网站和应用的个人数据保护:企业主的实用步骤

几乎每个企业网站和应用都会收集个人数据,而所有者往往没有意识到。联系表单保存姓名和电话号码,网店保存地址和订单历史,应用保存设备标识和位置,分析工具记录访客行为。这些都是个人数据,管理它们不再只是技术问题,而是法律责任和信任责任。

在印度尼西亚,关于个人数据保护的规定现已由专门的法律及其实施细则加以规范。对企业主来说,实际的问题不是背诵条文,而是理解原则并把它们转化为工作习惯:收集了什么,用于什么目的,存放在哪里,谁可以访问,出了问题怎么办。养成这些习惯的企业,更能适应不断发展的规则,也更受顾客信任。

本文介绍管理网站和应用个人数据的实用步骤。我们讨论数据盘点、收集依据与同意、隐私声明、数据主体的权利、安全、第三方、保留期、泄露处理和治理习惯。请注意,本文仅用于科普,不构成法律意见。规则可能变化,其适用取决于你的业务类型,因此请参考最新的官方来源,并就你的情况咨询法律顾问。我们有意不引用可能已经变化的具体数字或期限。

摘要

• 先盘点你收集了哪些个人数据、来自哪里、用于什么,以及流向何处
• 只收集所需的数据,并确保有合法依据,必要时包括同意
• 提供清晰的隐私声明,并为数据主体行使权利提供途径
• 用技术和组织控制措施保护数据,并通过书面协议管理第三方
• 准备泄露处理计划,并在公司内指定负责数据保护的人

为什么企业现在需要关心

有三个相互强化的理由。第一,法律义务。个人数据控制者负有特定义务,违反规定可能导致行政处罚及其他后果。第二,顾客信任。顾客越来越意识到自己的数据很有价值,粗心的企业会很快失去信任,尤其是在发生泄露时。第三,业务韧性。杂乱、分散、不知所在的数据是一种运营风险:难以保护,难以删除,也难以说明。

小企业常以为这些规定只针对大公司。但基本原则适用于任何处理个人数据的人,企业规模通常只影响治理需要多正式,而不影响是否有责任。明智的做法是采取与你的风险和规模相称的措施,然后随着成长再提高。

第一步:盘点你持有的数据

你无法保护你不知道的东西。第一步是建立个人数据清单:收集了什么,从谁那里,通过哪个渠道,存放在哪里,用于什么,与谁共享,以及保存多久。对所有接触点都这样做,包括那些常被遗忘的,如旧表单、导出文件、备份,以及营销团队安装的第三方工具。

• 通过表单、注册、购买和客服消息收集的数据
• 来自设备和浏览器的技术数据:网络地址、设备标识和 cookie
• 移动应用请求的位置、联系人、照片或麦克风数据
• 来自分析、广告和行为追踪工具的数据
• 有关员工、求职者和商业伙伴的数据
• 存在于备份、本地文件、表格和邮箱中的数据副本

对每个类别,还要记下其敏感性。某些数据,如健康、生物识别、个人财务或儿童数据,按规定一般需要更严格的保护。标记这类数据,使其得到特殊处理。这次盘点的结果是所有后续步骤的基础,每次增加功能或新工具时都值得更新。

只收集所需并确保合法依据

最有用的原则是最小化:只收集明确目的真正需要的数据。只需邮箱就能发送通讯,却要求提供出生日期、完整地址和职业的表单,就是过度收集的例子。每增加一个字段,都增加风险和负担,却没有增加价值。

对个人数据的每一次处理,都需要符合规定的合法依据。数据主体的同意是其中之一,但不是唯一的。还有其他依据,例如履行与数据主体的合同或履行法律义务。要理解你的每项活动适用哪种依据。例如,为配送订单处理地址,依据的是买卖合同,而发送促销通常需要单独的同意。

• 在收集每种数据之前确定其目的,没有适当依据就不要用于其他目的
• 避免不需要的必填字段;如果只是额外信息,就设为可选
• 使用同意时,使其自愿、具体且易于撤回
• 不要把对许多事项的同意捆绑在一个复选框里
• 不要把同意框设置为预先勾选
• 记录同意是何时、如何以及为何目的给出的

能被理解的隐私声明

数据主体有权知道他们的数据如何被处理。隐私声明,常称为隐私政策,就是满足这一点的方式。许多隐私政策失败,是因为写得像没人能读懂的冗长法律文件,或者从别的网站复制而未根据实际做法调整。与现实不符的政策比没有更危险,因为它会成为不诚实的证据。

