apec-cbpr-cert

APEC 跨境隐私规则认证

概述

APEC 跨境隐私规则（CBPR）体系是一项由政府支持的数据隐私认证，既确保个人信息得到有效保护，又促进个人信息在 APEC 经济体之间自由流动。CBPR 体系于 2011 年建立，通过一套可认证的项目要求落实 APEC 隐私框架的九项原则（2015 年更新）。组织需根据这些要求进行自我评估，并提交给 APEC 认可的问责代理机构审核和认证。

截至 2024 年，CBPR 体系已发展为全球跨境隐私规则（Global CBPR）论坛，其范围也超出了 APEC 成员经济体。Global CBPR 论坛于 2022 年 4 月由加拿大、日本、大韩民国、菲律宾、新加坡、中国台湾地区和美国成立，随后又有其他经济体加入。根据 APEC CBPR 体系获得认证的组织正逐步转为 Global CBPR 认证。

Sentinel Compliance Group 通过 TRUSTe（TrustArc）获得 CBPR 认证。TRUSTe 是美国认可的问责代理机构，该认证覆盖其在 APEC 经济体范围内的客户数据处理业务。

APEC 隐私框架原则

CBPR 体系以 APEC 隐私框架（2015 年修订版）的九项原则为基础：

原则 1：防止损害

组织制定政策和程序，防止个人信息被滥用，并降低个人遭受损害的风险。损害包括因收集、使用或披露个人信息而造成的身体、经济、声誉、心理及其他形式的损害。

CBPR 要求：

• 根据所处理个人信息的敏感程度和数量，开展相称的隐私风险评估
• 实施技术和组织保障措施，防止未经授权访问、使用或披露信息
• 建立数据泄露事件响应程序
• 建立隐私投诉解决机制

原则 2：告知

组织以清晰、醒目且易于获取的方式告知其隐私实践。

CBPR 要求：

• 发布隐私政策，说明：收集的个人信息类别、收集和使用目的、接收方类别、数据主体权利、投诉机制及政策生效日期
• 在收集前或收集时提供告知
• 在隐私实践发生重大变更并生效前，通知个人
• 以易于理解的格式提供隐私政策

原则 3：限制收集

个人信息的收集仅限于与收集目的相关的信息，并应以合法、公平的方式，在个人知情或同意的情况下进行。

CBPR 要求：

• 将收集范围限制在与已明确目的相关的个人信息内
• 通过合法方式获取个人信息
• 收集敏感个人信息（健康、财务、儿童数据）时征得同意
• 记录所收集的个人信息类别及各类别对应的目的

原则 4：个人信息的使用

个人信息仅用于实现收集目的及其他兼容目的。

CBPR 要求：

• 仅将个人信息用于隐私告知中列明的目的或兼容目的
• 将个人信息用于实质不同的目的前征得同意
• 记录个人信息的使用情况，并确保其与已披露的目的一致
• 在数据系统中实施目的限制控制措施

原则 5：选择权

个人可以选择是否收集、使用和披露其个人信息。

CBPR 要求：

• 为营销通信和非必要处理提供退出机制
• 为收集和使用敏感个人信息提供选择加入机制
• 确保退出机制清晰醒目且易于使用
• 及时尊重个人的选择偏好

原则 6：个人信息的完整性

个人信息应准确、完整，并在使用目的所需的范围内保持最新。

CBPR 要求：

• 在收集时实施数据质量流程
• 提供机制，供个人请求更正不准确的信息
• 及时处理更正请求
• 保留更正的审计记录

原则 7：安全保障措施

通过合理的安全保障措施保护个人信息，防止未经授权的访问、使用、修改、披露或销毁。

CBPR 要求：

• 实施与数据敏感程度相称的技术保障措施（加密、访问控制、日志记录）
• 实施组织保障措施（安全政策、员工培训、背景调查）
• 实施物理保障措施（访问受控的设施、安全处置）
• 定期开展安全评估
• 制定并维护事件响应和数据泄露通知流程

原则 8：访问和更正

个人有权访问并更正其个人信息。

CBPR 要求：

• 提供机制，供个人访问其个人信息
• 验证提出访问请求的个人身份
• 在合理期限内回应访问请求
• 提供机制，供个人请求更正信息
• 说明拒绝访问或更正请求的原因

