公认隐私原则

1 @2021云安全联盟大中华区-保留所有权利。你可以在你的电脑上下载、储存、展示、查看、打印，或者访问云安全联盟大中华区官网（https://www.c-csa.cn）。须遵守以下:（a）本文只可作个人、信息获取、非商业用途；(b)本文内容不得篡改;(c)本文不得转发;(d)该商标、版权或其他声明不得删除。在遵循中华人民共和国著作权法相关条款情况下合理使用本文内容，使用时请注明引用于云安全联盟大中华区。 致谢 中文版翻译说明 由云安全联盟大中华区(CSAGCR)数据安全工作组负责组织翻译公认隐私原则(GenerallyAcceptedPrivacyPrinciples)。 翻译审校工作专家： 组长：高巍 组员：薛琨，张明敏，廖聪城，王贵宗 在此感谢以上参与该文档的翻译审校工作的专家及工作人员。如译文有不妥当之处，敬请读者联系CSA数据安全工作组给与雅正! 联系邮箱：info@c-csa.cn；云安全联盟大中华区 2021年8月8日 云安全联盟CSA公众号 前言 美国注册会计师协会(AICPA)和加拿大特许会计师协会(CICA)坚信，隐私是一个商业问题。考虑到各组织在试图解决隐私事务时所面临的问题，我们很快得出结论，企业没有一个全面的框架来有效管理其隐私风险。这两个协会决定，他们可以通过开发一个隐私框架来做出重大贡献，该框架可以解决受隐私要求或期望影响的所有各方的需求。因此，这两个机构制定了一个名为《AICPA和CICA公认隐私原则》的隐私框架。这两个机构将这些原则和标准广泛提供给对解决隐私问题感兴趣的所有各方。 这些原则和标准是由志愿者开发和更新的，他们考虑了当前的国际隐私监管要求和最佳实践。这些原则和标准是按照两个研究所的适当程序发布的，其中包括公开征求公众意见。采用这些原则和标准是自愿的。 这些原则的一个基本前提是，良好的隐私即能保障良好的商业。良好的隐私实践是公司治理和问责制的一个关键组成部分。当今的关键商业要务之一是保护一个组织所收集和持有的个人信息的隐私。随着业务系统和流程变得越来越复杂精细化，越来越多的个人信息被收集。由于更多的数据被收集和持有，而且通常是以电子格式，个人信息可能面临各种脆弱性的风险，包括丢失、滥用、未经授权的访问和未经授权的披露。这些风险引起了组织、政府、个人和公众的关注。 对于在多个司法管辖区环境中运作的组织，管理隐私风险可能是一个更加重大的挑战。遵守普遍接受的隐私原则并不能保证符合一个组织所要遵守的所有法律和法规。组织需要了解其开展业务的所有管辖区的重要隐私要求。虽然本框架提供了关于隐私的一般指导，但各组织应咨询自己的法律顾问，以获得更多关于管辖本组织具体情况的特定法律和法规的建议和指导。 考虑到这些问题，AICPA和CICA制定了《公认隐私原则》，作为一个操作框架，帮助管理层以考虑到许多地方、国家或国际要求的方式来处理隐私问题。主要目标是促进隐私合规和有效的隐私管理。次要目标是提供适当的标准，以便可以进行隐私验证工作(通常称为隐私审计)。 公认隐私原则代表了AICPA和CICA的贡献，即帮助组织保持对隐私风险的有效管理，确保组织的需求，并反映公共利益。有关发展的其他历史和其他隐私资源可在网上找到：www.aicpa.org/privacy和www.cica.ca/privacy。《公认隐私原则》可从AICPA和CICA的网站下载，分别为www.aicpa.org/privacy和www.cica.ca/privacy。 由于隐私环境不断变化，《公认隐私原则》将需要不时地进行修订。因此，请将有关本文件的任何意见通过电子邮件发送给美国注册会计师协会(GAPP@aicpa.org)或加拿大特许会计师协会(mailto:privacy@cica.ca)。 