作为“隐私设计”一部分的事件应对准备——欧洲讨论的最前沿

【免责声明】 本文系基于作者个人观点撰写，作者不具备律师资格。本文并非旨在提供法律建议，敬请谅解。

前言

众所周知，GDPR（《欧盟通用数据保护条例》）在第25条中对“设计阶段即考虑数据保护”和“默认即保护”进行了定义，并明确规定要求企业根据数据保护的基本原则采取技术措施等。

有文章指出，第25条中定义的“设计即隐私、默认即隐私”理念，借鉴了2009年加拿大安大略省时任信息专员安·卡布基安博士提出的“隐私设计”理念；在进行需考虑事件响应的系统开发时，采纳“隐私设计”理念至关重要。

“隐私设计”的7项原则是什么

“隐私设计”由7项原则构成，在系统设计的前期阶段，需对照这些原则，确认开发工作是否遵循相应的设计理念。这7项原则的内容如下：

1. 不是事后补救，而是事前预防；不是补救性的，而是预防性的

   不是在发生隐私侵权后再采取应对措施，而是为了预防隐私侵权的发生，因此要提前采取预防措施

2. 默认隐私设置

   将隐私保护作为标准规则予以采纳，并将其作为自动保护机制纳入其中

3. 融入设计中的隐私保护

   不要将隐私保护作为附加服务来实现，而应将其作为设计要素纳入其中进行开发

4. 全面功能性——不是零和，而是正和

   不是在安全措施和隐私保护之间二选一，而是同时实现两者

5. 从始至终的安全保障——全面保护整个生命周期

   在信息整个生命周期中，将安全与隐私保护融入设计之中

6. 可见性与透明度——保持公开

   为构建用户与服务提供者能够相互验证、相互信任的环境，应采取透明且易于理解的设计

7. 尊重用户的隐私——坚持以用户为中心

   以用户为中心，最大限度地维护个人利益

以这7项原则为核心，在保护用户权益的同时，这将成为推进构建可靠系统过程中更为重要的理念。

包括日本在内的G7各国监管机构所倡导的“隐私设计”

自“隐私设计”的7项原则提出以来，已过去约17年，当时所预见的数字社会正逐渐成为现实。

此前，以应对法律法规为中心的合规与治理一直是讨论的焦点，各国监管机构也积极要求企业遵守相关法律；但随着人工智能在商业环境中逐渐成为常态，除合规之外，服务设计与服务规划的重要性也在不断提升。

特别是针对未成年人使用的服务，已发布大量呼吁保护儿童个人信息的声明。在2025年6月于加拿大渥太华举行的G7数据保护与隐私机构圆桌会议上，关于儿童个人信息的处理，与会各方发表声明称：“无论特定司法管辖区是否存在法律要求，都应采用‘隐私设计’实践，以此鼓励企业作为负责任的创新者开展行动。”

关于儿童的个人信息，与其他信息相比，一旦发生泄露，可能会被滥用，因此建议从服务设计阶段开始，就按照“隐私设计”原则推进系统开发。

此外，在今年6月于法国巴黎举行的G7数据保护与隐私机构圆桌会议上，除去年声明中提倡的“隐私设计”外，会议还提及了在设计用于判断是否为未成年人的年龄认证机制时，有必要将这一原则纳入其中。

此外，另一份声明中还提到了“联网家用设备与儿童隐私保护”这一主题，对于提供数字服务的企业以及硬件制造企业而言，隐私保护正逐渐成为产品设计中的重要议题之一。

从设计阶段开始规划事件响应

到目前为止，我们已经介绍了全球动向以及国际规则方面的最新进展。

虽然可以理解从设计阶段就开始重视隐私保护的必要性，但考虑到实际操作，想必也有不少人会疑惑：“为什么”要采用“隐私设计”的理念。

我认为应当致力于“ByDesign”的一个重要原因，是各国法规对企业提出的报告义务（事件报告）。

近年来，不仅限于外部攻击，企业泄露个人信息的情况也日益增多。一旦发生个人信息泄露，不仅需要加强内部安全和治理，还必须建立一套能够掌握泄露情况并迅速上报的机制。

这意味着，从“隐私设计”所规定的“信息生命周期”这一视角来考虑设计至关重要。

《通用数据保护条例》（GDPR）第33条规定了“向监管机构通报个人数据泄露”的义务，要求企业在72小时内向管辖监管机构通报包括个人信息泄露在内的数据泄露事件。在短短72小时内，各企业必须查明发生的问题，并在准备好相关问题的答复后采取应对措施。

