applying-privacy-design-patterns

应用隐私设计模式

概述

隐私设计模式为在系统设计中实施数据保护原则提供可复用的架构解决方案。Jaap-Henk Hoepman 的框架（2014 年，后扩展为《隐私设计策略：GDPR 合规的八项策略》）定义了八项隐私设计策略，分为两类：以数据为导向的策略（最小化、隐藏、分离、抽象）侧重于个人数据本身的处理；以流程为导向的策略（告知、控制、执行、证明）侧重于围绕数据处理的组织流程。

这些模式直接落实了 GDPR 第 25(1) 条关于设计时数据保护的要求，并对应第 5 条中的具体 GDPR 原则。

八种隐私设计模式

以数据为导向的策略

1. 最小化（MINIMIZE）

原则： 尽可能限制对个人数据的处理。

GDPR 对应条款： 第 5(1)(c) 条数据最小化原则、第 25(2) 条默认保护要求。

子模式：

子模式	描述	实施方式
收集前选择	在设计数据收集界面之前，确定哪些数据是必要的	API 允许列表、表单字段审查
排除	从收集中移除不必要的数据元素	通过架构验证拒绝非必填字段
剥离	收集后尽快移除身份识别信息	在数据接收边界进行假名化
销毁	在目的达成后尽快删除数据	基于 TTL 的自动删除

Prism Data Systems AG 的实施： Prism Data Systems AG 的客户注册 API 会根据严格的允许列表验证传入请求。/api/v2/register 端点仅接受 email、display_name 和 country_code。仅在年龄验证期间收集 date_of_birth 字段，并在 24 小时内将其转换为布尔值 is_age_verified，随后销毁原始日期。

2. 隐藏（HIDE）

原则： 保护个人数据，或使其无法关联或观测。

GDPR 对应条款： 第 5(1)(f) 条完整性和保密性原则、第 32(1)(a) 条加密和假名化要求。

子模式：

子模式	描述	实施方式
加密	对静态和传输中的数据应用加密保护	AES-256-GCM 字段级加密、TLS 1.3
哈希	将标识符替换为不可逆摘要	使用 SHA-256 对日志进行匿名化
混合	合并多个主体的数据，防止识别出个体	k-匿名性、差分隐私噪声
混淆	添加噪声或扰动，防止精确推断	差分隐私、数据掩码
解除关联	断开数据与身份之间的关联	将假名化与密钥分离存储

Prism Data Systems AG 的实施： 所有个人身份信息字段均使用逐字段 AES-256-GCM 数据加密密钥（DEK）加密，并由 AWS KMS 管理。进入分析流水线的客户标识符通过 HMAC-SHA256 进行假名化，密钥存储在物理上与分析基础设施分离的硬件安全模块中。

3. 分离

原则： 以分布式方式处理个人数据，防止关联。

GDPR 对应条款： 第 5(1)(b) 条目的限制、第 25(1) 条设计保护。

子模式：

子模式	描述	实现方式
隔离	在不同系统中处理不同类别的数据	按目的划分数据库、微服务隔离
分布	将数据分散到多个位置，防止单点访问	联邦学习、SMPC、分片

Prism Data Systems AG 的实现： Prism Data Systems AG 维护按目的划分的 PostgreSQL 数据库：身份验证数据库仅存储与凭证相关的数据，账单数据库仅存储财务数据，分析数据仓库仅存储假名化的事件数据。没有任何单个数据库包含任何客户的完整档案。根据第 6(4) 条，跨目的联接需要进行明确的兼容性评估。

4. 抽象

原则： 尽可能限制个人数据的详细程度。

GDPR 对应条款： 第 5(1)(c) 条数据最小化、序言第 26 条匿名化。

子模式：

子模式	描述	实现方式
汇总	用汇总摘要替代详细数据	聚合报告，最小组规模为 11
分组	将值泛化为更宽泛的类别	使用年龄范围而非确切年龄，使用地区而非邮政编码
扰动	为确切值添加随机性	差分隐私、随机取整

Prism Data Systems AG 的实现： 客户年龄以 5 年为间隔的年龄段存储（例如，“25-29”），而非确切出生日期。地理数据从完整邮政编码泛化为州级别。分析仪表板强制要求每个单元格至少包含 11 条记录，较小的组会被隐藏，并显示为“< 11”。

面向流程的策略

5. 告知

原则： 告知数据主体其个人数据的处理情况。

GDPR 对应条款： 第 12-14 条透明度义务。

子模式：

子模式	描述	实现方式
提供	主动提供隐私信息	分层隐私声明、即时通知
通知	向数据主体提示处理事件	新数据访问的电子邮件通知、数据泄露通知
解释	对处理逻辑提供有意义的解释	可解释的 AI 输出、处理目的说明

