数据隐私 是做什么的？
核心理念
数据隐私合规（欧洲的 GDPR、加州的 CCPA/CPRA、巴西的 LGPD）并非是将一份静态的法律免责声明复制粘贴到网站页脚。隐私是一项工程架构。现代法规强制执行严格的原则：设计即隐私、数据最小化、合法性基础判定、30 天内自动完成数据主体访问请求（DSAR），以及强制性的 72 小时内违规泄露报告。违反数据隐私法规可能面临高达全球年营业额 4% 或 2000 万欧元（GDPR）的法定罚款。
四步技术数据隐私架构
步骤 1：数据清单与处理活动记录（ROPA / GDPR 第 30 条）
- 全面数据流图：
- 追踪每个个人数据元素在其生命周期（收集 -> 存储 -> 处理 -> 共享 -> 销毁）中的流转。
- 记录：数据类别（PII、IP 地址、财务数据、敏感数据）、数据主体（客户、员工）、存储位置（AWS us-east-1）、保存期限、子处理方（Stripe、PostHog、AWS）。
- 处理合法性基础（GDPR 第 6 条）：
- 为每项处理流程确定合法性基础：合同必要性、法律义务、合法利益（附有书面记录的合法利益评估 - LIA），或明确同意。
步骤 2：同意管理与 Cookie 治理（ePrivacy 指令）
- 欧盟的事先同意要求：
- 追踪、分析和营销 Cookie 绝不能 在用户做出明确的选择性同意之前被触发。
- 根据 EDPB 指南，预先勾选的复选框和 Cookie 墙（除非用户同意否则阻止访问）在法律上无效。
- 细粒度的同意类别：
- 绝对必要的（始终激活）。
- 分析/性能（需要选择加入）。
- 广告/营销（需要选择加入）。
步骤 3：自动化数据主体访问请求（DSAR）管道
- 法定权利履行（30 日历日内）：
- 访问权/可携带权：以结构化、机器可读的格式（JSON/CSV）向用户提供其所有存储的个人数据。
- 擦除权（“被遗忘权”）：删除主数据库、日志、备份以及子处理方系统中的用户 PII。
- “硬删除”工程协议：
- 对关系型数据库记录执行加密擦除或匿名化处理（
user_id -> hash）。 - 严格保留法律要求的财务/税务审计所需记录（例如，7 年的发票记录），同时将 PII 进行脱敏处理。
- 对关系型数据库记录执行加密擦除或匿名化处理（
步骤 4：子处理方管理与 72 小时违规响应
- 数据处理协议（DPA）与跨境数据传输：
- 与所有包含欧盟标准合同条款（SCC）和英国附录的第三方供应商签订并执行 DPA。
- 72 小时事件响应协议：
- 如果发生个人数据泄露，根据 GDPR 第 33 条，必须在意识到泄露后的 72 小时内 通知主导监管机构（DPA）。
- 如果对个人构成高风险：在无不当延迟的情况下通知受影响的数据主体。
交付物格式：数据隐私架构与 ROPA 规格 (PRIVACY-SPEC.md)
# 数据隐私架构与 ROPA 登记册：[产品名称]
## 1. 处理活动记录（ROPA - GDPR 第 30 条）
| 处理活动 | 个人数据类别 | 数据主体 | 合法性基础 | 存储位置 | 保存期限 |
|---|---|---|---|---|---|
| 用户认证 | 邮箱、哈希密码、IP | 注册用户 | 合同必要性 | Postgres（AWS 都柏林） | 账户有效期内 + 30 天 |
| 支付处理 | 账单地址、银行卡后四位 | 付费客户 | 法律义务 / 合同 | Stripe Inc.（美国） | 7 年（税法要求） |
| 产品分析 | 匿名化用户 ID、点击事件 | 网站访客 | 同意（选择加入） | PostHog（欧盟云） | 12 个月 |
## 2. 子处理方名册与传输机制
- **Stripe, Inc.**：支付基础设施 | DPA + EU 标准合同条款（SCC）
- **Amazon Web Services (AWS EMEA)**：云托管 | DPA + ISO 27001 认证
## 3. DSAR 自动化擦除协议 (`DELETE /api/v1/user/dsar`)
1. 使活跃用户会话和认证令牌失效。
2. 对 `users` 表中的 PII 进行混淆：`email = anonymized_${uuid}@deleted.local`。
3. 向 Stripe 和 PostHog 发出 webhook，以触发下游删除操作。
4. 返回 200 OK 并向数据主体发送确认回执。
## 4. 72 小时违规通知升级流程
- 主导 DPA：爱尔兰数据保护委员会（DPC）
- 升级团队：总法律顾问、CISO、CTO
- 紧急通知模板：`legal/templates/breach-notification-dpa.md`
工作示例：自动化被遗忘权管道
- 挑战：用户调用了 GDPR 第 17 条擦除请求。工程团队需跨 8 个数据库和 4 个第三方 SaaS 工具手动执行删除。
- 解决方案：在 AWS Lambda 中构建了一个自动化的异步 DSAR 工作器。在验证请求后，工作器将软删除级联为硬加密匿名化处理，并向 Stripe 和 Segment 发送自动擦除 webhook。
- 成果：DSAR 处理时间从 14 天的手动工程工作缩短至 90 秒自动化完成；生成了完整的合规审计跟踪记录。
验证核查清单
- 处理活动记录（ROPA）记录了所有个人数据流及合法性基础。
- Cookie 同意横幅要求在欧盟地区触发分析或广告追踪器之前，用户明确选择加入。
- 自动化的 DSAR 导出和擦除端点能够正常运行，并在 30 天内完成请求。
- 已为所有第三方子处理方签署了包含 SCC 的数据处理协议（DPA）。
- 72 小时法定泄露报告程序已记录在案，并已与管理层进行过测试。
反模式
- 预勾选 Cookie 横幅：假定默认同意或使用违反 EDPB 裁决的欺骗性暗黑模式。
- 忽略子处理方数据删除：仅从本地数据库中删除用户，却在其 CRM 和分析工具中保留用户原始 PII。
- 隐瞒泄露事件：将数据泄露情况隐瞒 3 个月后才通知监管机构，从而触发最高法定罚款。