AICPACICA 美国注册会计师协会和加拿大特许会计师协会隐私工作组 主席 工作人员联系方式: EverettC.Johnson,CPA NicholasF.Cheung,CA,CIPP/C 德勤会计师事务所(退休) CICA 副主席 负责人，保障服务开发部 KennethD.Askelson,CPA,CITP,CIA BryanWalker,CA 彭尼公司(退休) CICA EricFedering 总监，从业人员支持 毕马威会计师事务所 NancyA.Cohen,CPA,CITP,CIPP PhilipM.Juravel,CPA Juravel&Company,LLC AICPA 高级技术经理。 专业社区和实践管理 SagiLeizerov,Ph.D.,CIPP 安永会计师事务所 JamesC.Metzler,CPA,CITPAICPA RenaMears,CPA,CITP,CISSP,CISA,CIPP 副总裁，小型机构权益部 德勤会计师事务所 RobertParker,FCA,CA⋅CISA,CMC 德勤会计师事务所(退休) MarilynProsch,Ph.D.,CIPP 亚利桑那州立大学 DoronM.Rotman,CPA(Israel),CISA, CIA,CISM,CIPP 毕马威会计师事务所 AICPA保障服务部 KerryShackelford,CPA KLSConsultingLLC 执行委员会于2009年8月批准了《公认隐私原则》。 DonaldE.Sheehy,CA⋅CISA,CIPP/C 德勤会计师事务所 目录 隐私—公认隐私原则概述8 介绍8 为什么隐私是一个商业问题9 国际隐私考虑因素9 外包和隐私10 什么是隐私？11 隐私定义11 个人信息11 隐私还是保密？12 公认隐私原则简介13 整体隐私目标13 公认隐私原则13 应用GAPP15 公认隐私原则和标准的展示17 公认隐私原则和标准18 管理18 声明29 选择和同意33 收集37 使用，留存和处置40 访问43 向第三方披露48 隐私安全52 质量60 监督与执行62 附录A-词汇表68 隐私—公认隐私原则概述 介绍 许多组织发现了需要在地区、国家或国际基础上管理隐私1的挑战。大多数组织都面临着许多不同的隐私法律和法规，需要将其要求付诸实施。 公认隐私原则(GAPP)是从商业角度制定的，参考了一些(但绝不是所有)重要的地方、国家和国际隐私法规。GAPP将复杂的隐私要求定义成一个单一的隐私目标，由十项隐私原则支持。每项原则都有客观、可衡量的标准支持，这些标准构成了有效管理组织内隐私风险和合规性的基础。为支持这些标准，GAPP提供了说明性的政策要求、沟通、控制，也包括监测控制。 任何组织都可以使用GAPP作为其隐私管理体系的一部分。GAPP的开发是为了帮助管理层创建一个有效的隐私管理体系，以应对隐私风险和义务，以及商业机会。它也可以作为管理者和其他监督管理角色的有用工具。本章内容包括隐私的定义和解释为什么隐私是一个商业问题，而不仅仅是一个合规问题。此外，还说明了这些原则如何适用于外包方案，以及为了组织及其客户的利益可以采取的潜在隐私举措类型。 本章内容和接下来的一套隐私原则与相关标准对从事以下工作的人员有帮助： 监督和监测隐私和安全计划。 在一个组织中实施和管理隐私。 在一个组织中实施和管理安全。 监督和管理组织中的风险和合规性。 评估合规性并审计隐私和安全计划。 隐私监管。 1附录A-词汇表中包含的每个词的第一次出现都有下划线，并超链接到其在导言部分的词汇表和公认隐私原则及相关标准表中的定义。 为什么隐私是一个商业问题 执行良好的隐私保护意味着具备良好的商业基础。良好的隐私保护实践是公司治理和问责制的一个关键部分。当今的关键商业要务之一是维护个人信息的隐私。随着业务系统和流程变得越来越复杂和精细化，企业正在收集越来越多的个人信息。因此个人信息容易受到各种风险的影响，包括丢失、滥用、未经授权的访问和未经授权的披露。这些风险已经引起了组织、政府和公众的关注。 