資料隱私
核心哲學
資料隱私合規（歐盟的 GDP、加州的 CCPA/CPRA、巴西的 LGPD）並非只是貼在網站頁尾的靜態法律免責聲明。隱私是一項工程架構。現代法規強制執行嚴格的原則：隱私設計、資料極小化、正當性理由、在 30 天內自動化履行資料主體權益請求（DSAR），以及強制性的 72 小時外洩通報。違反資料隱私可能面臨法定罰款，最高可達全球年營業額的 4% 或 2000 萬美元（依 GDPR 規定）。
四步驟技術資料隱私架構
步驟 1：資料庫存與處理活動紀錄（ROPA / 第 30 條）
- 全面的資料流程圖：
- 追蹤每個個人資料元素在其生命週期（收集 -> 儲存 -> 處理 -> 共享 -> 銷毀）中的動向。
- 記錄：資料類別（PII、IP 位址、財務資料、敏感資料）、資料主體（客戶、員工）、儲存位置（AWS us-east-1）、保留期限、次處理者（Stripe、PostHog、AWS）。
- 處理的正當性依據（GDPR 第 6 條）：
- 為每個處理流程識別正當性依據：合約必要性、法律義務、正當利益（需附有文件化的正當利益評估 - LIA），或明確同意。
步驟 2：同意管理與 Cookie 治理（ePrivacy）
- 歐盟的先決同意要求：
- 追蹤、分析與行銷 Cookie 絕不能 在使用者主動、選擇加入同意之前觸發。
- 事先勾選的核取方塊與 Cookie 牆（封鎖存取直到同意為止）根據 EDPB 指導方針在法律上無效。
- 細粒度同意類別：
- 嚴格必要（永遠啟用）。
- 分析/效能（需選擇加入）。
- 廣告/行銷（需選擇加入）。
步驟 3：自動化資料主體權益請求（DSAR）管道
- 法定權利履行（30 個曆日內）：
- 存取/可攜權：以結構化、機器可讀格式（JSON/CSV）提供使用者所有儲存的個人資料。
- 刪除權（「被遺忘權」）：從主要資料庫、日誌、備份及次處理者系統中刪除使用者 PII。
- 「硬刪除」工程協定：
- 執行密碼學抹除或將關聯式資料庫記錄匿名化（
user_id -> hash）。 - 僅保留法律要求用於財務/稅務審計的記錄（例如 7 年的發票記錄），並將 PII 編輯掉。
- 執行密碼學抹除或將關聯式資料庫記錄匿名化（
步驟 4：次處理者管理與 72 小時外洩應變
- 資料處理協議（DPA）與跨境傳輸：
- 與所有第三方供應商簽署包含歐盟標準契約條款（SCC）和英國增補條款的 DPA。
- 72 小時事件應變協定：
- 若發生個人資料外洩，需在知悉外洩後的 72 小時內，根據 GDPR 第 33 條通知主要監管機關（DPA）。
- 若對個人造成高風險：無不當延遲地通知受影響的資料主體。
交付格式：資料隱私架構與 ROPA 規格（PRIVACY-SPEC.md）
# 資料隱私架構與 ROPA 登記簿：[產品名稱]
## 1. 處理活動紀錄（ROPA - GDPR 第 30 條）
| 處理活動 | 個人資料類別 | 資料主體 | 正當性依據 | 儲存位置 | 保留期限 |
|---|---|---|---|---|---|
| 使用者驗證 | Email、雜湊密碼、IP | 已註冊使用者 | 合約必要性 | Postgres (AWS 都柏林) | 帳戶生命週期 + 30 天 |
| 付款處理 | 帳單地址、信用卡末四碼 | 付費客戶 | 法律義務 / 合約 | Stripe Inc. (美國) | 7 年（稅法規定） |
| 產品分析 | 匿名化使用者 ID、點擊事件 | 網站訪客 | 同意（選擇加入） | PostHog (歐盟雲端) | 12 個月 |
## 2. 次處理者名冊與傳輸機制
- **Stripe, Inc.**：支付基礎設施 | DPA + 歐盟標準契約條款（SCC）
- **Amazon Web Services (AWS EMEA)**：雲端託管 | DPA + ISO 27001 認證
## 3. DSAR 自動刪除協定 (`DELETE /api/v1/user/dsar`)
1. 使活躍使用者工作階段和驗證令牌失效。
2. 在 `users` 表中擾亂 PII：`email = anonymized_${uuid}@deleted.local`。
3. 向 Stripe 和 PostHog 發送 Webhook 以觸發下游刪除。
4. 回傳 200 OK 並附上確認收據給資料主體。
## 4. 72 小時外洩通知升級
- 主要 DPA：愛爾蘭資料保護委員會（DPC）
- 升級團隊：法務長、資訊安全長、技術長
- 緊急通知範本：`legal/templates/breach-notification-dpa.md`
實作範例：自動化被遺忘權管道
- 挑戰：使用者援引 GDPR 第 17 條刪除請求。工程團隊面臨需在 8 個資料庫和 4 個第三方 SaaS 工具中手動刪除。
- 解決方案：在 AWS Lambda 中建立自動化的非同步 DSAR 工作者。在驗證請求後，工作者將軟刪除級聯為硬密碼學匿名化，並向 Stripe 和 Segment 發送自動刪除 Webhook。
- 成果：DSAR 處理時間從 14 天的手動工程縮短為 90 秒自動化；產生完整的合規稽核軌跡。
驗證核對清單
- 處理活動紀錄（ROPA）記錄了所有個人資料流程和正當性依據。
- Cookie 同意橫幅要求在歐盟觸發分析或廣告追蹤器前，需主動選擇加入。
- 自動化 DSAR 匯出和刪除端點正常運作，並在 30 天內完成請求。
- 已為所有第三方次處理者簽署包含 SCC 的資料處理協議（DPA）。
- 72 小時法定外洩通報程序已文件化，並已與領導階層進行測試。
反模式
- 預先勾選的 Cookie 橫幅：假設默示同意或使用違反 EDPB 裁決的欺騙性暗黑模式。
- 忽略次處理者刪除：從本地資料庫刪除使用者，卻將其原始 PII 遺留在 CRM 和分析工具中。
- 隱藏外洩事件：等待 3 個月才通知監管機關資料外洩，從而觸發最高法定罰款。