- 1、本文档共56页,可阅读全部内容。
- 2、原创力文档(book118)网站文档一经付费(服务费),不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
- 3、本站所有内容均由合作方或网友上传,本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺!文档内容仅供研究参考,付费前请自行鉴别。如您付费,意味着您自己接受本站规则且自行承担风险,本站不退款、不进行额外附加服务;查看《如何避免下载的几个坑》。如果您已付费下载过本站文档,您可以点击 这里二次下载。
- 4、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“版权申诉”(推荐),也可以打举报电话:400-050-0827(电话支持时间:9:00-18:30)。
GB/ZXXXXX—XXXX/ISO/TR31700-2
1
产品和服务设计中的消费者隐私保护第2部分:应用案例
1范围
本文件规定了如何使用ISO31700-1建议,并说明了ISO31700-1应用的案例。本文件适用于参与开发、实施和运营数字化消费品及服务的工程师和从业人员等。
2规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中,标注日期的引用文件,仅该日期对应的版本适用于本文件。不标注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。
ISO31700-1产品和服务设计中的消费者隐私保护第1部分:高阶要求
3术语和定义
下列术语和定义适用于本文件。
ISO和IEC在以下地址维护用于标准化的术语数据库:
——ISO在线浏览平台:可在/obp获得;——IEC电子百科:可在/获得。
3.1
隐私设计privacybydesign
在涉及个人身份信息的产品或服务的初始设计阶段和整个生命周期中应考虑隐私的设计方法,包括考虑产品废弃和删除任何相关的个人身份信息。
注:生命周期还包括更新改造期间。
[来源:ISO31700-1:2023,3.5]3.2
应用案例usecase
描述消费者和消费品之间的相互关系,用于帮助识别、梳理和满足需求以支持特定的业务目标。
注1:消费者可以是系统的用户和工程师。
注2:本文件中涉及的系统是消费品或服务。
[来源:ISO31700-1:2023,3.22,有修改]4缩略语
下列缩略语适用于本文件。
GB/ZXXXXX—XXXX/ISO/TR31700-2
2
NIST:美国国家标准技术研究所PII:个人身份信息
5基本要求
5.1ISO31700-1标准要求
ISO31700-1规定的具体要求如下(见表1):——通则;
——消费者沟通要求;——风险管理要求;
——开发、部署和操作设计的隐私控制;——个人身份信息生命周期结束要求。
表1ISO31700-1标准要求
类别
章节编号和要求
通则
4.2设计消费者行使隐私权的功能
4.3开发确定消费者隐私偏好的功能
4.4为隐私设计人机界面
4.5分配相关角色和权限
4.6建立多功能职责
4.7培养隐私知识、技能和能力
4.8确保了解隐私控制
4.9文件化信息管理
消费者沟通要求
5.2.提供隐私信息
5.3提供隐私信息的责任
5.4回应消费者询问和投诉
5.5与不同消费者群体进行沟通
5.6数据泄露沟通
风险管理要求
6.2进行隐私风险评估
6.3评估第三方的隐私能力
6.4制定与记录隐私控制要求
6.5监测和更新风险评估
6.6将隐私风险纳入网络安全弹性设计
开发、部署和操作设计的隐私控制
7.2将隐私控制的设计和操作应用到产品开发和管理生命周期中
7.3设计隐私控制
7.4实施隐私控制
7.5设计隐私控制测试
3
7.6管理隐私控制的过渡
7.7管理隐私控制的运行
7.8准备和管理隐私泄露
7.9在个人身份信息生命周期中为所依赖的流程和产品操作实施隐私控制
个人身份信息
生命周期结束要求
8.2设计退出和终止使用的隐私控制
5.2相关概念
本文件5.1中各项要求可与以下属性相关联:——生命周期流程,见表2;
——隐私保护目标,见表3;——NIST隐私框架,见表4;
——NIST隐私工程目标,见表5。由此产生的关联结果见表6。
表2生命周期流程
组织政策
组织为定义和维护与隐私相关的政策而开展的活动
产品设计与开发
组织为设计和开发消费品或服务而开展的活动
产品用途
组织在使用消费品或服务时为管理隐私而开展的活动
表3隐私保护目标
不可链接性
确保个人身份信息主体可多次使用资源或服务且其他主体无法将其相关联
透明性
确保所有与隐私相关的数据处理,包括法律、技术和组织设置,都能被理解和重建
可干涉性
确保个人信息主体、控制者、处理者及监管机构均可干预所有与隐私相关的数据处理
表4NIST隐私框架
识别-P
培养组织对数据管理过程中个人隐私风险的理解
管理-P
制定和实施组织治理结构,以便持续了解由隐私风险提供的组织风险管理优先级
控制-P
制定和实施适当的活动,使组织或个人能够以足够的颗粒度管理数据,从而管理隐私风险
沟通-P
制定和实施适当的活动,使组织或个人能够对数据处理方式和相关隐私风险有可靠的理解并参与对话
保护-P
制定和实施适当的数据处理保障措施
表5NIST隐私工程目标
可预测性
个人、所有者和操作人员能够对数据及其系统、
您可能关注的文档
- 0-3岁婴幼儿居家照护服务规范 编制说明.docx
- 0-3岁婴幼儿居家照护服务规范 编制说明.pdf
- 测量材料振动阻尼特性的标准方法 编制说明.docx
- 测量材料振动阻尼特性的标准方法 编制说明.pdf
- 产品和服务设计中的消费者隐私保护 第2部分:应用案例 编制说明.docx
- 产品和服务设计中的消费者隐私保护 第2部分:应用案例 编制说明.pdf
- 电声学 助听器 第16部分:助听器功能的定义和验证 编制说明.docx
- 电声学 助听器 第16部分:助听器功能的定义和验证 编制说明.pdf
- 电声学 助听器 第16部分:助听器功能的定义和验证 征求意见稿.docx
- 电声学 助听器 第16部分:助听器功能的定义和验证 征求意见稿.pdf
文档评论(0)