• 你是谁,以及如何就个人数据联系你
• 收集了什么数据以及来自哪里
• 数据用于什么,依据是什么
• 数据与谁共享,包括服务提供商的类别
• 数据保存多久,或决定保存期限的标准
• 数据主体的权利及行使方式
• 数据是否发送到境外,以及采取了哪些保护措施

使用简单的语言,用清晰的标题组织,并在相关的时刻展示,例如在表单附近放一个简短摘要,并链接到完整版本。做法变化时就更新,并保留旧版本。如果你用多种语言服务用户,请以与界面相同的语言提供声明,使其真正能被理解。

Cookie、追踪器与分析

许多网站为分析、广告和其他功能安装 cookie 和追踪器。有些是网站运行所需,而另一些用于分析或营销,通常需要更关注同意。检查你网站上所有处于活动状态的追踪器,包括通过第三方工具安装的,然后按目的分组。

• 列出所有活动的 cookie 和追踪器,并确定各自的目的
• 把网站运行真正需要的与分析或广告类的分开
• 显示清晰的通知和选项,拒绝与接受一样容易
• 在给予同意之前,不要运行需要同意的追踪器
• 提供随时更改选择的方式
• 定期审查,因为新工具常在没人注意时被添加

尊重隐私的技术选择,例如不使用个人标识符的分析或聚合数据,通常是可行的,而且足以满足许多业务需求。在启用更具侵入性的追踪之前,先考虑这种做法。

数据主体的权利及如何满足

个人数据保护规定赋予数据主体对其数据的某些权利,如要求提供关于处理的信息、访问、更正、删除或限制处理,以及撤回同意。满足这些权利的细节和期限由现行规定确定,因此需要从最新的官方来源核查。

实际的挑战是:如果数据散落在许多系统中,满足诸如“删除我的数据”这样的请求就变得非常困难。这就是数据盘点重要的原因。提供清晰的渠道接收请求,例如专用的电子邮件地址或表单,确定由谁处理,核实请求者的身份以免把数据给错人,并记录每个请求及其处理结果。

1. 01通过隐私声明中所述的渠道接收请求
2. 02以相称而不过度的方式核实请求者的身份
3. 03在清单中记录的所有系统,包括备份和第三方,查找请求者的数据
4. 04按规定满足、部分拒绝或解释限制,并给出书面理由
5. 05在规定的期限内告知请求者结果
6. 06把请求和行动记录归档,作为合规的证据

从开发的角度,设计系统使这些能力易于满足:客户数据集中,并通过一致的身份相连;具备导出和删除或匿名化某人数据的功能;备份中的数据有明确的保留期。从一开始就构建它们,比第一个请求到来时再去打补丁便宜得多。

保护个人数据

个人数据保护与安全密不可分。数据控制者必须以与风险相适应的技术和组织措施,保障其处理的数据安全。何为充分,取决于数据的敏感性以及泄露时的潜在影响,所以越敏感的数据需要越强的保护。

• 传输中的数据加密,对敏感数据还要对存储中的数据加密
• 按角色限制访问,遵循最小权限原则
• 对管理账户和访问客户数据使用多重身份验证
• 记录对敏感数据的访问和更改,以便追溯
• 对服务器、应用以及所用的库定期进行安全更新
• 经过恢复测试且访问受限的加密备份
• 隔离测试环境和生产环境,没有保护时不要用真实客户数据做测试
• 对员工进行数据处理、钓鱼邮件和工作设备方面的培训

组织方面与技术方面同样重要。许多泄露并非因为复杂的黑客攻击,而是因为疏忽:含有客户数据的文件发给了错误的人,笔记本电脑遗失而没有加密,或者前员工的访问权限没有被撤销。制定简单的规则并培训团队遵守,包括员工入职、调岗和离职时的程序。

第三方与服务提供商

几乎没有企业完全靠自己管理数据。托管服务商、邮件服务、分析工具、支付系统、客户支持提供商和外部开发人员,都可能接触个人数据。当你把数据交给他们时,你的责任并不会自动消失,所以选择并管理与他们的关系非常重要。

• 列出所有代表你处理个人数据的服务商
• 使用之前检查其安全做法和隐私政策,必要时索取证明
• 在书面协议中规定他们可以对数据做什么、安全义务,以及发生泄露时的通知
• 确保数据只按你的指示使用,而不是用于他们自己的目的
• 了解数据存放在哪里,并在数据被发送到境外时核查规定
• 准备合作结束时返还或删除数据的计划
• 定期审查服务商清单,停止使用不再需要的

