Data-Privacy-and-Big-Data-Compliance-Issues-and-Considerations_joa_Chi信息安全资料 .docxVIP

特写

WilliamEmmanuelYu，

Ph.D.、CISM、CRISC、

CISSP、CSSLP，现为Novare

Technologies公司的技术部高

级副总裁。Yu从事研发下一代

电信服务、附加值系统集成、

并与移动网路运营商和技术提

供商一同提供重点围绕固定网

路和移动网路融合(FMC)以及

企业移动应用系统的咨询项

目。他积极参与互联网工程、

移动平台和信息安全方面的研

数据隐私和大数据—合规问题和注意事项

究。他目前还任教于任菲律宾

马尼拉雅典耀大学和亚洲管理

研究所（菲律宾马尼拉）。

大数据1?狂潮如暴风般席卷了整个行业。随着具有成

本效益长期存储大量事务数据的技朮和解决方案不断

出现，越来越多的公司出手投资，使保存的数据量持

续增大，时间也不断延长。在大数据渐成趋势的背景

下，由相对于数据隐私的角度进行一番审视显得尤为

重要，这就需要回顾现存的数据隐私法规，在公认的

数据隐私框架内思考大数据。

大多数用户尚未意识到被各个实体保留用于各种

目的的个人数据量有多大。随着对数据隐私的争论

过去，由于昂贵的数据库中的空间可用性受限，需 意识加强，这种情况已经开始改变。增强大数据的

要花费大量精力挑选和组织数据，确保只能将有价值 普及性和加强数据隐私意识，这两种趋势已趋于紧

的数据长期保存下来。现在，这种观念已经发生了改 要关头，想通过大数据时代获利的企业应当对基本

变。随着大量新技术和新工具的涌现，公司开始在可

水平扩展的商用成品硬件中存储一切数据。大数据生

态体系的价值在于收集大量原始数据并弄清楚其意义

何在，进而将其转化为有用的信息。

另一方面，监管部门和社会上越来越关注企业如何

处理数据。在后斯诺登2?时代，数据隐私日益引发更大

的担忧。巨大的数据池是各种安全机构都忍不住要加

以监视的目标，更不必说各类商业实体都想对其进行

再利用。因此，要求完善数据隐私保护的愤慨和呐喊

此起彼伏，持续不断。

数据的最大来源是最终用户的个人资料和事务数

据。一家移动网络运营商(MNO)有可能保存着所有的移动电话位置更新(LU)3信息，这与仅保存电话呼叫和短信往来4信息的情况截然不同。一家互联网服务提供商(ISP)可以决定将用户访问过的所有网站记录保留更长时间（例如数年之久）。大多数ISP只是出于故障排查和缓存的目的将这些信息保留很短的时间

（?几小时）5。很多信息可以从事务数据中推测出来，

而这些信息恰恰是最终用户希望保密或不愿不加区别

地公开的。

的道德问题保持清醒的意识，并谨慎地加以对待。

就加强数据保护而言，可以从两个基本的方面寻求

指导：现行的法规条例（成文法规）和隐私保护框架

（隐性规则）。现行的法规条例构成了合规要求的基

础。其中的很多规则（如准许要求和目的声明）在大

数据世界中仍然有效。此外，还有很多隐性规则。这

些属于数据处理者和数据所有者之间形成的隐性期望

（如目的）。例如，当某人从移动应用程序商店下载

了一个单人电子游戏，他/她心里会存在一个合理预

期，即通讯录或电子邮件信息不会被数据处理着检索

和储存。

幸运的是，隐私保护框架可让此类隐性规则秩序

井然。

成文法规即便是在大数据时代到来之前，已有人围绕数据保护

和数据隐私开展过大量工作。数据处理组织必须遵守

2一些成文法规。自?0?世纪七八十年代计算机开始得到普及，个人数据存储量日益增长以来，个人隐私权保

2

护的需求意识也随之增强。

IISACA期刊2014年第3期 1

随着电子商务更加普遍地发展，属于不同数据隐私和保护机

( 1

( 1 1

(

?

O

H

O

O

O A

和保护法规之间的兼容性问题引发的担忧日盛。鉴于此，已有相

关行动以加强不同监管框架之间的兼容性和一致性。例如，欧

盟?EU)于?995?年?0?月颁布的《欧盟数据保护指令》（EUDataProtectionDirective，即95/46/EC号指令）6为妥善处理个人信息提供了一个基本框架。目前，欧盟已开始着手起草《通用数据保护

条例》(GeneralDataProtectionRegulation)以取代该指令。这

隐性规则数据保存的数量持续增长，保存时间不断延长，从而引发了数据隐私

提倡者更大的担忧。法规可能还尚未更新或无法跟上大数据时代的步

伐。所以，这种时候还是退而求其次，去审视一下针对数据保护和隐

私的隐性规则。对此，APEC?和?ECD?原则的交叉区域会是一个很好的着手点（表1）。

表1—关键隐私保护原则

将使欧盟全体成员国能够遵守同一套原则，并在执行方面协调一致。

许多国家，如马来西亚7、新加坡8?和菲律宾9?都先后在数据保护和

数据隐私方面制