面向软件开发者的“GDPR 指南”

对开发者来说，欧盟《GDPR》是一个令人头疼的问题。因为它并没有明确告诉开发者群体，需要怎么做才能保持应用程序合规。幸运的是，法国 CNIL 为此发布了一个详细指南。

CNIL，全称 Commission Nationale de l’Informatique et des Libertés，即法国国家信息与自由委员会。它是一个独立的行政机构，依据 2004 年 8 月修订的 1978 年《法国数据保护法》行使其职能。法国政府在 20 世纪 70 年代设立了一个 CNIL。作为一个独立的监察机构，CNIL 负责就具体措施提出建议，以保证任何信息技术的发展都将继续尊重个人隐私、个人权利和公共自由。

此后，该机构一直紧跟最新的行业发展，并与欧洲和国际同行密切合作，分析新技术对公民私人生活的影响。

相比 GDPR 指南，它的解决方案更具技术性，面向软件开发者而非更广泛的公众群体。

那么，这个指南包含哪些内容？

具体说来，它包含 16 个主题文件，涵盖了开发者项目中每个阶段的大部分需求，从项目准备到受众评估：

• 按照 GDPR 开发

• 识别个人数据

• 开发准备

• 保护开发环境

• 管理源代码

• 选择合适的架构

• 保护你的网站、应用程序和服务器

• 尽量减少数据收集

• 管理用户信息

• 控制使用的库和 SDK

• 保证代码质量和文档

• 测试应用程序

• 通知用户

• 为人民权利的行使做准备

• 定义数据保留期

• 在技术实施中考虑法律依据

• 使用网站和应用程序分析

在这个列表中，有几项非常突出，值得进一步细说。

识别个人数据

在识别个人数据中，有一些个人数据构成的示例，例如：

• 固定或移动电话号码、邮寄地址、电子邮件地址

• IP 地址、计算机连接标识和 cookie 标识

同时，它还提到了个人数据的匿名化和假名化以及两者之间的差别。

不过，在这一点上，需要注意的是，这些指导方针相对抽象，没有涉及技术细节。换句话说，这个指南没有向你展示如何实际匿名化数据；技术解决方案由开发者自己决定。

管理你的源代码

在管理源代码中，除了其它建议外，指南还要求你实现代码质量度量工具。

该工具要在代码提交后立即扫描代码，并通过将密钥和密码保存在单独的不会被提交的文件中，来保证它们独立于源代码库之外。

此外，还需要在发生应用程序错误时，检查环境变量是否被意外地写入日志或显示。

选择合适的架构

选择合适的架构，有一个大多数人没有考虑的被低估案例：

确保自己知道托管你代码的服务器的地理位置。你可能会被要求传输数据到欧盟（European Union，EU）和欧洲经济区（European Economic Area，EEA）之外。

虽然数据可以在欧盟/欧洲经济区内自由传输，但只要确保充分且适当的数据保护水平，就可以在欧盟/欧洲经济区以外进行传输。

CNIL 提供了一张地图，显示了世界各国不同程度的数据保护级别。

保护你的网站、应用程序和服务器

在保护你的网站、应用程序和服务器上，其说明更容易上手：

• 实现 TLS 版本 1.2 或 1.3

• 强制使用 TLS

• 限制通讯端口

• 不明文存放密码

• 测试系统上安装的加密套件并禁用过时套件

• 做备份，如果可能的话，加密并做定期检查

• 通过安排每周自动检查来立即安装关键更新

• 保护互联网可访问的数据库，尽可能限制访问（例如，通过 IP 过滤）

尽量减少数据收集

尽量减少数据收集反映了《GDPR》的核心价值：

在收集前，思考你想要收集的数据的不同类型，并尽量将收集限制在严格必要的范围内。

控制你使用的库和 SDK

控制你使用的库和 SDK。当今的应用程序需要处理上百个依赖才能运行，因此，开发者在评估添加的每个依赖以及选择维护的软件、库和 SDK 的价值时，应该更好地理解其中的依赖关系。

最后，在使用网站和应用程序分析时，这个建议直指当前最具争议的话题之一——cookies，告知用户关于 cookie 的信息并寻求用户的同意。但是，根据一些条件，用于受众评估/分析的 cookie 可免于同意。请记住：

“无论它们的配置如何，大部分大型受众评估产品都不属于豁免范围。”

综上所述，这个指南为合规奠定了正确的基础。它们将被自上而下地遵循，在技术性方面，它们应该作为接口体现，你必须为其提供具体实现。

附：

https://www.cnil.fr/en/gdpr-developers-guide