首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往

面向软件开发者的“GDPR指南”

对开发者来说,欧盟《GDPR》是一个令人头疼的问题。因为它并没有明确告诉开发者群体,需要怎么做才能保持应用程序合规。幸运的是,法国CNIL为此发布了一个详细指南。

CNIL,全称Commission Nationale de l’Informatique et des Libertés,即法国国家信息与自由委员会。它是一个独立的行政机构,依据2004年8月修订的1978年《法国数据保护法》行使其职能。法国政府在20世纪70年代设立了一个CNIL。作为一个独立的监察机构,CNIL负责就具体措施提出建议,以保证任何信息技术的发展都将继续尊重个人隐私、个人权利和公共自由。

此后,该机构一直紧跟最新的行业发展,并与欧洲和国际同行密切合作,分析新技术对公民私人生活的影响。

相比GDPR指南,它的解决方案更具技术性,面向软件开发者而非更广泛的公众群体。

那么,这个指南包含哪些内容?

具体说来,它包含16个主题文件,涵盖了开发者项目中每个阶段的大部分需求,从项目准备到受众评估:

  • 按照GDPR开发
  • 识别个人数据
  • 开发准备
  • 保护开发环境
  • 管理源代码
  • 选择合适的架构
  • 保护你的网站、应用程序和服务器
  • 尽量减少数据收集
  • 管理用户信息
  • 控制使用的库和SDK
  • 保证代码质量和文档
  • 测试应用程序
  • 通知用户
  • 为人民权利的行使做准备
  • 定义数据保留期
  • 在技术实施中考虑法律依据
  • 使用网站和应用程序分析

在这个列表中,有几项非常突出,值得进一步细说。

识别个人数据

在识别个人数据中,有一些个人数据构成的示例,例如:

  • 固定或移动电话号码、邮寄地址、电子邮件地址
  • IP地址、计算机连接标识和cookie标识

同时,它还提到了个人数据的匿名化和假名化以及两者之间的差别。

不过,在这一点上,需要注意的是,这些指导方针相对抽象,没有涉及技术细节。换句话说,这个指南没有向你展示如何实际匿名化数据;技术解决方案由开发者自己决定。

管理你的源代码

在管理源代码中,除了其它建议外,指南还要求你实现代码质量度量工具。

该工具要在代码提交后立即扫描代码,并通过将密钥和密码保存在单独的不会被提交的文件中,来保证它们独立于源代码库之外。

此外,还需要在发生应用程序错误时,检查环境变量是否被意外地写入日志或显示。

选择合适的架构

选择合适的架构,有一个大多数人没有考虑的被低估案例:

确保自己知道托管你代码的服务器的地理位置。你可能会被要求传输数据到欧盟(European Union,EU)和欧洲经济区(European Economic Area,EEA)之外。

虽然数据可以在欧盟/欧洲经济区内自由传输,但只要确保充分且适当的数据保护水平,就可以在欧盟/欧洲经济区以外进行传输。

CNIL提供了一张地图,显示了世界各国不同程度的数据保护级别。

保护你的网站、应用程序和服务器

在保护你的网站、应用程序和服务器上,其说明更容易上手:

  • 实现TLS版本1.2 或 1.3
  • 强制使用TLS
  • 限制通讯端口
  • 不明文存放密码
  • 测试系统上安装的加密套件并禁用过时套件
  • 做备份,如果可能的话,加密并做定期检查
  • 通过安排每周自动检查来立即安装关键更新
  • 保护互联网可访问的数据库,尽可能限制访问(例如,通过IP过滤)

尽量减少数据收集

尽量减少数据收集反映了《GDPR》的核心价值:

在收集前,思考你想要收集的数据的不同类型,并尽量将收集限制在严格必要的范围内。

控制你使用的库和SDK

控制你使用的库和SDK。当今的应用程序需要处理上百个依赖才能运行,因此,开发者在评估添加的每个依赖以及选择维护的软件、库和SDK的价值时,应该更好地理解其中的依赖关系。

最后,在使用网站和应用程序分析时,这个建议直指当前最具争议的话题之一——cookies,告知用户关于cookie的信息并寻求用户的同意。但是,根据一些条件,用于受众评估/分析的cookie可免于同意。请记住:

“无论它们的配置如何,大部分大型受众评估产品都不属于豁免范围。”

综上所述,这个指南为合规奠定了正确的基础。它们将被自上而下地遵循,在技术性方面,它们应该作为接口体现,你必须为其提供具体实现。

附:

https://www.cnil.fr/en/gdpr-developers-guide

  • 发表于:
  • 本文为 InfoQ 中文站特供稿件
  • 首发地址https://www.infoq.cn/article/z0KpXWrmRIthQpgoFMAd
  • 如有侵权,请联系 cloudcommunity@tencent.com 删除。

扫码

添加站长 进交流群

领取专属 10元无门槛券

私享最新 技术干货

扫码加入开发者社群
领券