实际上，若观察欧洲因违反《通用数据保护条例》（GDPR）第33条而受到处罚的案例，在名为“Enforcement Tracker”的处罚案例汇总列表中记载，自2018年GDPR生效起至2026年4月30日止，共有101起案件（包括违反第33条以外条款的案例）被列入该清单。

由此可见，如果在系统设计阶段未以事件响应为前提进行开发，可能会导致未能及时履行报告义务，甚至出现被处以罚款的情况。

首先，试着对本公司处理的个人信息进行风险评估

想必有不少人会思考，具体来说，企业该如何落实“隐私设计”原则。由于“隐私设计”原则中规定的7项原则抽象度较高，对于一线从业人员而言，其中确实存在许多难以理解之处。

因此，建议您首先着手开展GDPR第35条所要求的DPIA（数据保护影响评估）。

※日本个人信息保护委员会已于2021年6月30日发布了一份文件，其中列出了关于PIA（Privacy Impact Assessment：个人信息保护评估）的注意事项，该评估是践行“隐私设计”的一种方法。

所谓DPIA，是指当根据《通用数据保护条例》（GDPR）处理的个人数据属于高风险范围时，事先对可能发生的风险进行评估，并将评估结果汇总成报告并予以记录。

今年4月，由欧洲各国监管机构组成的EDPB（欧洲数据保护委员会）发布了DPIA模板，并公布了在实施DPIA时应评估的项目。

该模板中还包含了评估是否已落实第25条所定义的“设计阶段即保护数据及默认保护数据”的评估项目，因此，首先应按照该模板的要求，确认是否已实施符合“设计阶段即保护”要求的措施。

在遵循模板的基础上，将对照以下项目，评估是否已落实“按设计”的要求。

（以下是根据第25条的定义，按照模板对相关内容进行风险评估的一个示例）

评估项目：GDPR第25条中定义的项目

已实现的功能：为满足《通用数据保护条例》（GDPR）第25条所定义的要求而已实现的功能，或计划今后实现的功能

适用性评估：说明为何认为已实现或计划实现的功能符合该项要求的理由

实现情况：功能的实现情况

请参考此处介绍的示例，在事先进行风险评估以确认其规格是否满足第25条规定的“按设计”要求的基础上，填写评估项目。此外，在明确当前实现状态的同时，还需对可能发生的风险程度进行评估。

对于目前尚未实现、但未来计划实现的功能，还将说明实现该功能的时间表和计划。通过填写各项内容，可以明确特定服务或产品中尚存的不足之处，从而能够对组织内部涉及个人信息的风险进行恰当评估。

企业应自行掌握高风险数据的具体位置

到目前为止，我们介绍了如何利用风险评估模板来确认是否已引入“按设计”的要求。通过根据风险预先梳理应实现的要求，可以将系统上线后可能产生的风险影响降至最低。

在欧盟委员会关于该应对方法的公告页面中，将其称为“基于风险的方法”，要求在系统上处理个人数据时，事先评估可能存在的风险，并以透明的方式掌握预期的风险。

即使发生安全事件，且因系统缺陷或漏洞导致个人数据泄露，或存在被滥用的嫌疑，只要事先采取基于风险的方法，就能迅速检测到风险，并在72小时这一有限时间内向相关监管机构提交报告。

在实施此类“基于风险的方法”时，企业需要做的是明确自身处理哪些数据以及处理的数据量有多大。

作为实现这一目标的方法之一，有一种称为“数据映射”的理念，建议首先实施这种“数据映射”。个人信息保护委员会于2022年10月发布的《数据映射工具包》中，通俗易懂地讲解了实施“数据映射”的意义及具体方法。

本文从“隐私设计”的角度出发，首先介绍了企业应采取的步骤。特别是针对信息泄露事件的应对措施，如今已不再是问题发生后才考虑应对方案，而是需要从系统设计阶段起就预先设想事件风险并进行风险评估，这一需求正日益凸显。希望本文能为制定切实可行的应对措施提供参考。

参考资料

• 欧洲议会和理事会2016年4月27日颁布的第(EU) 2016/679号条例（《通用数据保护条例》），该条例涉及个人数据的处理及与之相关的自然人保护，以及该数据的自由转移，并废止了第95/46/EC号指令。

• “隐私设计”的7项基本原则

• 关于在优先保障隐私的前提下推动负责任的创新及保护儿童的声明

• 关于注重隐私保护的年龄认证的声明

• 七国集团（G7）数据保护与隐私机构圆桌会议公报

• 执法追踪器

• 关于推进PIA工作的相关措施——PIA的意义及实施步骤中的注意事项——

• 加强合规性与一致性：欧洲数据保护委员会（EDPB）通过了数据保护影响评估（DPIA）模板

• 《通用数据保护条例》（GDPR）的适用

• 数据映射工具包