华为云阿根廷 PDPL 遵从性说明

华为云阿根廷PDPL遵从性说明 文档版本1.2 发布日期2023-12-26 华为技术有限公司 版权所有©华为技术有限公司2023。保留一切权利。 非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。 商标声明 和其他华为商标均为华为技术有限公司的商标。 本文档提及的其他所有商标或注册商标，由各自的所有人拥有。 注意 您购买的产品、服务或特性等应受华为公司商业合同和条款的约束，本文档中描述的全部或部分产品、服务或特性可能不在您的购买或使用范围之内。除非合同另有约定，华为公司对本文档内容不做任何明示或暗示的声明或保证。 由于产品版本升级或其他原因，本文档内容会不定期进行更新。除非另有约定，本文档仅作为使用指导，本文档中的所有陈述、信息和建议不构成任何明示或暗示的担保。 华为技术有限公司 地址：深圳市龙岗区坂田华为总部办公楼邮编：518129网址：https://www.huawei.com 客户服务邮箱：support@huawei.com 客户服务电话：4008302118 安全声明 漏洞声明 华为公司对产品漏洞管理的规定以“漏洞处理流程”为准，该政策可参考华为公司官方网站的网址： https://www.huawei.com/cn/psirt/vul-response-process。 如企业客户须获取漏洞信息，请访问：https://securitybulletin.huawei.com/enterprise/cn/security-advisory。 目录 1概述1 1.1适用范围1 1.2发布目的1 1.3基本定义1 2云服务的隐私保护责任界定3 3阿根廷隐私法规概述5 3.1法规背景介绍5 3.2PDPL的核心监管要求5 3.3第47号决议的安全措施要求6 3.4PDPL的角色划分7 3.5华为云在PDPL下的角色7 4华为云如何响应阿根廷PDPL及其实施细则8 4.1华为云隐私承诺8 4.2华为云隐私保护基本原则8 4.3华为云遵从PDPL的措施9 4.4华为云遵从第47号决议（Resolution47/2018）的措施14 5华为云协助客户遵从PDPL的要求20 5.1客户关于PDPL的隐私保护责任20 5.2客户关于第47号决议（Resolution47/2018）的合规责任22 5.3华为云的产品和服务如何助力客户实现内容数据的隐私安全25 6华为云隐私保护相关认证资质30 7结语33 8版本历史34 1概述 1.1适用范围 本文档提供的信息适用于华为云国际站在阿根廷开放的产品和服务。 1.2发布目的 本文档旨在帮助客户了解： 1.华为云隐私保护责任模型； 2.《阿根廷第25,326号个人数据保护法》（ArgentinaPersonalDataProtectionAct25,326，以下简称“PDPL”）及相关法律要求； 3.基于责任模型，华为云自身对PDPL的遵循； 4.华为云在隐私管理上已实现的控制和成效； 5.基于责任模型，PDPL管辖下的客户须遵循的责任与义务； 6.如何利用华为云的安全产品或服务实现对PDPL的遵从。 1.3基本定义 华为云 华为云是华为的云服务品牌，致力于提供稳定可靠、安全可信、可持续创新的云服务。 客户 与华为云达成商业关系的注册用户。 个人数据 可识别到明确自然人或法人的任何类型的信息。 敏感数据 揭示数据拥有者的种族和族裔血统、政治观点、宗教、哲学或道德信仰、工会会员资格以及有关健康状况、性习惯、性行为的个人数据。 数据处理 无论是通过电子或其他方式，包含收集、保存、组织、存储、修改、关联、评估、分区、销毁的个人数据处理行动，以及与第三方之间的报告、查询、互联、传输等通讯的系统操作和流程。 数据拥有者 凡是在阿根廷境内有法定住所、办事机构、分支机构的自然人或者法人，且其数据以PDPL所规定的形式进行处理的，皆定义为的数据拥有者。 