华为云智利共和国 PDPL 遵从性指南

文档版本1.2发布日期2023-12-26 版权所有©华为技术有限公司2023。保留一切权利。 非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。 商标声明 和其他华为商标均为华为技术有限公司的商标。本文档提及的其他所有商标或注册商标，由各自的所有人拥有。 注意 您购买的产品、服务或特性等应受华为公司商业合同和条款的约束，本文档中描述的全部或部分产品、服务或特性可能不在您的购买或使用范围之内。除非合同另有约定，华为公司对本文档内容不做任何明示或暗示的声明或保证。 由于产品版本升级或其他原因，本文档内容会不定期进行更新。除非另有约定，本文档仅作为使用指导，本文档中的所有陈述、信息和建议不构成任何明示或暗示的担保。 华为技术有限公司 地址：深圳市龙岗区坂田华为总部办公楼邮编：518129网址：https://www.huawei.com客户服务邮箱：support@huawei.com客户服务电话：4008302118 安全声明 漏洞声明 华为公司对产品漏洞管理的规定以“漏洞处理流程”为准，该政策可参考华为公司官方网站的网址：https://www.huawei.com/cn/psirt/vul-response-process。 如 企 业 客 户 须 获 取 漏 洞 信 息 ， 请 访 问 ：https://securitybulletin.huawei.com/enterprise/cn/security-advisory。 目录 1.1适用范围.....................................................................................................................................................................11.2发布目的.....................................................................................................................................................................11.3基本定义.....................................................................................................................................................................1 3.1立法背景介绍.............................................................................................................................................................53.2华为云在PDPL下的角色..........................................................................................................................................5 4华为云如何满足智利PDPL..........................................................................................................6 4.1华为云隐私承诺.........................................................................................................................................................64.2华为云隐私保护基本原则.........................................................................................................................................64.3华为云遵从智利PDPL的措施..................................................................................................................................7 5华为云如何协助客户满足智利PDPL........................................................................................19 5.1客户的隐私保护责任和义务...................................................................................................................................195.2华为云的产品和服务如何助力客户实现内容数据的隐私安全............................................................................24 8版本历史........................................................................................................................................33 1.1适用范围 本文档提供的信息适用于华为云在智利共和国（以下简称“智利”）开放的产品和服务。 