NIST 隐私框架全文中译本| 网络法实务圈·出海互联网法律观察 2020.02.19 美国国家标准技术研究所 《隐私框架 1.0-通过企业的风险管理改善隐私的工具》中译本 m o 网络法实务圈 出海互联网法律观察 c . 5 b 荣誉出品 u th 译校人员：洪玮，刘悦，倪圣翔，彭畅，王捷，王敏茜，朱莎 i g （以姓名拼音排列，不分先后） 主编：王捷 NIST 出品 本文件的内容不具有法律效力，不以任何方式约束公众 版权所有，未经书面授权，禁止商业性使用，禁止演绎 1 NIST 隐私框架全文中译本| 网络法实务圈·出海互联网法律观察 2020.02.19 摘要 互联网信息技术二十多年来的高速发展，推动了前所未有的社会创新、经 济增长和服务改善，这些福利大多是由流动在复杂信息网络生态系统中的个人 数据所推动的。在这样的时代背景下，个人主体可能无法理解使用系统、产品 或服务时可能对隐私产生的潜在后果；组织也难以意识到互联网和相关信息技 术的发展究竟会对个人、社会或企业造成多大程度的影响。而这些影响，可能 与组织的企业品牌、生存底线和增长前景密切相关。 美国国家标准与技术研究院（以下称 NIST）遵循各私人主体和公共利益相 关者在制定本自愿工具时达成的透明、共识之程序发布隐私框架：一种通过企 业风险管理提高隐私保护能力的工具（以下称隐私框架），能够优化概念设计 m o 支持的隐私工程实践，帮助组织保护个人隐私。本隐私框架可为组织在以下方 面提供支持：1 ⚫ c . 5 b 通过支持具有道德决策理念的产品和服务，或是优化数据的有益使用，同时 将对个人隐私和整个社会的不利影响降至最低的设计来建立客户的信任1； ⚫ 履行当前合规义务，并覆盖至面向未来的产品和服务，以满足不断变化的技 u th 术和政策环境所带来的合规要求；和 ⚫ 促进个人、业务合作伙伴、评估人员和监管者之间隐私保护相关实践的交流。 ⚫ 使用数据获益的同时管理好个人隐私风险，一劳永逸的解决方案并不适用。 i g 就如盖房子时，房主对房屋的布局和设计，建立在良好建筑工程的基础上。 隐私保护也是一样，只要将有效的隐私风险缓解措施设计到产品和服务中， 就应当允许个人做出选择。基于风险和结果导向的隐私框架具有足够的灵活 性，不但可以满足多样化的隐私需求、实现更具创新性和有效性的解决方案 令个人和组织获得更好的隐私风险管理结果，并且可以紧跟人工智能和物联 网等技术趋势。 ⚫ 隐私框架与“改善关键基础设施网络安全框架”（以下称网络安全框架）[1] 的结构相同，以便两个框架可以同时使用。隐私框架与网络安全框架一样， 由核心层、概况层和实施层三部分组成。每个组件通过业务、企业使命驱动、 组织角色、岗位职责，以及隐私保护活动之间的联系加强隐私风险管理。 ⚫ 核心层支持执行级别与实施/操作级别人员之间对优先的隐私保护活动和期 1 道德决策没有客观的标准；它建立在特定社会规范、价值观以及合法期望之上。 2 NIST 隐私框架全文中译本| 网络法实务圈·出海互联网法律观察 2020.02.19 望结果进行对话。 ⚫ 概况层可以让风险管理结果的重点能够最佳地满足组织对隐私价值实现、企 业使命，以及业务和风险防范的需求。 ⚫ 实施层支持对组织流程和资源的充分性进行决策和交流，从而管理隐私风 险。 总之，隐私框架旨在将隐私风险和更广泛的企业风险产品等同起来，帮助 组织建立更好的隐私基础。 致谢 m o 该出版物是 NIST 与公共部门和私营部门的组织、个人等利益相关者之间共 同努力的结果。在开发隐私框架时，NIST 的工作依靠了三个公开研讨会、一个 c . 5 b 信息请求（RFI）、一个征求意见（RFC）、五场网络研讨会，以及与利益相关 者之间的数百次直接互动2。在此感谢所有对本出版物做出贡献的人。 u th i g 22 完整的开发档案见 https://www.nist.gov/privacy-framework 3 NIST 隐私框架全文中译本| 网络法实务圈·出海互联网法律观察 2020.02.19 目录 摘要........................................................................................................................................................................................ 2 致谢........................................................................................................................................................................................ 3 1.0 隐私框架介绍 ............................................................................................................................................................. 5 1.1 隐私框架的概览：.......................................................................................................................................... 6 1.2 隐私风险管理 ................................................................................................................................................... 7 1.2.1 网络安全和隐私风险管理 ................................................................................................................ 7 1.2.2 隐私风险评估 .....................................................................................................................................10 1.3 文件概述 ..........................................................................................................................................................11 2.0 隐私框架的基础.......................................................................................................................................................12 m o 2.1 核心层 .............................................................................................................................................................12 2.2 概况层 .................................................................................................................................................................15 c . 5 b 2.3 实施层 .............................................................................................................................................................16 3.0 如何使用本隐私框架 ............................................................................................................................................18 3.1 与其他参考文件联系 ....................................................................................................................................18 u th 3.2 加强责任制 .....................................................................................................................................................19 3.3 建立或改进隐私项目 ...................................................................................................................................20 i g 3.4 应用于系统开发生命周期 ...................................................................................................