数据使用者 可以自行决定如何处理存储在其拥有或可能通过连接访问的文件、寄存器或数据银行中（此处指华为云提供的平台、系统或其他云服务）的个人数据的个人或法人。 数据分离 可使所获得的信息不能与任何特定或可确定的人相关的个人数据处理方式。 帐户信息 指客户在创建或管理其华为云帐户时向华为云提供的数据，例如客户的姓名、电话号码、电子邮件地址、银行账户信息和账单信息等。对于帐户信息中的个人信息，华为云是数据使用者。 内容数据 指客户使用华为云服务过程中存储或处理的内容，包括但不限于数据、文件、软件、图像、音频、视频等类型的数据。 2云服务的隐私保护责任界定 在复杂的云服务业务模式中，隐私保护不再是某一方单一的责任，需要租户与华为云共同努力。基于此，华为云为帮助租户理解双方的隐私保护责任边界、避免出现隐私保护真空区而提出了责任共担模型。在模型中租户与华为云具体负责的区域可参见下图。 图2-1责任共担模型 基于责任共担模型，华为云与租户主要承担如下的隐私保护责任： 华为云：作为云产品、云服务提供商（CloudServiceProvider，简称CSP），一方面负责自身运营过程中收集和处理的租户个人数据安全与合规，另一方面负责为租户提供安全、合规的云服务相关的基础设施、云平台以及软件应用，也就是负责平台安全。 租户隐私保护：华为云识别并保护租户的个人数据。从公司政策、流程、操作层面制定了隐私保护策略，并采取数据分离、数据加密、系统及平台安全防护等措施，全面保护租户隐私的安全。 平台安全及租户安全支持：华为云负责在云服务中涉及到的基础平台及设施的安全与合规，提升华为云的应用安全、平台安全水平以遵从适用的隐私保护法规的要求。同时华为云为租户提供多种隐私保护技术及服务，包括访问控制和身份认证、数据加密、日志和审计等功能，帮助租户根据业务需求进行隐私保护。 租户：作为云产品、云服务的购买方，将决定如何使用相关产品或服务，也决定如何利用云产品或服务存储和处理内容数据，包括其中可能的个人数据，因此租户负责内容数据的安全与合规，也就是负责内容安全。 内容数据保护：租户应正确、全面地识别云端的个人数据，制定可保护个人数据的安全性及隐私的策略并选择恰当的隐私保护措施。具体措施包括根据业务和隐私保护的需求进行安全配置工作，例如操作系统配置、网络设置、安全防护、数据库加密策略等，设置恰当的访问控制策略和密码策略。 数据拥有者权利响应：租户应保障数据拥有者的权利，响应数据拥有者的请求，当发生个人数据泄露事件时，应遵循法规要求采取恰当的行动，例如通知监管部门、通知数据拥有者、采取缓解措施等。 3阿根廷隐私法规概述 3.1法规背景介绍 PDPL于2000年10月30日经阿根廷国会批准生效，适用于位于阿根廷境内就个人或法律实体（后者需位于阿根廷或在阿根廷设有办事处、分支机构）个人数据的处理行为，目的是全面保护记录在数据文件、寄存器、数据库或数据银行或其他数据处理技术手段中的个人数据。 由于法规已经发布了较长时间，而云计算的概念在立法通过后的6年，即2006年才被首次提出，云服务与PDPL中提及的数据文件、寄存器、数据库或数据银行具有一定的相似性。因此华为云依据PDPL的要求对收集的客户个人数据或存储的客户内容数据中包含的个人数据进行适当地保护。 除PDPL之外，阿根廷监管机构发布了多份具体化的规则与指引帮助数据使用者更好地符合PDPL的要求，其中较为核心的一份文件为2018年7月23日由阿根廷获取公众信息局（以下简称“AAPI”）颁布的第47/2018号决议(Resolution47/2018，以下简称“第47号决议”)。第47号决议旨在促进数据使用者对PDPL相关要求的进一步遵循，为管理、规划、控制和持续改善信息安全提供了安全措施的建议。 