信息全生命周期的保护，共包含17个控制域和27个控制项（详见附录），命名为隐私合规17/27框架（以下简称“17/27框架”）。 17/27框架主要基于欧盟《通用数据保护条例》（以下简称“GDPR”）以及包括《GB/T35273-2020 》、《ISO/IEC27701》在内的10套2隐私保护标准而设计搭建。随着2021年中国《个人信息保护法》的颁布与实施，华为对《个人信息保护法》进行了深入的解读和分析，对17/27框架的内容进行了补充。以此方式，17/27框架得以不断适应全球法律法规的动态发展，保持先进性。 （1）隐私管理制度 本控制域明确了制定、更新和维护隐私管理制度的具体要求。华为各业务单元参照本控制域中的隐私合规控制项，结合业务特点，建立并完善自身的隐私管理制度。 （2）组织 本控制域从组织架构、团队组建、人员任命、绩效考核等方面，明确了隐私管理组织与人员相关的角色、职责及流程，为隐私保护组织架构的设计、搭建及运作提供了指引。 基于控制域和控制项的相关要求，华为成立了专职的全球网络安全与用户隐私保护组织，隶属于全球网络安全与用户隐私保护体系。图2-2是华为全球网络安全与用户隐私保护组织的架构图。 04 03 ²10套隐私保护标准分别是：ISO27701,NISTPRF,GAPP,ISO29151,GB/T35273-2020,BS10012-2017, ePrivacysealCriteria,EuroPriSeCriteria,TrustArcPrivacyandDataGovernanceAccountabilityFramework(Controlbased)及TrustArcPrivacyandDataGovernanceAccountabilityFramework(Activitybased)。 华为隐私保护治理白皮书 华为隐私保护治理白皮书 全球网络安全与用户隐私保护委员会 （GSPC） 全球网络安全与用户隐私保护官 （GSPO） GSPO办公室 区域网络安全与用户 隐私保护官（RSPO） 数据保护官 （DPO） 各业务线网络安全 与用户隐私保护办公室 国家网络安全与用户 隐私保护官（CSPO） 区域组织 业务线组织 （6）PrivacybyDesign（PbD）³ 本控制域从PbD架构设计、开发和维护以及隐私增强技术三个维度，对PbD的关键控制要求作了说明。华为各业务单元参照PbD的控制要求，实施符合隐私合规要求的设计方案，确保隐私保护被嵌入到业务规划设计、产品或系统开发、设计以及验证的各个环节之中。 （7）个人信息安全 本控制域明确了华为各业务单元在实施个人信息处理活动时所须达到的安全要求。实践中，华为依据本控制域的要求，从技术和组织两个层面建立并实施了符合业界惯例的个人信息安全保护措施。 2.2 个人信息生命周期保护 （3）意识能力 图2-3华为全球网络安全与用户隐私保护组织架构图 （1）个人信息清单（DataInventory） 本控制域分别从个人信息分类分级和个人信息清单方面提供了隐私合规指引，保障了个人信息处理活动记录的完整性和准确性。华为各业务单元参照本控制域的隐私合规要求，实时维护相应的个人信息处理记录4，并作为隐私合规证据。 （2）隐私影响评估（PIA） 本控制域包括建立隐私影响评估制度以及开展隐私风险评估工作的合规指引。华为各业务单元将PIA融入业务流程，根据《隐私影响评估操作指导书》，结合具体业务场景，开展隐私影响评估工作，识别业务场景中潜在的隐私风险和威胁，并实施适当的缓解措施。 （3）通知个人信息主体 06 05 本控制域以提升华为员工的隐私合规意识和能力为目标，从隐私保护培训规划、培训内容及效果评估等方 面提供了合规指引。华为已规划和实施定期的全员隐私保护意识培训及专业人员能力培训，并对培训效果进行全面跟踪评估。 （4）监控执行 本控制域包含洞察与跟踪、监控度量与持续改进、审计与稽查以及隐私保护认证的获取与维护四个方面。华为各业务单元参照本控制域的隐私合规要求，跟进个人信息处理相关的法律、法规、业界标准与行业实践，及时更新隐私管理制度、流程和实践以响应变化。另外，针对审计与稽查要求，华为已建立业务单元自检、隐私合规专业团队稽查和审计在内的三层监督检查机制，形成度量、稽查和审计的管理闭环。 （5）事件响应与沟通 本控制域对个人信息泄露事件响应管理制度、响应流程的制定与维护、应急响应培训与演练的开展、响应过程的记录以及监管沟通机制的建立进行了明确规定。华为各业务单元根据《个人信息泄露事件管理规定》，成立跨职能部门的个人信息泄露事件响应团队，定期组织并开展个人信息泄露应急响应培训和演练。根据实际发生的隐私事件，各业务单元参照个人信息泄露事件响应流程，开展个人信息泄露事件响应工作。 本控制域明确了隐私声明制定、发布和更新的合规要求。华为各业务单元参照本控制域的要求，结合具体的业务场景，制定简洁、透明、易理解、易获取的隐私声明，并通知个人信息主体。同时，华为各业务单元的个人信息处理活动应与隐私声明保持一致，在业务发生实质性变化时，及时更新隐私声明。 （4）选择和同意5 本控制域包含获取同意的方式（含儿童的同意）、留存同意的记录以及个人信息主体如何撤回同意的方式。华为各业务单元可结合具体的业务场景，获取和记录个人信息主体的同意，并保障个人信息主体撤回同意的权利。 ³PbD是一个应用于信息技术、业务实践、业务流程的整体概念，目的是将隐私需求作为整个系统开发和业务实践的一部分，确保隐私合规需求在业务或系统的规划之初就被纳入考量。 ⁴华为使用个人信息清单来满足法律对个人信息处理活动记录（RecordsofProcessingActivities）的合规要求。 ⁵当使用“同意”作为个人信息处理活动的合法性基础时，获得个人信息主体的同意是处理其个人信息的必要前提条件。 华为隐私保护治理白皮书 华为隐私保护治理白皮书 08