隐私影响评估指南

来源：    发布日期：2019.06.10   点击量：

    这一期，我们来介绍下ISO / IEC标准29134——隐私影响评估指南
    小提示：此项评估指南标准基于ISO29151隐私保护体系中提到的PIA（隐私影响评估），进行了更为详细的展开描述，企业即使不进行认证，也可以参考此项标准开展自评估或委托外部专业机构开展评估。

    

    简述PIA：
    隐私影响评估（PIA）是一种评估流程，是评估信息系统，程序，软件模块，设备或其他处理个人身份信息（PII）的活动对隐私的潜在影响的工具，并与利益相关方协商，为治理隐私风险采取必要的行动。PIA报告可能涵盖涉及风险治理措施的标准文件内容，包括因使用ISO/IEC 27001标准中ISMS（信息安全管理体系）而产生的措施。PIA 不仅是一个工具: 它是一个从倡议的最早阶段开始的过程, 在这个阶段仍然有机会影响其结果, 从而通过设计确保隐私。同时PIA更是一个持续到项目部署之时, 甚至在项目部署之后的过程。
    执行PIA的好处：
    - 识别隐私影响，隐私风险和责任;
    - 为隐私保护设计提供输入（有时称为隐私设计）;
    - 审查新信息系统的隐私风险并评估其影响和可能性;
    - 为PII负责人提供隐私信息保护依据;
    - 使用可能影响处理PII的其他功能维护以后的更新或升级;
    - 与利益相关者共享和减轻隐私风险，或提供与合规性相关的证据。

    PIA经常被描述为早期预警系统。它提供了一种方法来检测因处理PII而产生的潜在隐私风险，从而告知组织应该在哪些方面采取预防措施，并在组织进行大量投资之前而不是之后构建定制的保护措施。在规划阶段修改项目的成本通常只是后来发生的成本的一小部分。如果隐私影响是不可接受的，甚至可能必须完全取消该项目。因此，PIA有助于及早发现隐私问题和/或通过尽早考虑隐私问题来降低管理时间，法律费用和潜在媒体或公众关注的成本。它还可以帮助组织避免代价高昂或令人尴尬的隐私错误。

    虽然PIA不仅仅是一个合规性检查，但它确实有助于组织在随后的投诉，隐私审计或合规性调查中证明其遵守相关的隐私和数据保护要求。如果发生隐私风险或违规行为，PIA报告可以提供证据证明组织在试图防止事件发生时采取了适当的行动。这有助于减少甚至消除任何责任，负面宣传和声誉损失。

    因此适当的PIA还向组织的客户和/或公民证明其尊重他们的隐私并响应他们的顾虑。客户或公民更有可能信任执行PIA的组织而非信任组织。

    况且PIA增强了知情决策，并暴露了有关项目隐私问题的内部沟通差距或隐藏假设。它是一种工具，用于对项目产生的隐私问题进行系统分析，以便为决策者提供信息。它可以是可靠的信息来源，使组织能够预先了解流程，信息系统或程序的隐私缺陷，而不是让其审计员或竞争对手指出它们。即在过程，信息系统或程序的设计中建立隐私。

    PIA的规模：
    PIA的规模将取决于假设影响的重要程度。例如，如果假设影响仅影响组织的员工（例如，组织可能希望通过生物识别来改进其访问控制，例如来自每个员工的指纹），那么PIA只能聘用员工代表并且规模相对较小。但是，如果政府部门希望为所有公民引入新的身份管理系统，则需要进行更广泛的PIA，涉及广泛的外部利益相关者。
    组织应根据法律法规对所需的PIA规模进行自我评估。每人PII的数量和粒度，PII的敏感程度，PII原则的数量以及可以访问将要处理的PII的人数是确定此比例的关键因素。
    对于中小企业，非营利组织或政府组织，PIA的适当规模的确定可以由进行PIA的人，中小企业的高级管理层和/或共同实现，但不具有约束力，可寻求外部的建议。

    实施过程：
    1. 确定是否需要PIA（阈值分析）
    当组织或项目涉及以下情景时，需要PIA（隐私影响评估）的执行：
    • 开发或处理PII的信息系统进行重大改变时，应该进行PIA；
    • 任何新项目的启动都应触发阈值分析，以确定是否需要进行PIA；
    • 进行涉及PII资产和处理PII的所有系统的资产清单的建立、维护和更新时，需要参考PIA报告；
    • 开发和维护库存时，需要从PIAS中提取关于信息系统处理PII 的信息元素；
    • 当组织正在处理PII，组织应该建立进行PIA所需的程序；
    • 为确保与PII处理相关的计划和服务符合隐私保护要求，组织应该执行PIA并实施所产生的隐私处理计划；

    2. 建立PIA团队并为其提供指导
    负责进行PIA（评估员）的人员应由组织确定并指定。组织还应指定负责签署PIA报告的人员。

    3. 准备PIA计划并确定进行PIA所需的资源
    4. 描述评估的内容
    5. 利益相关者参与
    6. 执行PIA 
    确定PII的信息流  分析用户的行为  确定相关的隐私保护要求

    7. 评估隐私风险 
    隐私风险识别  隐私风险分析  隐私风险评估
    8. 准备处理隐私风险
    选择隐私风险处理选项
    （隐私风险处理有四种选择：降低风险，保留风险，避免风险和风险转移。）
    确定对所选处置方案的适当控制
    制定隐私风险处理计划
    9. 跟进PIA    
    确认报告 报告发布
    10. 实施隐私风险处理计划
    11. 检查和/或审计PIA
    12. 反映评估过程变更
 
    更多关于隐私影响评估指南相关内容或业务需求请持续关注我们。
    详情请咨询：
    电话：021-62101209-811
    邮件：mkt@aryasec.com

相关新闻：