3.2PDPL的核心监管要求 PDPL规定了如下有关个人数据处理的核心监管要求： 保障个人数据的质量 为了确保个人数据的质量，PDPL第4条做出了相关的规定，主要内容包括目的适当性、合法正当、目的限定、数据准确、数据更正、数据访问及数据保留限制。 通知和获取同意 每当数据使用者要求数据拥有者提供个人数据时，数据使用者应事先以清晰和明确的方式通知数据所有者数据处理的目的、数据使用人身份及类型、提供数据不准确或不提供数据的后果及数据所有者享有的数据访问、更正和删除的权利。发送给数据所有者的通知须以书面形式或其他类似形式作出，在获得数据所有者的明示同意后，数据使用者才能对数据进行处理。 有条件地收集和处理敏感数据与医疗数据 数据使用者不能强迫数据拥有者提供敏感数据。仅当在出于公共利益的考虑被法律所授权或无法识别数据所有者时出于统计及科研的需求，才可收集与处理敏感数据。同时，PDPL禁止储存可能直接或间接透露敏感数据的信息也禁止被存储。当医疗机构、医学研究机构以提供患者医疗服务为目的时，可以收集患者的医疗数据。 保障数据安全 数据使用者必须采取必要的技术和组织措施，保护个人数据免受更改、丢失、未经授权的访问或处理，充分保障个人数据的安全性和机密性。 保密义务 数据使用者以及参与个人数据处理任何阶段的所有人员均对个人数据负有保密责任。即使不再作为数据使用者或参与个人数据处理，其仍然需要承担保密责任。 数据传输相关的同意 仅在与数据使用者和个人数据接收者的合法利益直接相关的前提下，且告知数据拥有者此类数据传输的目的并获得同意后，才能传输处理的个人数据。接收者与数据使用者负有相同的义务。 数据拥有者就数据传输的同意是可撤销的。当数据传输直接在政府之间进行或采取了数据分离措施，则数据使用者无需获得数据拥有者的同意。 有条件的跨境传输 除国际司法合作、流行病学调查需要、为打击犯罪进行国际合作以及阿根廷就相关传输规定有专门的国际条约等例外情况之外，PDPL禁止将任何类型的个人数据传输到没有提供足够保护水平的国家或国际组织或超国家实体。 信息登记要求 PDPL要求数据使用者或负责个人数据文件、数据库或寄存器的个人，必须向当地的监管机构建立的登记处登记相关信息，包括：负责人姓名和住址、收集个人数据的目的、收集个人数据的特质、收集和更新个人数据的方法、保证数据安全性的手段以及可能传输个人数据的目的地等。 数据留存时间限制 数据使用者在履行合同义务后，应及时删除存储的个人数据。在合理推测未来可能提供服务的情况下，个人数据可留存时间最长不超过2年。 直接促销的数据处理限制 数据使用者仅可在特定情况下向数据拥有者发送电子营销的商业信息，例如个人数据可以在公共文档中获取、数据拥有者主动提供、已获取数据使用者的同意等情况。 3.3第47号决议的安全措施要求 AAPI作为阿根廷数据保护的监管机构，在2018年发布了第47号决议。第47号决议规定数据使用者应采取必要技术和组织措施，保障个人数据的安全性和机密性，该决议从数据收集、访问控制、变更管理、备份和恢复、漏洞管理、销毁信息、安全事件及开发环境八个控制领域出发，依据国际标准提出了共30个具体安全保护目标以及相对应的建议安全控制措施。 3.4PDPL的角色划分 PDPL规定了数据拥有者和数据使用者两种角色。 数据拥有者是个人数据的所有者，享有PDPL赋予的知情权、访问权、撤回权、更正、更新和限制处理权等。 数据使用者需对收集的个人数据负责，基于PDPL的核心要求（见3.2章）收集、处理、保护、传输数据拥有者的个人数据，并应遵从如第47号决议等监管机构发布的条例、良好实践指南等官方文件。 3.5华为云在PDPL下的角色 华为云处理的个人数据主要包括客户内容数据中的个人数据和客户在创建或管理华为云帐号时提供的个人数据。 在处理客户的内容数据中的个人数据时，客户作为数据使用者，需承担PDPL中对数据使用者设定的义务。华为云仅依从客户指令对内容数据进行处理