data-lineage-tracking

数据血缘追踪

目的

绘制并记录个人数据在组织系统中的完整生命周期，从最初的收集点开始，涵盖所有转换、传输和存储位置，直至最终删除或匿名化。

前提条件

• 用于识别处理个人数据的系统的数据清单或资产登记册
• 展示系统互连关系的网络架构文档
• 访问系统元数据、ETL 配置和 API 文档
• GDPR 第 30 条规定的处理活动记录（RoPA）

工作流

步骤 1：界定血缘追踪范围

确定血缘映射工作的范围边界：

1. 数据类别：确定要追踪的个人数据类别（身份数据、联系方式、财务数据、行为数据、第 9 条规定的特殊类别数据）
2. 系统边界：确定纳入范围的系统（生产数据库、数据仓库、分析平台、第三方 SaaS、备份系统）
3. 时间范围：确定仅映射当前状态下的数据血缘，还是也纳入历史数据流
4. 法律依据映射：将血缘追踪中的每项处理活动关联到其 GDPR 第 6 条规定的合法依据

步骤 2：识别数据来源（收集点）

记录个人数据进入组织的每个入口：

1. 直接收集：Web 表单、移动应用、销售终端、客户服务交互，以及通过扫描数字化的纸质表单
2. 间接收集：第三方数据提供商、公开来源、数据经纪商、合作组织
3. 衍生数据：通过处理生成的数据（风险评分、客户细分、行为画像）
4. 推断数据：根据其他数据点推断得出的数据（信用度、健康预测、偏好）

对于每个来源，请记录：

• 来源标识符和类型
• 收集的数据类别（参照第 30(1)(c) 条所列类别）
• 第 6(1) 条规定的法律依据，以及（如适用）第 9(2) 条规定的法律依据
• 根据第 13 条或第 14 条向数据主体提供的信息
• 收集量和收集频率

步骤 3：映射数据转换

记录对个人数据应用的每项转换：

1. ETL 流程：在系统之间移动数据的提取-转换-加载管道
2. 聚合：将个人记录分组并汇总为统计数据
3. 假名化：根据第 4(5) 条和序言第 26 段，用令牌替换标识符
4. 匿名化：根据 WP29 第 05/2014 号意见进行不可逆去标识化
5. 数据丰富：组合来自多个来源的数据，以创建更丰富的画像
6. 格式转换：更改数据格式（CSV 转为 JSON、数据库迁移）

对于每项转换，请记录：

• 输入数据类别和来源系统
• 转换逻辑说明
• 输出数据类别和目标系统
• 转换是否改变数据主体的可识别性
• 根据第 5(1)(e) 条规定的存储限制，数据在目标位置的保留期限

步骤 4：记录数据流和传输

映射个人数据在系统和各方之间的所有流转：

1. 内部流转：组织内各部门、系统和数据库之间的流转
2. 处理者传输：根据第 28 条协议传输给数据处理者
3. 第三国传输：需要采取第 44-49 条规定的保障措施的跨境传输
4. 向第三方披露：披露给独立控制者（监管机构、合作方、执法机构）

对于每项流转，请记录：

• 来源和目标系统／实体
• 传输机制（API、文件传输、数据库复制、手动导出）
• 国际传输的法律保障措施（SCC、BCR、充分性决定）
• 传输中和静态数据的加密情况
• 频率和数据量

步骤 5：映射数据存储和保留期限

记录个人数据在各个阶段的存放位置：

1. 主要存储：生产数据库、CRM 系统、HRIS
2. 次要存储：数据仓库、分析数据库、报告系统
3. 归档存储：长期档案、冷存储、合规档案
4. 备份存储：灾难恢复系统、备份磁带、云备份
5. 临时存储：缓存、消息队列、日志文件、会话存储

对于每个存储位置，记录：

• 存储技术和位置（本地部署、云区域）
• 保留期限和保留的法律依据
• 访问控制和加密
• 保留期限届满后的删除或匿名化机制

步骤 6：实施自动化血缘发现

部署工具以实现血缘追踪自动化：

1. 数据库级血缘：查询日志分析、通过解析 SQL 获取列级血缘
2. 应用级血缘：API 调用追踪、服务网格可观测性
3. 管道级血缘：ETL 工具元数据（Apache Airflow 血缘后端、dbt 文档）
4. 基础设施级血缘：网络流量日志、数据湖审计跟踪

使用 scripts/process.py 帮助程序解析系统元数据并生成血缘图。

步骤 7：与 RoPA 和合规工作集成

将血缘数据关联到 GDPR 合规文档：

1. 第 30 条 RoPA：每条血缘路径都应映射到 RoPA 中的一项处理活动
2. DPIA 触发条件：标记涉及第 35(3) 条处理的血缘路径（大规模画像、系统性监控、特殊类别数据）
3. 数据主体权利：利用血缘定位 DSAR 回复所需的所有数据（第 15 条访问权、第 17 条删除权、第 20 条可携权）
4. 泄露影响范围界定：依据第 33(3) 条，在事件响应期间利用血缘确定受影响的数据主体和数据类别

步骤 8：维护和验证

建立持续的血缘维护机制：

1. 变更管理：引入新系统、数据流或处理活动时更新血缘
2. 定期验证：每季度审核一次，依据实际系统行为核实血缘准确性
3. 利益相关者审核：由数据所有者、系统架构师和 DPO 每年签字确认
4. 完整性检查：将血缘与数据清单和 RoPA 交叉核对，以发现缺漏

验证

• 所有个人数据类别都有记录在案的源到目标血缘路径
• 每个血缘节点均包含法律依据、保留期限和访问控制信息
• 转换步骤记录了对可识别性的影响
• 已识别跨境传输，并记录第 44-49 条保障措施
• 血缘与第 30 条 RoPA 条目集成
• 自动化发现至少覆盖数据库层和管道层
• 已制定季度验证计划，并指定负责人员