原则 9：问责

组织有责任遵守落实上述原则的措施。

CBPR 要求：

• 指定隐私联系人或部门
• 为处理个人信息的员工实施隐私培训
• 制定并实施隐私政策和流程
• 定期开展隐私评估
• 确保处理方和第三方提供同等保护
• 配合监管机构和问责机构

自我评估流程

步骤 1：确定资格

确定是否符合 CBPR 认证资格：

• 组织必须位于参与 CBPR 的经济体内，或受其管辖
• 组织必须处理 APEC 经济体内个人的个人信息
• 组织必须愿意接受问责机构的管辖
• 组织必须愿意配合跨境执法行动

参与经济体（截至 2024 年的 APEC CBPR）： 美国、墨西哥、日本、加拿大、大韩民国、新加坡、中国台北、菲律宾、澳大利亚

全球 CBPR 论坛成员（持续扩展）： 美国、加拿大、日本、大韩民国、菲律宾、新加坡、中国台北、百慕大、泽西岛、英国（观察员）

第 2 步：问责代理选择

为相关经济体选择 APEC 认可的问责代理：

经济体	问责代理	网站
美国	TRUSTe (TrustArc)	truste.com
美国	BBB National Programs	bbbprograms.org
日本	JIPDEC (Japan Institute for Promotion of Digital Economy and Community)	jipdec.or.jp
韩国	Korea Internet & Security Agency (KISA)	kisa.or.kr
新加坡	Infocomm Media Development Authority (IMDA)	imda.gov.sg
菲律宾	National Privacy Commission (NPC)	privacy.gov.ph
中国台湾	Institute for Information Industry (III)	iii.org.tw
墨西哥	Autoridad Nacional de Protección de Datos (INAI)	inai.org.mx

第 3 步：完成受理问卷

问责代理会根据 APEC CBPR 计划要求提供受理问卷。该问卷对应《隐私框架》的九项原则，并要求组织：

A 部分：组织信息

• 法律实体名称、地址和司法管辖区
• 隐私官的联系信息
• 涉及个人信息的业务活动说明
• 收集、处理和传输个人信息的经济体
• 个人信息处理涉及的个人数量
• 处理的个人信息类别
• 处理的敏感个人信息类别

B 部分：隐私实践自我评估

对于 50 项 CBPR 计划要求中的每一项，组织都必须：

1. 描述当前实践
2. 指出落实该要求的政策、程序或技术控制
3. 提供实施证据
4. 指出任何差距及计划采取的补救措施

自我评估关键问题（代表性示例）：

要求 ID	原则	要求	证据类型
CBPR-1	防止伤害	组织是否开展隐私风险评估？	风险评估方法、已完成的评估
CBPR-5	告知	组织是否以清晰醒目的方式告知其隐私实践？	隐私政策、收集时的告知内容
CBPR-12	收集限制	组织是否将收集范围限制在与已确定目的相关的个人信息？	数据清单、目的与数据的映射
CBPR-18	使用	组织是否将使用限制在告知中所述的目的范围内？	目的限制控制、审计结果
CBPR-23	选择	组织是否为营销提供退出机制？	退出机制截图、偏好记录
CBPR-30	完整性	组织是否维护数据准确性？	数据质量流程、更正机制
CBPR-35	安全	组织是否根据数据敏感程度实施相应的安全保障措施？	安全评估结果、加密证据
CBPR-42	访问	组织是否在收到请求后提供对个人信息的访问？	访问请求流程、响应记录
CBPR-48	问责	组织是否指定了隐私联系人？	隐私联系人信息、组织架构图

第 4 步：问责代理审查

问责代理会审查自我评估：

1. 完整性检查：确认所有问题均已作答且细节充分
2. 证据审查：根据各项要求评估所提交的证据
3. 差距识别：识别未完全满足的要求，并告知申请方
4. 补救期限：给予申请方一定时间（通常为 60-90 天）来弥补已识别的差距
5. 后续审查：重新评估已采取补救措施的领域