1.2发布目的 本文档旨在帮助客户了解： ⚫华为云隐私保护责任模型；⚫智利隐私相关法律法规；⚫基于责任模型，华为云自身关于智利隐私法律法规的遵循性；⚫华为云在隐私管理上已实现的控制和成效；⚫如何利用华为云的安全产品或服务实现对智利隐私相关的法律法规的遵从 1.3基本定义 ⚫个人数据 与已识别或可识别的自然人有关的任何信息。任何可以直接或间接确定其身份的人，特别是通过一个或多个标识符，如姓名、身份证号码、对其身体、生理、遗传、心理、经济、文化或社会身份要素的分析，除与识别努力不相称的情况外，应被视为可识别。 ⚫敏感个人数据 仅显示民族或种族血统、政治派别或工会的隶属关系、个人习惯、思想或哲学信念、宗教信仰的数据，与健康数据、人类生物特征、生物识别数据以及与自然人的性生活、性取向和性别认同有关的信息。 ⚫数据控制者 任何决定处理个人数据的目的和方式的自然人或法人，无论其是公有的或私有的，无论个人数据是由其直接处理还是通过第三方代理或处理者处理。 ⚫第三方代理或处理者 代表数据控制者处理个人数据的自然人或法人。 ⚫数据主体 与个人数据有关或个人数据所指向的已识别或可识别的自然人。 ⚫数据处理 以任意方式收集、处理、存储、通信、传输或使用个人数据或个人数据集的任何操作或一组操作或技术程序，无论其是否自动化。 ⚫同意 任何自由、具体、明确和知情的意愿表达，数据主体、其法定代理人或受托人（视具体情况确定），通过这种方式授权处理有关他的个人数据。 ⚫个人数据的转移 数据控制者将个人数据转移给另一个数据控制者。 ⚫华为云 华为云是华为的云服务品牌，致力于提供稳定可靠、安全可信、可持续创新的云服务。 ⚫客户 指与华为云达成商业关系的注册用户。 ⚫账户信息 指客户在创建或管理其华为云账户时向华为云提供的个人数据，例如客户的姓名、电话号码、电子邮件地址、银行账户信息和账单信息等。对于账户信息中的个人数据，华为云是数据控制者。 ⚫内容数据 指客户使用华为云服务过程中存储或处理的内容，包括但不限于数据、文件、软件、图像、音频、视频等类型的数据。 2云服务的隐私保护责任界定 在复杂的云服务业务模式中，隐私保护不再是某一方单一的责任，需要租户与华为云共同努力。基于此，华为云为帮助租户理解双方的隐私保护责任边界、避免出现隐私保护真空区而提出了责任共担模型。在模型中租户与华为云具体负责的区域可参见下图。 基于责任共担模型，华为云与租户主要承担如下的隐私保护责任： 华为云：作为云产品、云服务提供商（Cloud Service Provider，简称CSP），一方面负责自身运营过程中收集和处理的租户个人数据的安全与合规，另一方面负责为租户提供安全、合规的云服务相关的基础设施、云平台以及软件应用，也就是负责平台安全。 ⚫租户隐私保护：华为云识别并保护租户的个人数据。从公司政策、流程、操作层面制定了隐私保护策略，并采取匿名化、数据加密、系统及平台安全防护等措施，全面保护租户个人数据的安全。 ⚫平台安全及租户安全支持：华为云负责在云服务中涉及到的基础平台及设施的安全与合规，并确保华为云的应用安全、平台安全水平遵从适用的隐私保护法规的要求。同时华为云为租户提供多种隐私保护技术及服务，包括访问控制和身份认证、数据加密、日志和审计等功能，帮助租户根据业务需求进行隐私保护。 租户：作为云产品、云服务的购买方，将决定如何使用相关产品或服务，也决定如何利用云产品或服务存储和处理内容数据，包括其中可能的个人数据，因此租户负责内容数据的安全与合规，也就是负责内容安全。 ⚫内容数据保护：租户应正确、全面地识别云端的个人数据，制定可保护个人数据的安全及隐私的策略并选择恰当的隐私保护措施。具体措施包括根据业务和隐私保护的需求进行安全配置工作，例如操作系统配置、网络设置、安全防护、数据库加密策略等，设置恰当的访问控制策略和密码策略。⚫数据主体权利响应：租户应保障数据主体的权利，响应数据主体的请求，当发生个人数据泄露事件时，应遵循法规要求采取恰当的行动，例如通知监管部门、通知数据主体、采取缓解措施等。 3智利个人数据保护法PDPL概述 3.1立法背景介绍 在1999年，智利颁布了《关于保护私人生活的第19,628号法律》（Law 19,628 On theProtection of Private Life, PDPL），其是智利目前保护个人数据的最重要的法律依据，也是拉丁美洲范围内第一部个人数据保护法。但是，智利PDPL未能得到有效实践。在成为经济合作与发展组织（OECD）成员国家后，为更好地发展数字经济，智利对PDPL进行了多次修订。其中，智利在2017年3月25日颁布的第11,144-07号法案对PDPL的修订最为全面。该法案对数据控制者的义务、个人数据跨境传输等问题做出了详细规定，其旨在通过对智利PDPL进行修订，使智利对个人数据的保护达到国际水准。不过，目前第11,144-07号法案尚未生效，仍处于审议之中。为全面呈现华为云对与智利PDPL的遵从性，本文档适用于发布之日现行有效的智利PDPL以及尚未生效的修订后的智利PDPL，且可能根据适用的法律法规予以相应调整。 3.2华为云在PDPL下的角色 华为云处理的个人数据主要包括客户内容数据中的个人数据和客户在使用华为云进行包括但不限于注册、购买服务、实名认证、服务支持等操作时提供的个人数据。客户有内容数据的控制权，在处理内容数据中的个人数据时，华为云一般作为处理者。在处理客户创建或管理华为云帐号提供的个人数据时，华为云作为数