8.1 隐私工程：数据用途、最小化与生命周期
信息安全保护数据的机密性、完整性与可用性；隐私还关注组织获准处理数据时是否造成不当影响。系统可以没有数据泄露，却仍因收集过多、用途漂移、保留过久或推断敏感特征而产生隐私风险。
本课讲工程方法，不替代适用司法辖区的法律意见。具体法律基础、权利范围、通知与跨境要求需要法务和隐私负责人确认。
从数据处理活动而非数据库表开始盘点
个人数据会出现在主库之外：
采集 → API/log/queue → 主存储 → 分析/模型 → 第三方
└→ 缓存/搜索/备份/客服导出数据清单至少记录：字段或类别、数据主体、来源、明确用途、处理依据、系统位置、接收方、访问角色、保留/删除规则、跨境与敏感级别、owner。
IP、设备 ID、精确位置、行为序列和稳定假名即使不含姓名，也可能关联或识别个人。不要用“我们只存匿名 ID”跳过分析。
Purpose limitation 先于数据模型
收集前写清具体用途，并把每个字段映射到用途。下表是一个救援服务的假设需求，24 小时等期限需由实际用途与适用要求确定：
| 数据 | 用途 | 是否必要 | 保留触发点 |
|---|---|---|---|
| 服务区域 | 调度与安全响应 | 是，精度可降低 | 当次服务结束后转粗粒度 |
| 精确 GPS 轨迹 | 实时救援 | 仅任务期间 | 任务结束 24 小时后删除原轨迹 |
| 设备广告 ID | 无明确用途 | 否 | 不采集 |
“未来分析可能有用”不是可测试用途。新用途需要兼容性和风险评估，必要时重新告知或获得相应依据，不能因为数据已经在仓库里就默认可用。
Data minimization 不只是少建几列
最小化可以发生在多个层面：
- 不采集：若只需年龄段，不采生日；
- 降精度：区域而非精确坐标；
- 降频率：事件触发而非持续追踪；
- 本地处理：设备端判断后只上传结果；
- 分离身份：业务记录与身份映射独立存储和授权；
- 限制派生：不因有原始数据就生成所有画像；
- 限制访问：分析人员只看到完成任务所需视图。
加密保护已收集数据，不能证明收集本身必要。删除不需要的数据通常是最彻底的泄露风险降低。
Retention 是可执行规则
“按业务需要保留”无法自动化。应定义：
retention = duration + start event + legal hold override + deletion method另一个报告系统可能规定“报告关闭 90 天后删除精确位置；聚合统计保留两年；处于合法调查 hold 的对象暂停删除并记录批准人”。这些仍是示例期限；hold 要限定范围、复审时间和解除条件，不能成为永久保留开关。
TTL 只覆盖主表还不够。搜索索引、对象存储版本、缓存、消息死信、数据湖、日志、训练集和备份都要有传播规则。备份通常无法逐条即时擦除，可采用短保留、密钥隔离，并保证恢复后的数据重新对外开放前，先重放删除 ledger、验证索引和缓存也已清理。Ledger 本身也可能包含个人标识，应最小化字段并限制保留与访问。
数据主体请求是一条身份敏感工作流
访问、更正、删除、限制和可携带等请求的适用性因法律与场景而异。工程流程要防止攻击者借请求导出他人数据：
- 验证请求者身份，敏感导出使用 step-up；
- 定位所有系统与 processor 中相关数据；
- 按适用权利与例外逐项审核涉及他人或内部安全的信息，必要时做有依据的遮蔽；不能仅因标为“内部”就自动排除；
- 以安全渠道交付或执行动作；
- 记录范围、例外依据、完成时间和下游确认；
- 不在工单和邮件里制造新的完整数据副本。
删除账户不是对 users 表执行一次 DELETE。需要处理内容所有权、财务/安全保留、共享对象、审计不可篡改与身份映射。能匿名化的记录必须确认不可再合理关联，而非只把姓名改成 deleted-user。
Privacy by default 进入产品默认值
新账户默认最小公开范围、最短合理保留和最少遥测；可选分析或共享不应通过预勾选和暗黑模式强迫。通知要描述真实数据流，而不是用“改善体验”覆盖十种用途。
数据访问和用途变化需要审计，但审计日志自身也含个人数据。只记录调查所需字段，限制访问与保留，并防止业务管理员删除对自己不利的记录。
上线前检查
- 每类数据是否有具体用途、owner 和处理依据？
- 是否能通过不采集、降精度或本地处理实现同一功能？
- 数据是否流入日志、第三方、模型和备份而清单未记录？
- 保留是否有起点、期限、hold 与可验证删除？
- 用户请求能否覆盖所有副本，又不会泄露他人数据？
- 新用途和字段是否会触发隐私影响复审？
用一条合成用户记录演练删除：先确认它进入主库、索引和测试备份，执行删除后再恢复旧备份；恢复环境在重放删除记录前不得开放读取。检查查询、导出与后台任务都看不到这条数据。下一课继续评估假名与所谓匿名数据的关联风险。
参考资料
- European Commission, Principles of the GDPR
- NIST, Privacy Framework 1.0
- NIST, Privacy Framework 1.1 Project Status