14.1 隐私工程与数据地图：先减少不必要的处理
审计发现，外部合作方正在收集员工的精确位置轨迹。数据平台的第一反应是“把数据库加密”，但没人说得清轨迹从哪些设备采集、用于什么决定、复制到多少报表、多久删除。安全控制可以阻止部分未授权访问，却不能回答组织是否本就收集和推断了过多信息。
隐私、数据保护法律和信息安全互有关联，但不是同一件事。具体法律义务取决于司法辖区、角色、数据和用途；本章提供工程方法，不替代适用法律分析。
本课目标
- 区分隐私风险、安全风险与合规义务；
- 建立覆盖收集、推断、共享和删除的数据地图；
- 用目的限定、必要性和比例性减少处理；
- 在高风险用途前完成隐私影响评估与 go/no-go 决定。
1. 隐私风险不只等于泄露
即使系统从未被攻击，也可能产生：
- 持续追踪使人失去合理行动空间；
- 用旧目的收集的数据推断新敏感特征；
- 不透明画像影响机会、待遇或自由；
- 错误数据无法更正却持续传播；
- 群体统计使小群体被污名或针对；
- 数据集中使内部人员能够越权观察。
安全关注机密性、完整性和可用性；隐私还关注处理本身对人的可预测性、选择、尊严与公平。合规规定某辖区的最低义务，伦理评估可能要求更高或直接不做。
2. 数据分类要结合上下文
不能只按列名把字段分成 PII/non_sensitive。同一值在不同情境风险不同：公开的岗位名称与精确位置、夜班时间组合后，可能唯一指向某人。
对每个数据元素记录：
主体/群体与来源
直接、间接标识及可链接键
内容与可能推断出的属性
采集目的和允许用途
处理角色与责任方
存储位置、地域、复制和接收者
访问者、自动决策和人工决定
保留/删除与权利处理规则
风险等级及评估依据列名和正则扫描可作发现线索，但会漏掉自由文本、图像、轨迹和业务编码，也会误报。扫描本身需要受控访问、最小样本和审计。
3. 画处理流程，而不是只列数据库
数据地图从来源追到最终用途：
设备采集
→ 边缘缓存
→ 消息队列
→ 原始对象存储
→ 清洗/身份映射
→ 特征与报告
→ 决策系统/外部接收者
→ 归档、备份和删除每条边标注目的、传输保护、接收者、地域、保留和数据版本。还要记录派生信息：系统没有收集“夜班健康风险”，不代表模型没有从轨迹和心率推断它。
血缘能提供候选技术路径，但不能替代未接入工具、人工导出、供应商和用途信息。
4. 目的限定与用途变更
目的应具体到可以判断兼容性。例如“改善服务”太宽；“在当班期间检测失联并触发救援”才可约束字段、频率和保留。
新用途出现时重新评估：
- 与原目的的关系；
- 当事人的合理预期和权力关系；
- 数据敏感度及新推断；
- 对个人和群体的后果；
- 现有授权/法律依据是否覆盖；
- 是否需要新通知、选择或批准；
- 能否使用匿名、聚合或更少的数据。
加密或 pseudonymisation 能降低部分风险，不会自动让不兼容用途变得合理或合法。
5. 数据最小化是系统设计
逐项挑战：
- 是否必须收集，还是可在设备端只生成事件；
- 是否需要精确值，还是区间/区域足够；
- 是否需要持续采集，还是短窗口或触发式采集；
- 是否需要可链接到同一人，还是每次会话随机标识；
- 是否需要保存原始数据，还是及时聚合；
- 是否所有团队都需要一份副本；
- 模型是否能用更少特征达到决策目标。
最小化的基准是已定义目的，不是“以后也许有用”。同时测量删除字段后的效用、群体影响和运行风险。
例如“当班失联告警”可以先在设备端判断是否超时，只上传告警、粗粒度区域和临时会话 ID；只有经批准的救援流程才请求短时精确定位，并在班次结束后清理临时缓存。若离线会使该方案漏报警，应把漏报率和恢复时延纳入验证，不能为了少收数据忽略安全目标。持续轨迹能否删除，应由用途与验证决定，不是因为存储很便宜就一直留下。
6. 同意只是可能的治理机制之一
在适用制度中，同意可能有严格条件。即使不讨论法律，有意义的选择也需要：信息可理解、拒绝真实、撤回可执行、强权力关系得到处理。
有些处理依赖合同、公共任务、法定义务或其他授权，而不是同意；具体判断必须由熟悉适用法律和事实的人完成。工程系统要记录采用的依据、适用范围、版本和变化，而不是在数据库里放一个永不失效的 consent=true。
以适用 GDPR 的处理为例，第 6 条列出多个合法性依据，第 5 条约束目的与最小化，第 25 条涉及设计和默认保护，第 35 条规定符合高风险条件的 DPIA。依据不能只写成一个 consent 布尔值；也不能把这些条款不加适用性判断地推广到所有司法辖区。参见 GDPR 官方文本。
7. 隐私影响评估
高风险、新技术、大规模监测、敏感推断或重大自动决定在上线前应做结构化评估；是否存在法定 DPIA 等要求要按辖区判断。
处理目的、范围和参与方
必要性与替代方案
数据流程、推断和保存
受影响者及其合理预期
滥用、泄露、错误和权力风险
严重性、可能性和可逆性
技术/组织控制及残余风险
相关方参与与分歧
批准者、停止条件和复审时间评估不是发布许可的自动打勾表。残余风险过高、目的不清或控制不可验证时，结论可以是缩小范围或不做。
8. Privacy by default
默认设置应倾向最少处理：
- 新字段默认不进入下游；
- 新接收者默认无权访问；
- 新用途必须显式登记；
- 保留期到期触发删除/复核；
- 高风险导出默认阻断或审批；
- 精确位置、公开可见性和长期链接默认关闭；
- 失败时不静默扩大采集。
常见误区
- 有加密就解决隐私：授权系统仍可能进行过度处理。
- 列名扫描等于数据清单：上下文、推断和复制链仍未知。
- 拿到同意即可无限复用：目的、权力关系和撤回仍要处理。
- 隐私评估由法律团队单独写：工程事实和可执行控制必须由产品与技术团队提供。
练习
- 为轨迹数据画从设备到删除的数据地图，加入两个人工导出路径。
- 把“用于安全”改写成可约束字段和保留期的具体目的。
- 对精确位置、持续采集和长期身份链接分别设计最小化方案。
- 为一个新推断用途写 go/no-go 条件和残余风险。
小结
隐私工程从理解处理开始：数据如何产生、怎样链接、影响谁、何时退出。减少不必要的收集与推断，通常比在庞大数据集上追加补救控制更可靠。
下一课处理“去标识化”：遮挡、散列和 tokenisation 降低的是哪些风险，为什么仍不能轻易称为匿名。