2022年12月28日，由中国信息通信研究院、中国通信标准化协会指导，隐私计算联盟、中国通信标准化协会大数据技术标准推进委员会联合主办的2022可信隐私计算峰会在京召开。会上，隐私计算联盟发布了《隐私计算技术应用合规指南（2022年）》，中国信通院云计算与大数据研究所工程师王丹阳进行了解读。
以下为发布实录
近年来，隐私计算技术发展火热，并在诸多领域逐渐落地应用。应用越来越普遍，随之而来的是行业对于隐私计算合规的关注，如《中华人民共和国个人信息保护法》（以下简称《个保法》）对于隐私计算技术应用有哪些影响，隐私计算技术有哪些合规价值等等。在此背景下，隐私计算联盟组织相关成员单位编写了《隐私计算技术应用合规指南》（以下简称《合规指南》），尝试在我国现有立法框架下，对隐私计算技术应用的合规问题进行梳理和探讨，对隐私计算技术面临的合规挑战进行分析，并提出一些合规要点，希望对现阶段的隐私计算技术应用提供一些合规指引和参考、为未来行业的规范和立法的完善提供一些思路。
隐私计算技术合规热议的产生存在多种原因。首先，隐私计算本身涉及多方角色，多主体参与导致其法律关系相对复杂。第二，隐私计算应用包含一系列的数据处理行为，适用我国的数据合规相关法律法规，但目前我国数据合规法律体系尚不完善，企业相关实践经验不足，可供参考的案例较少，导致企业在应用过程中常遇到一些实践方面的难题和困惑。第三，我国在立法和监管层面没有明确对隐私计算技术的合规价值进行背书，这一点和欧盟有所区别。最后，隐私计算技术的合规分析涉及技术和法律知识的跨领域融合，不同领域对于相同问题的理解和认知比较容易产生偏差。
在此我们主要挑选三个具有代表性热议问题来讨论。
首先是授权同意问题。隐私计算技术无法解决授权同意问题。如果使用隐私计算技术处理个人信息，则属于个人信息处理行为，根据《个保法》的规定，除非满足例外情形，否则均需要取得个人同意。而个人信息是否出域并不是判断是否需要取得同意的标准。
第二是匿名化问题。隐私计算可以在很大程度上保护个人信息的安全，但无法达到《个保法》中定义的匿名化。因为《个保法》对于匿名化的定义是比较绝对的，目前没有哪种技术可以完全达到匿名化的效果；即使处理后的数据能够被重新识别或复原的概率很低，也不符合匿名化的要求。隐私计算能达到的效果更贴近《个保法》中定义的去标识化。但去标识化之后的数据仍属于个人信息，对其后续的处理和使用仍应当遵守《个保法》的要求。
第三是目的限制问题。《个保法》第六条对个人信息处理者提出了两点要求：一是不得超出实现目的的最小范围过度收集个人信息，二是处理目的应当明确合理且处理行为与处理目的直接相关。隐私计算技术可以帮助满足第一点要求，但第二点要求无法单独通过隐私计算技术实现，需要数据处理者结合具体的应用场景判断决定。
隐私计算技术的合规价值之一是可以帮助遵守《个保法》规定的最小必要原则。但我们认为它更重要的合规价值在于能够提升数据处理的安全性并减少数据滥用。隐私计算本身并不是帮助履行《个保法》义务的合规工具，其在提升数据处理安全性方面的优势不应当被忽视。授权同意、匿名化等相关问题并无法单凭某一项技术彻底解决，而是需要未来从立法、司法、监管和实践层面探索和解决。如果我们把对隐私计算合规价值的关注点放在帮助提升数据处理安全性方面，相信能够更加凸显隐私计算技术的优势。
隐私计算技术应用的合规分析可以参考以下思路。第一，判断数据类型，即判断隐私计算技术处理的数据中是否包含有特殊规定的数据类型，如个人信息、重要数据等；第二，判断适用法律，在判断数据类型的基础上定位具体需要遵守的法律法规；第三，判断法律关系，结合各方之间的约定、各方扮演的角色及其处理数据的具体行为，判断各方之间属于何种法律关系，进而确定应当遵守哪些合规义务。
对于法律适用，我国目前没有专门针对隐私计算技术进行立法，但因其包含一系列的数据处理行为，相应地就应当适用数据处理相关法律法规，主要包括：《中华人民共和国民法典》《中华人民共和国刑法》等综合立法及司法解释，《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等关于数据合规的专门规定，《信息安全技术 个人信息安全规范》等国家标准和行业标准，以及金融等特殊监管行业的特别要求。对于法律关系，根据各方承担的角色和具体约定，参与方之间可能会构成共同处理、委托处理、向其他个人信息处理者提供个人信息等法律关系。
在《合规指南》里，我们暂将隐私计算的参与方划分为数据提供方、技术提供方和结果使用方三类主体，在我国现有的法律框架下，针对不同主体列举了一些数据合规的核心要点，如数据源合规、处理目的合规、安全合规等等（具体细项和要求请参见《合规指南》）。需要注意的是，数据合规问题需要结合应用场景进行具体问题具体分析。在有些场景中，三类主体之间的角色会存在一些重合，导致部分合规要点不再属于评估合规风险的重点。另外，我国在数据合规领域的立法和监管要求还在不断更新，因此建议企业定期跟进立法和监管的最新动态，随时调整对于隐私计算技术应用的合规风险评估工作。
对于隐私计算技术的合规展望，有以下几点和大家分享。首先，要加强对隐私计算技术的宣贯，帮助各方正确认识隐私计算的技术特点和优势，以发挥隐私计算的最大合规价值。第二，加强技术和法律之间的交流和碰撞。让法律专家能够更好的理解技术方面的操作和处理行为对应哪类法律行为、属于哪种法律关系，也让技术专家知悉法律的规定落实到具体的操作上应当如何实现。只有让两个领域互相了解，才能够更加精准地判断合规风险，促进合规应用。此外，合规的存在不是为了阻碍商业的发展，企业如果能够更加安全的处理数据，也是其具备更强商业竞争力的体现。因此，提升数据处理安全性不仅是合规要求，也是商业需求，如果从更宏观的角度来看，提升数据处理的安全性还是数据流通的需求。因此，在关注隐私计算的合规价值之外，也希望大家能够从更宏观的角度全面客观的评价隐私计算技术，让隐私计算技术在其擅长的领域大放异彩。
最后，十分感谢参与撰写《合规指南》的各参编单位和专家为报告的撰写提供了详实的资料和权威的观点。希望未来能有更多的企业关注隐私计算合规，加入我们的讨论，和我们一起碰撞出更多新观点。
《合规指南》联系人：
王丹阳，wangdanyang@caict.ac.cn
下载指南：
链接：https://pan.baidu.com/s/1tT4UXi5rMjqcHwZ2OXT_mQ?pwd=oyjx
提取码：oyjx
声明：本文来自隐私计算联盟，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
