implementing-data-protection-by-default

默认实施数据保护

概述

GDPR 第 25(2) 条要求，控制者应实施适当的技术和组织措施，确保默认情况下仅处理实现每项特定处理目的所必需的个人数据。这项义务涵盖以下四个维度：

1. 收集个人数据的数量
2. 执行处理的范围
3. 存储期限
4. 个人数据的可访问性

EDPB 关于第 25 条的《4/2019 号指南》明确指出，“默认”意味着自动应用最严格的隐私设置，无需数据主体采取任何行动。数据主体不应需要采取行动来保护自己的隐私——系统会代为处理。

默认保护的四个维度

维度 1：最少数据收集（数量）

原则： 默认情况下，仅收集实现核心服务目的所严格必需的数据字段。收集额外数据必须经过明确的主动选择。

默认状态	主动选择后	示例
仅核心字段	扩展个人资料	创建账户时仅收集电子邮件和 display_name；只有用户启用计费或配送功能后，才收集电话、地址和照片
不收集位置数据	启用位置功能	移动应用默认不请求位置权限；只有用户启用依赖位置的功能时才请求
不进行行为跟踪	主动选择分析功能	网站加载时不使用分析 Cookie；只有用户在 Cookie 横幅中授予同意后才开始跟踪
最少表单字段	渐进式披露	注册表单显示 3 个必填字段；只有用户点击“添加更多信息”后才显示可选字段

Prism Data Systems AG 的实施：
Prism Data Systems AG 默认仅在客户注册时收集三个字段：email、display_name 和 country_code。需要国家/地区代码是为了遵守法规（确定适用的数据保护法律）。只有当用户启用需要这些信息的功能（计费模块、企业集成、支持升级）时，才会收集其他字段（电话号码、账单地址、公司名称、职位）。

维度 2：最少处理（范围）

原则： 默认情况下，仅为主要目的处理数据。二次处理（分析、用户画像、营销）必须经过明确的主动选择。

处理活动	默认状态	是否需要主动选择
核心服务交付	已启用（Art. 6(1)(b)）	否
产品分析	已禁用	是——在偏好中心中切换同意选项
营销通信	已禁用	是——注册时单独征求同意
用于推荐的用户画像	已禁用	是——提供说明并明确主动选择
与第三方共享数据	已禁用	是——注明第三方和目的
自动化决策	已禁用	是——根据 Art. 22 明确同意

Prism Data Systems AG 的实施：
Prism Data Systems AG 的新客户账户默认禁用所有可选处理活动。账户仪表板显示五个处理开关，均设为 OFF：

• 产品分析：OFF
• 营销电子邮件：OFF
• 功能推荐：OFF
• 用于 ML 训练的使用数据：OFF
• 匿名基准数据贡献：OFF

维度 3：最短存储期限

原则： 默认采用有理可据的最短保留期限。只有在有具体法律义务作为依据时，才可延长保留期限。

数据类别	默认保留期限	延长保留期限（有正当理由）
会话数据	会话结束时删除	不适用
服务端日志	90 天	12 个月（安全调查）
客户账户数据	账户存续期间 + 30 天	+ 法定期限（税务：账单记录保留 10 年）
支持工单	关闭后 1 年	3 年（诉讼时效）
营销同意记录	同意有效期 + 3 年	+ 5 年（问责要求，第 7(1) 条）
分析数据	13 个月	不适用（最长上限）

Prism Data Systems AG 的实施： Prism Data Systems AG 的保留策略引擎默认对每个数据类别采用最短保留期限。只有对于有书面记录证明存在法定要求的数据类别，才会延长保留期限（税务记录：依据瑞士《债务法》第 958f 条保留 10 年）。所有其他数据均按基于目的的最短期限保留。