Prism Data Systems AG 的实现： 每个数据收集点都会显示分层隐私声明。第一层是通俗易懂的摘要（Flesch-Kincaid 等级为 8）。第二层提供完整的第 13 条信息。当新功能需要额外数据时，会显示即时通知：“要启用批量导出，Prism Data Systems AG 需要处理您的 API 使用历史记录。”

6. CONTROL

原则： 让数据主体能够控制其个人数据的处理。

GDPR 对应条款： 第 15—22 条数据主体权利，第 7(3) 条撤回同意。

子模式：

子模式	描述	实施方式
同意	获取并管理每种处理目的的同意	细粒度同意界面，默认不勾选
选择	允许数据主体选择处理选项	隐私偏好中心
更新	允许数据主体更正其数据	自助式个人资料编辑
撤回	允许数据主体撤回同意或请求删除	一键撤回同意、删除请求工作流

Prism Data Systems AG 的实施： account.prism-data.ch/privacy 上的隐私偏好中心为数据主体提供细粒度控制：按目的设置同意开关、下载数据（可携带性）、更正界面，以及一键提交删除请求。撤回同意将在 24 小时内生效，并触发下游处理停止。

7. ENFORCE

原则： 承诺以尊重隐私的方式处理个人数据，并确保落实这一承诺。

GDPR 对应条款： 第 24 条控制者责任、第 25(1) 条设计阶段保护、第 28 条处理者合同。

子模式：

子模式	描述	实施方式
制定	定义并发布隐私政策与标准	GDPR 政策框架、数据分类标准
维护	定期更新并执行隐私政策	每季度审查政策、自动化合规检查
遵守	以技术手段执行隐私规则	基于目的的访问控制（OPA）、自动化保留

Prism Data Systems AG 的实施： 通过 Open Policy Agent (OPA) 规则以技术手段执行隐私政策；这些规则会根据目的登记表评估每个数据访问请求。CI/CD 流水线包含隐私门禁，会阻止未通过数据最小化评估的服务部署。处理者合同包含标准合同条款，并每半年审查一次。

8. DEMONSTRATE

原则： 证明符合隐私政策和适用法规。

GDPR 对应条款： 第 5(2) 条问责制、第 30 条处理活动记录、第 35 条 DPIA。

子模式：

子模式	描述	实施方式
记录	全面记录处理活动	第 30 条登记册、同意日志、DPIA 存储库
审计	定期开展隐私审计	每季度内部审计、每年外部审计
报告	为监管机构和管理层生成合规报告	DPO 季度报告、董事会隐私报告

Prism Data Systems AG 的实施： 所有数据访问事件都记录在不可变审计轨迹中，记录内容包括：时间戳、请求者身份、目的声明、访问的数据类别以及授权决定。第 30 条登记册作为持续更新的文档维护，任何处理变更发生后 5 个工作日内更新。所有高风险处理活动均开展 DPIA，并每年审查。

模式选择方法

步骤 1：将处理活动映射到 GDPR 原则

针对每项处理活动，确定最相关的 GDPR 原则：

GDPR 原则	主要模式	支持模式
数据最小化（第 5(1)(c) 条）	MINIMIZE	ABSTRACT、HIDE
目的限制（第 5(1)(b) 条）	SEPARATE	ENFORCE
存储期限限制（第 5(1)(e) 条）	MINIMIZE（销毁）	ENFORCE
完整性与保密性（第 5(1)(f) 条）	HIDE	ENFORCE
透明度（第 5(1)(a) 条）	INFORM	DEMONSTRATE
合法性（第 5(1)(a) 条）	CONTROL	ENFORCE
准确性（第 5(1)(d) 条）	CONTROL（更新）	INFORM
问责制（第 5(2) 条）	DEMONSTRATE	ENFORCE

第 2 步：评估模式的适用性

针对具体的处理活动，为每种模式的适用性评分（1-5）。

第 3 步：选择并组合

选择得分最高的模式。大多数处理活动都需要组合 3-5 种模式，并将其应用于不同的架构层。

关键法规参考

• GDPR 第 5 条——个人数据处理原则
• GDPR 第 25(1) 条——通过设计实现数据保护
• GDPR 第 25(2) 条——默认实现数据保护
• EDPB 关于第 25 条「通过设计和默认实现数据保护」的《指南 4/2019》
• Hoepman, J.-H.（2014）。《隐私设计策略》。IFIP SEC。扩展版《隐私设计策略：符合 GDPR 的八项策略》（2022）。