软件开发供应商也是如此。当系统由外部开发或维护时,要确定谁可以访问真实数据,如何授予和撤回访问权限,以及项目结束后如何处理数据副本。这应写入合同,而不仅是口头的默契。

数据的保留与删除

个人数据不得无故永久保存。一旦处理目的已达成,且没有法律义务或正当利益需要保留,数据就应当被删除或匿名化。囤积不再使用的数据,只会扩大风险以及发生泄露时的影响。

1. 01根据目的和适用的法律义务,而不只是习惯,为每个数据类别设定保留期
2. 02尽可能采用自动删除或匿名化
3. 03确保备份、日志和其他副本中的数据也被政策涵盖
4. 04记录例外及其理由,例如因税务或记账义务而必须保留的数据
5. 05定期审查政策,并根据规则变化加以调整

注意删除与隐藏的区别。仅被标记为已删除、却仍存在于数据库中的数据,依然是被存储的个人数据。设计真正删除或匿名化的删除流程,并测试结果是否正确。

为数据泄露做好准备

无论安全做得多好,事件仍有可能发生。受控的事件与灾难之间的差别,往往在于准备是否充分。关于个人数据保护失败时的通知义务,包括必须通知谁以及在多长期限内,由现行规定确定,所以你的计划必须参照最新的规定和法律意见。

1. 01指定事件处理团队和负责人,并确保非工作时间也能联系到他们
2. 02准备最初的步骤:隔离受影响的系统、更改凭据和保全证据
3. 03评估范围:什么数据、谁的数据,以及对数据主体的潜在影响
4. 04确定必须通知谁,包括主管部门和数据主体,内容和时间依规定而定
5. 05准备清晰、诚实并包含数据主体可采取措施的通知模板
6. 06恢复之后,审查原因、修补漏洞,并记录经验教训

通过简短的模拟来演练这个计划,例如问团队,如果明天早上发现客户数据库泄露了,他们会怎么做。这样的演练能迅速暴露漏洞:没人知道该联系谁,没有干净的备份,或者日志不足以评估范围。

治理:把它变成习惯,而不是一次性项目

个人数据保护不是会结束的项目,而是持续的习惯。确定公司内谁负责,无论是规定要求时的数据保护官,还是较小企业中的内部负责人。核查现行规定,了解你处理的类型和规模是否需要指定专门的官员。

• 每当有新功能、新工具或新服务商时,就更新数据清单
• 对高风险处理在开始之前进行影响评估,在要求或值得做的情况下
• 从功能设计阶段就纳入隐私考量,而不是在构建完成之后
• 培训新员工,并定期更新培训
• 把政策、决定和合规证据文档化,以便在被要求时出示
• 关注监管动态,并随变化更新做法

文档有两个作用:帮助团队一致地工作,并在检查或投诉时作为善意的证据。它不必很厚;简短、准确、得到维护的记录,比没人打开的大文档更有用。

应避免的常见错误

• 从别的网站复制隐私政策,而不根据实际做法加以调整
• 收集的数据远远超过明确目的所需
• 不检查第三方追踪器发送什么数据就安装它们
• 在没有保护的情况下,在测试环境中使用真实客户数据
• 没有接收和回应数据主体请求的方式
• 在泄露真正发生之前没有泄露计划
• 把数据保护当作一份文件就能解决的一次性事务

本周就能开始的第一步

1. 01建立一份简单的清单:你的网站、应用和第三方工具收集了哪些个人数据
2. 02检查表单,删除不需要的字段
3. 03把隐私政策与实际做法对照,并修正不一致之处
4. 04列出所有接触个人数据的服务商,并审查与他们的协议
5. 05指定数据保护负责人,并安排一次泄露处理模拟
6. 06就你业务的具体义务咨询法律顾问,并参考最新的官方来源

结语

妥善管理个人数据不只是避免处罚,而是建设一个被信任的企业的一部分。数据盘点、按需收集、合法依据、诚实的声明、充分的安全、对第三方的管理、清晰的保留期,以及应对事件的准备,让你的企业更有韧性,顾客也更安心。

从最简单、影响最大的步骤开始,然后建立一贯的治理习惯。由于规则不断发展,请把定期审查和咨询法律顾问纳入你的例行工作。