华为技术有限公司 深圳龙岗区坂田华为基地 电话：+86 755 28780808 邮编：518129 www.huawei.com 商标声明 ， ， 是华为技术有限公司商标或者注册商标，在本手册中以及本手册描述 的产品中，出现的其它商标，产品名称，服务名称以及公司名称，由其各自的所有人拥有。 免责声明 本文档可能含有预测信息，包括但不限于有关未来的财务、运营、产品系列、新技术等信息。由于实践中存在很多不确定因 素，可能导致实际结果与预测信息有很大的差别。因此，本文档信息仅供参考，不构成任何要约或承诺，华为不对您在本文 档基础上做出的任何行为承担责任。华为可能不经通知修改上述信息，恕不另行通知。 版权所有© 华为技术有限公司 2022。保留一切权利。 非经华为技术有限公司书面同意，任何单位和个人不得擅自摘抄、复制本手册内容的部分或全部，并不得以任何形式传播。华为技术有限公司 2022年11月华为隐私保护治理白皮书 隐私合规17/27框架 个人信息 生命周期PIA DI通知数 据主体数据主体 选择和同意目 录 04 0602 华为隐私合规框架 03 2.1 隐私保护治理 2.2 个人信息生命周期保护01 序言 02 08 09 10 11 11 1203 华为的隐私合规核心实践 08 143.1 实践一：Privacy by Design（PbD） 3.2 实践二：个人信息安全 3.3 实践三：供应商管理 3.4 实践四：个人信息跨境转移 3.5 实践五：隐私合规管理流程IT化 3.6 实践六：个人信息主体权利请求（DSR） 04 结束语序言 随着5G、云计算和AI等技术的快速发展，全球的数字化进程进一步深化，我们由此步入了数字化、全联 接、智能化的新世界。在此进程中,保障数据安全、保护个人隐私成为了当前全球各个国家和地区都面临的重 大挑战。对于企业而言，保障个人信息的安全与处理合规既是法律遵从的基本要求，也是保障企业未来数字化 业务成功的基石之一。 华为作为全球领先的ICT基础设施和智能终端提供商，将构筑并全面实施端到端的全球网络安全与隐私保 护保障体系作为公司的重要发展战略之一，并通过持续的资源投入，不断提升隐私合规能力，完善自身的隐私 合规管理体系。华为的业务范围覆盖了全球170多个国家和地区，且业务类型复杂多样，构建一套能够适用于 全球的隐私保护治理方法是华为长期探索和努力的方向。通过对外部隐私保护法律、法规及标准进行系统性地 洞察和梳理，华为搭建了一套基于自身隐私合规需求的全球隐私合规框架。该框架包含了17个控制域和27个 控制项，系统地归纳了隐私合规的相关控制要求，为华为各业务单元的隐私合规工作提供了指引。在本白皮书 中，我们将对华为目前采用的隐私合规框架和隐私合规实践进行详细介绍，供业界参考。 我们期待与业界友好交流，共同探索隐私保护治理的最佳实践，建立隐私保护治理的长效机制。01 15 05 术语定义表 16 06 附录一：华为隐私合规17/27框架 ¹ ICT (Information and communication technology), 信息与通信 02 01华为隐私保护治理白皮书 华为隐私保护治理白皮书华为隐私合规框架 04如图2-2所示，17/27框架可分为“隐私保护治理”和“个人信息生命周期保护”两条主线。主线一“隐 私保护治理”从隐私保护治理的顶层设计出发，集合了政策、组织、人员意识等控制域和控制项。主线二“个 人信息生命周期保护”则覆盖个人信息全生命周期的管理，从收集、使用、披露、留存、处置等个人信息处理 环节分别提出了隐私合规工作要求。下文将对两条主线各自所包含的内容进行详细说明。 03华为隐私保护治理白皮书 华为隐私保护治理白皮书 隐私保护治理2.102 为了实现对全球隐私合规的系统化管理，华为在洞察、分析、归纳、整合外部法律、法规与标准的基础 上，持续优化，形成了一套隐私保护治理方法，即华为隐私合规框架。 华为隐私保护合规框架首创通过“蜗牛图”的形式来展示对个人信息全生命周期的保护，共包含17个控制 域和27个控制项（详见附录），命名为隐私合规17/27框架（以下简称“17/27框架”）。 17/27框架主要基于欧盟《通用数据保护条例》（以下简称“GDPR”）以及包括《GB/T 35273-2020 》、《ISO/IEC 27701》在内的10套2 隐私保护标准而设计搭建。随着2021年中国《个人信息保护法》的颁布 与实施，华为对《个人信息保护法》进行了深入的解读和分析，对17/27框架的内容进行了补充。以此方式， 17/27框架得以不断适应全球法律法规的动态发展，保持先进性。 ² 10套隐私保护标准分别是：ISO 27701, NIST PRF, GAPP, ISO 29151, GB/T 35273-2020, BS10012-2017, ePrivacyseal Criteria, EuroPriSe Criteria, TrustArc Privacy and Data Governance Accountability Framework (Control based) 及TrustArc Privacy and Data Governance Accountability Framework (Activity based)。图2-1 华为隐私合规框架（“蜗牛图”）图2-2 华为隐私合规17/27框架（17/27框架） 隐私 保护 治理 个人信息清单 个人信息 分级分类 个人信息 清单管理隐私影 响评估 隐私影响 评估相关 要求通知个人 信息主体个人信息 主体权利选择和同意 个人信息 主体选择 和明示同意收集 个人 信息 收集 限制使用 个人 信息 使用 限制披露 留存和处置 跨境转移 向个人信息处 理者、共同处 理者及受托人 披露相关要求个人信息 留存和处 置相关要 求个人信 息跨境 转移相 关要求个人信息主体 权利响应，包 括投诉处理等 相关要求隐私声明 或通知隐私管理制度 组织 意识能力 监控执行 事件响应与沟通 个人信息安全 Privacy by Design 组织架构设计 事件响应 监管沟通与 响应团队任命 人员保密 协议管理 绩效考核全员培训和 意识提升PbD架构设计 和方法论个人信息安全 相关要求 隐私增强技术 研究和建议专业人员能力 提升公司隐私政策 与流程文件洞察与跟踪 审计与稽查 认证获取与维护监控度量与 持续改进 个人 信息 生命 周期 保护 （1）隐私管理制度 本控制域明确了制定、更新和维护隐私管理制度的具体要求。华为各业务单元参照本控制域中的隐私合规 控制项，结合业务特点，建立并完善自身的隐私管理制度。 （2）组织 本控制域从组织架构、团队组建、人员任命、绩效考核等方面，明确了隐私管理组织与人员相关的角色、 职责及流程，为隐私保护组织架构的设计、搭建及运作提供了指引。 基于控制域和控制项的相关要求，华为成立了专职的全球网络安全与用户隐私保护组织，隶属于全球网络 安全与用户隐私保护体系。图2-2是华为全球网络安全与用户隐私保护组织的架构图。合法正当透明 目的限制 数据最小化 存储期限最小化 完整性与保密性 准确性 可归责 个人信息处理者 主动、依法保护隐私；增强消费者信 任受托人 确保数据安全，遵从客户指令个人信息处理者 数据处理透明，增强全球雇员的信任 ； 基于雇主合法目的和必要性处理数据 数字世界的隐私保护 管理 安全 质量 监控和实施 人员意识和能力 风险评估（ PIA等）政策和流程 组织和资源 标准和法规 业务连续性访问控制 评估和校正记录和验证 数据泄露事件响应执法机构调查和诉讼 审计问责数据处理请求响应PIA DI PIA DI通知数 据主体数据主体 选择和同意PIA DI通知数 据主体数据主体 选择和同意重点关注 消费者 业务 为主通知数 据主体数据主体 选择和同意 泛网络 业务 为主雇员06 05华为隐私保护治理白皮书 华为隐私保护治理白皮书 个人信息生命周期保护2.2 （3）意识能力 本控制域以提升华为员工的隐私合规意识和能力为目标，从隐私保护培训规划、培训内容及效果评估等方 面提供了合规指引。华为已规划和实施定期的全员隐私保护意识培训及专业人员能力培训，并对培训效果进行 全面跟踪评估。 （4）监控执行 本控制域包含洞察与跟踪、监控度量与持续改进、审计与稽查以及隐私保护认证的获取与维护四个方面。 华为各业务单元参照本控制域的隐私合规要求，跟进个人信息处理相关的法律、法规、业界标准与行业实践， 及时更新隐私管理制度、流程和实践以响应变化。另外，针对审计与稽查要求，华为已建立业务单元自检、隐 私合规专业团队稽查和审计在内的三层监督检查机制，形成度量、稽查和审计的管理闭环。 （5）事件响应与沟通 本控制域对个人信息泄露事件响应管理制度、响应流程的制定与维护、应急响应培训与演练的开展、响应 过程的记录以及监管沟通机制的建立进行了明确规定。华为各业务单元根据《个人信息泄露事件管理规定》， 成立跨职能部门的个人信息泄露事件响应团队，定期组织并开展个人信息泄露应急响应培训和演练。根据实际 发生的隐私事件，各业务单元参照个人信息泄露事件响应流程，开展个人信息泄露事件响应工作。（1）个人信息清单（Data Inventory） 本控制域分别从个人信息分类分级和个人信息清单方面提供了隐私合规指引，保障了个人信息处理活动记 录的完整性和准确性。华为各业务单元参照本控制域的隐私合规要求，实时维护相应的个人信息