各个组织正试图在适当的收集和使用用户个人信息之间取得平衡。政府正试图保护公共利益，同时管理他们从公民那里收集的个人信息的缓存。消费者对他们的个人信息非常关注，许多人认为他们已经失去了对信息的控制。此外，公众对身份盗用和不当获取个人信息，特别是财务和医疗记录，以及有关儿童的信息非常关注。 用户个人希望他们的隐私能得到尊重，他们的个人信息能得到与其有业务往来组织的保护。他们不希望一个组织未能保护他们的隐私。因此，所有企业都需要将隐私作为一个风险管理问题来有效解决。以下是不当的隐私政策和规程带来的具体风险： 对组织的声誉、品牌或业务关系造成损害 受到法律责任和行业或法规制裁 被指控为具有欺骗性的商业行为 客户或员工的不信任 个人拒绝同意将其个人信息用于商业目的 业务损失以及随之而来的收入和市场份额的减少 国际业务活动的中断 因个人身份被盗用而产生的法律责任 国际隐私考虑因素 对于在一个以上国家运营的组织来说，管理其隐私风险可能是一个重大挑战。 例如，互联网和商业的全球性质意味着一个国家的监管行动可能会影响世界各地的个人用户和客户的权利与义务。许多国家都有监管跨境数据流动的法律(包括欧盟EU关于数据保护和隐私的指令)，如果一个组织想在这些国家开展业务，就必须遵守这些指令， 因此组织需要遵守世界各地不断变化的隐私要求。此外不同的司法管辖区有不同的隐私理念，使国际合规成为一项复杂的任务。一些国家认为个人信息属于个人，并认为企业在收集和维护这些信息时具有类似信托的关系。另外，还有一些国家认为个人信息属于收集信息的企业。 此外，企业面临的挑战是努力跟上他们业务所在的每个国家的最新要求。通过遵守一个高的全球标准，如本文件中规定的标准，将有助于遵守许多法规。 即使是国际业务有限的组织也经常面临遵守其他国家的隐私要求的问题。这些组织中的许多人不确定如何处理通常更严格的海外法规。这增加了组织因为无意中的违规行为而被所在国当作负面案例公布的一个风险。 此外，许多司法管辖地区(如州或省)和某些行业，如医疗或银行，都有与隐私有关的具体要求。 外包和隐私 外包增加了处理隐私问题的复杂性。一个组织可以将其业务流程的一部分外包出去，并随之将一些隐私责任外包出去；但是，该组织不能将其业务流程中的隐私的最终责任外包出去。当执行外包服务的组织在不同的国家，并可能受制于不同的隐私法律或可能根本没有隐私要求时，复杂性会增加。在这种情况下，将业务流程外包的组织需要确保其妥善管理隐私责任。 GAPP及其支持标准可协助组织完成对提供外包服务的第三方的隐私政策、程序和措施的评估(包括独立审查)。 这些原则和标准在全球范围内适用，这可以让外包商感到放心，因为隐私评估可以使用基于国际上已知的公平信息惯例的一致衡量标准来进行。 在《公认隐私原则》中，隐私被定义为"个人和组织在收集、使用、留存、披露和处理个人信息方面的权利和义务"。 什么是隐私？隐私定义 个人信息 个人信息(有时被称为个人可识别信息)是关于(或与之相关的)可识别个人的信息。它包括任何可与个人相联系或用于直接或间接识别个人的信息。就这一目的而言，个人包括潜在的、当前的和以前的用户、雇员，以及与该组织有关系的其他人。一个组织收集的关于个人的大多数信息，如果可定位到一个已识别的个人，就可能被认为是个人信息。个人信息的一些例子如下： 姓名 家庭或电子邮件地址 身份证号码(又如，社保账号)。 身体特征 消费者的购买历史 有些个人信息被认为是敏感信息。一些法律和法规将以下内容定义为敏感个人信息： 关于医疗或健康状况的信息 财务信息 种族或民族血统 政治观点 宗教或哲学信仰 工会会员资格 性取向 与犯罪行为或刑事定罪有关的信息 敏感的个人信息通常需要额外的保护和更高的关注职责。例如，一些司法管辖区可能要求对敏感信息的收集和使用给予明确的同意，而不是默认同意。 一些关于人的信息或与人有关的信息无法与具体个人