步骤 5：认证决定

问责代理机构作出认证决定：

决定	标准	后续步骤
已认证	实质满足全部 50 项计划要求	签发认证，将其列入 CBPR 名录
有条件认证	存在少量差距，且已承诺制定补救计划	附带条件签发认证，并在 90 天内跟进
未获认证	多项原则存在重大差距	提供详细反馈，申请方可在完成补救后重新申请

步骤 6：认证维护

获得认证后：

• 在组织的网站和隐私声明上展示 APEC CBPR 认证标志
• 接受年度重新认证审核
• 在隐私实践发生重大变化后 30 天内向问责代理机构报告
• 配合问责代理机构调查并解决隐私投诉
• 在需要时参与跨境执法合作

年度重新认证

重新认证流程

1. 更新年度自我评估：更新接收问卷，以反映隐私实践、处理活动或组织结构的任何变化
2. 更新证据：为发生变化的控制措施提供最新证据
3. 合规声明：高级管理层声明持续符合 CBPR 计划要求
4. 问责代理机构审核：问责代理机构审核更新后的自我评估（通常比初次认证的审核更简略）
5. 重新认证决定：续期认证或指出需要补救的事项

重新认证触发情形（年度周期之外）

出现以下情况时，组织必须通知问责代理机构，并可能接受临时审核：

• 隐私实践或隐私政策发生重大变化
• 影响 APEC 经济体个人的重大数据泄露事件
• 与隐私相关的监管执法行动
• 重大组织重组（合并、收购、资产剥离）
• 扩展至原认证未涵盖的 APEC 经济体

全球 CBPR 论坛过渡

从 APEC CBPR 过渡到全球 CBPR

根据 APEC CBPR 体系获得认证的组织正在过渡至全球 CBPR 框架：

方面	APEC CBPR	全球 CBPR
治理	APEC 电子商务指导小组	全球 CBPR 论坛（独立机构）
成员资格	9 个 APEC 经济体	向非 APEC 经济体开放
标准	APEC 隐私框架（2015）	全球 CBPR 框架（基于 APEC 框架并经过更新）
认证标志	APEC 隐私 CBPR 标志	全球 CBPR 标志
PRP 组成部分	处理者隐私认证（PRP）	纳入全球 CBPR

过渡步骤

1. 对照当前 APEC CBPR 认证，审核全球 CBPR 计划要求
2. 找出全球 CBPR 框架中的新增或修订要求
3. 通过问责代理机构完成全球 CBPR 自我评估
4. 获得全球 CBPR 认证
5. 更新隐私声明和营销材料中的认证标志及相关说明

投诉解决与执法

投诉流程

1. 个人向已认证组织的隐私联系人提交投诉
2. 如果 30 天内未解决，个人可将投诉升级至问责代理机构
3. 问责代理机构进行调查，并在个人与组织之间进行调解
4. 如果组织未能完成补救，问责代理机构可以：
   • 要求采取纠正措施
   • 暂停或撤销认证
   • 移交相关隐私执法机构

跨境执法合作

CBPR 体系利用 APEC 跨境隐私执法安排（CPEA）开展跨境执法合作。当隐私投诉涉及跨境数据流动时：

1. 组织所在经济体的问责代理人与投诉人所在经济体的执法机构进行协调
2. 各执法机构依据 CPEA 共享信息并协调调查
3. 执法行动可在组织所在经济体、投诉人所在经济体或两者同时采取

Sentinel Compliance Group CBPR 认证

• 认证日期：2023 年 3 月（首次认证）；2024 年 3 月（年度重新认证）
• 问责代理人：TRUSTe（TrustArc）
• 范围：为 SaaS 平台运营处理客户数据，覆盖美国、日本、新加坡、澳大利亚和韩国
• 个人信息类别：客户联系信息、使用数据、账单信息、支持互动记录
• 覆盖个人：认证经济体中约有 210 万名数据主体
• 收到的投诉（2024 年）：通过 CBPR 机制提交了 12 起投诉；11 起在 30 天内解决；1 起升级至问责代理人，并在 60 天内解决
• 全球 CBPR 过渡：已于 2024 年 12 月提交申请；预计于 2025 年第一季度获得认证