[為云上數據保駕護航，可信云《云服務商個人數據保護指南》即將發布]:當前，云計算服務面臨的風險日趨復雜多樣，數據安全問題日益凸顯，云服務商如何有效保護個人數據安全已成為政府、企業、個人和社會各界廣泛關注的熱點問題。近期Facebook因劍橋分析（Cambridge A...

當前，云計算服務面臨的風險日趨復雜多樣，數據安全問題日益凸顯，云服務商如何有效保護個人數據安全已成為政府、企業、個人和社會各界廣泛關注的熱點問題。

近期Facebook因劍橋分析（Cambridge Analytica）泄露用戶數據而面臨巨額罰款的事件，在全球范圍內引發了國際調查、政策調整以及企業反思的風暴。

目前在個人隱私保護問題非常尖銳的情況下，中國、新加坡、日本、歐盟等國均出臺了與個人數據保護相關的法律法規。，是云服務商出海面臨的共同問題。

基于對云服務市場的深刻理解，針對云服務商在個人數據保護上的“痛點”，在8月份即將召開的2018可信云大會上，中國信息通信研究院將發布《云服務商個人數據保護指南》，本《指南》編寫過程中得到多家企業支持，包括華為、京東、騰訊、百度、阿里、中國電信、微軟、世紀互聯、上海藍云、UCloud、中聯易云、迅達云等。該《指南》梳理了各國在個人數據保護方面的法律法規以及國內外的相關標準，為云服務商應對各國法律、保證合規性提出了有效建議。

據了解，《云服務商個人數據保護指南》梳理了中國、歐盟、新加坡、美國、加拿大、日本、，充分分析了各國在個人數據保護方面的特點和差異。

目前，我國在個人數據方面的立法仍處于發展階段，、《個人信息安全規范》等法律法規，主要是從數據處理合法、用戶權利、數據安全、事故披露、跨境傳輸等方面對數據保護提出了要求。

被外界譽為史上最嚴格的歐盟《一般數據保護條例》（GDPR），則明確對數據處理者責任進行要求，加強了對歐盟數據主體的權利保護，在數據向第三國傳輸、違規處罰、。

相比之下，美國采取以行業自律和市場調節機制為主的松散立法，對數據保護采取“長臂管轄”原則，擴大了執法部門對境外數據的權限，同時對于兒童信息數據、電子通訊數據等特殊數據進行了立法保護。

《云服務商個人數據保護指南》指出，雖然各國對個人數據保護的態度不同，，但無論嚴苛或寬松，大致可歸納為如下九項要求：

此外，《云服務商個人數據保護指南》還列舉了國內外數據保護方面的相關標準，如：中國國家標準化管理委員會發布的《個人信息安全規范》，公有云個人隱私數據保護方面的首個國際標準ISO/IEC 27018，歐洲云計算服務供應商聯盟 (CISPE )發布的《個人數據保護行為準則》等。

在云計算數據安全領域，中國信息通信研究院在“2017可信云大會”上發布了《云服務用戶數據保護能力參考框架》。該標準從用戶視角出發，，全面覆蓋數據安全事前防范、事中保護和事后追溯三個階段，使企業在達到“可信”的基礎之上，實現對“安全”的全面保障。

在數據處理層面，云服務商作為數據處理過程中的關鍵角色，與云用戶、第三方服務提供商的合作中均涉及數據處理規范性的問題。中國信息通信研究院已啟動云服務商數據處理協議相關標準的制定工作。《云服務商數據處理協議參考框架》將針對云服務過程中面臨的安全問題，規范云服務商與各方簽訂數據處理協議應包含的內容，幫助云服務商建立規范完備的數據處理體系。

《云服務商個人數據保護指南》提出，應明確不同場景下的數據主體。當數據主體為云用戶，數據由云服務商控制時，云服務商可以采取以下措施規范自身行為：

標準化的隱私協議。企業應根據相關法律法規，以易于訪問的方式公開隱私協議，協議內容應清晰易懂。

個人數據保護措施。企業可以從幾個方面著手，如：設置專職的數據保護人員、升級數據安全管理制度、提高工作人員數據保護意識、提高數據全生命周期的安全保護能力等。

規范第三方合作。企業在委托第三方處理個人信息時，不得超出個人信息主體授權同意的范圍，并依據相關法律法規要求第三方實施適當的技術和組織機制，并對第三方進行約束和監督。

第三方評估。云服務商可定期參加第三方關于個人信息或隱私保護的認證評估，如 ISO/IEC 27018：公有云個人隱私保護認證、CISPE個人數據保護行為準則認證等，通過第三方視角挖掘企業在個人數據保護領域的盲點，以規范企業行為，提高企業個人信息保護能力。

當數據由云用戶控制，云服務商僅負責處理數據時（如：電商企業將自己的網站部署于云上，用戶在網站上的登陸信息、購買信息等數據存在云上），云服務商可以采取以下措施規范自身行為：

標準化的數據處理協議。云服務商應與云用戶簽訂數據處理協議，規范云上數據的存儲和管理，保障云用戶的數據安全。

數據處理安全措施。例如：規定企業、第三方及相關人員的保密義務；安全漏洞的處置和通知；保證數據的網絡安全和物理安全；定期測試、評估等。

規范第三方合作。對于云服務商來說，企業在數據保護問題中涉及與云用戶、其他分包商等的協同合作。企業可以通過簽訂數據處理協議明確權責劃分，避免合作中因一方行為不當導致的連帶責任。

為用戶提供數據安全服務。云服務商與云用戶在數據保護中責任共擔，云服務商可以為云用戶提供數據安全產品或服務，為云用戶在數據生命周期內的合規提供保障。

第三方評估。企業可定期參與第三方關于數據處理安全及數據處理協議的認證評估，如：中國信息通信研究院《云服務用戶數據保護能力評估》等。行業第三方權威認證為云服務商保障用戶數據安全提供指導，幫助其規避相關風險。

達到個人數據保護的合規標準，涉及的內部流程和技術手段很多，對于很多云服務商來說，都不是短期之內能夠完成的事情。可信云《云服務商個人數據保護指南》對云服務商應具備的個人數據保護能力做出了全面的論述，也將推動云服務商將保護個人數據的行動切實納入日程。