维度 4：最低访问权限

原则： 默认仅允许必要的最少角色访问个人数据。扩大访问范围需要明确授权。

角色	默认访问权限	提升后的访问权限（需要正当理由）
客户支持（一级）	仅限脱敏 PII（m***@domain.ch）	未脱敏 PII（超时 30 分钟，须提供工单编号）
分析团队	仅限假名化数据	不得访问直接标识符
工程团队	无权访问生产环境中的 PII	紧急访问（双人批准、记录日志、限时）
营销团队	仅限汇总统计数据	不得访问个人级别的数据
DPO	可为合规调查完整访问	持续访问并保留审计轨迹
外部审计员	匿名化样本	访问范围受目的限制，并须签署 NDA

Prism Data Systems AG 的实施： Prism Data Systems AG 的所有新员工账户默认均无权访问个人数据。访问权限按具体目的通过访问申请工作流授予，并须经经理批准且通知 DPO。访问授权在 90 天后失效，必须续期。一级支持仪表板默认动态显示脱敏数据。

技术实施清单

用户界面默认设置

• 所有同意开关默认关闭（未勾选）
• 可从主导航访问隐私设置页面
• 不预选任何可选数据收集项
• 无暗黑模式（不使用误导性按钮标签，也不在视觉上突出显示“全部接受”）
• Cookie 横幅默认选择“全部拒绝”，且其视觉显著性与“全部接受”相同
• 注册表单默认仅显示必填字段
• 通知偏好默认设为最低限度（仅事务性通知）
• 个人资料可见性默认设为私密（非公开）
• 每个第三方的数据共享开关默认关闭
• 个人资料的搜索引擎索引默认关闭

后端默认设置

• API 端点拒绝不在允许列表中的字段（遇到意外字段时返回 400）
• 新数据库表默认包含 TTL 元数据列
• 除非明确配置了更长的期限，否则自动应用默认保留期限
• 默认在分析数据摄取边界应用假名化
• 默认对所有 PII 列启用字段级加密
• 对所有支持和运维仪表板应用动态脱敏规则
• 默认对所有个人数据访问启用审计日志记录
• 对所有分析输出强制执行最小群组规模（11）
• 默认阻止跨目的数据访问（需要进行兼容性评估）
• 如果未完成数据最小化评估，则新服务部署无法通过隐私门禁

默认访问控制

• 新员工账户开通时，默认无权访问任何个人数据
• 默认授权在 90 天后到期
• 提升访问权限必须提供书面理由并获得批准
• 紧急访问须记录日志，并在 24 小时内接受审查
• 执行 DPA 前，默认禁用第三方访问
• API 密钥的权限范围仅限于所需的最低数据类别

默认通信设置

• 所有新账户默认禁用营销通信
• 仅发送事务性电子邮件（账户确认、安全提醒）
• 默认仅发送安全提醒推送通知
• 订阅新闻简报须单独选择加入
• 默认禁用合作伙伴通信

默认设置验证流程

1. 新账户审计 — 通过标准注册流程创建测试账户。确认未启用任何可选处理、未安排任何营销通信，且仅收集最少的数据字段。

2. 检查控制面板 — 以 Tier 1 支持人员的身份登录。确认默认情况下所有 PII 均已屏蔽，且取消屏蔽需要明确操作并说明理由。

3. API 测试 — 发送包含允许列表以外其他字段的 API 请求。确认额外字段会被拒绝（HTTP 400）。

4. 保留期限验证 — 检查新建记录是否已根据最短保留期限设置 TTL 元数据。

5. 分析输出 — 运行标准分析查询。确认结果已进行假名化处理、已强制执行最小群组规模，并已应用差分隐私噪声。

主要法规参考

• GDPR 第 25(2) 条 — 默认数据保护
• GDPR 第 25(1) 条 — 设计阶段的数据保护
• GDPR 序言第 78 条 — 默认数据保护的技术措施
• EDPB 关于第 25 条的《指南 4/2019》，第 3 节：默认数据保护
• CJEU C-673/17（Planet49）— 预先勾选的复选框不构成同意
• EDPB《同意指南 05/2020》— 同意必须由本人自由给予，不能设为默认