大话隐私保护

1. 写在前面

由于东西方在政治、历史、文化方面的差异，隐私保护与数据安全这一领域在东西方的侧重点大不一样。

在西方，一般称为Privacy & Data Protection，直译过来就是隐私与数据保护。然而，西方国家把重点放在了个人隐私保护上面，几乎85%以上的内容都是跟Privacy直接相关的。比如《通用数据保护条例》，俗称GDPR，通篇都是讨论个人数据与隐私保护。

在中国，隐私和数据保护可能有一些重叠，但是各有侧重点。从国家和监管部门的角度来看，重点是关注国家安全，公共服务，最后才是个人隐私。比如《数据安全法》、《汽车数据安全管理若干规定》，重点放在了维护国家与社会安全，而《个人信息保护法》的侧重点放在了自然人的隐私数据保护。 本文中，博主只讲个人隐私保护，但是由于一些理念或者术语来源于国外，有时候也会称作数据保护或者数据安全。

最重要的，本文主要是以GDPR以及欧盟数据保护委员会（EDPB）的相关指南为主进行了阐述，对于国内的《个人信息保护法》会在需要的地方做一些简单对比。

2. 教育分类学标准目标

根据bloom教育分类学标准，通过本文，博主将带领读者达到该领域的BLOOM-2等级，即对相关内容达到理解级别。

3. 关于《通用数据保护条例》（GDPR）

3.1 GDPR的前生今世

3.1.1 GDPR的历史

“隐私权”一词，最初是由沃伦和布兰蒂斯在1890年提出来的。19世纪后期，正是美国工业蓬勃发展的时代，劳工们每天固定时间上下班，生活十分死板乏味，生活上的调剂只能依赖报纸上的各种讯息。一般人对上流社会生活充满好奇，而报纸对名人私生活的介绍，适时的满足了社会大众的幻想。报纸为了迎合大众的口味，大量报导各种犯罪、丑闻跟名人的私生活，这种情形或多或少与今日的「狗仔队」类似。 这在美国叫做Yellow Journalism。

正是在那个时候，沃伦的妻子在家举行了社交派对，她是州议员的女儿，并且沃伦家族事业庞大，算得上是名流家庭，波士顿当地的星期六晚报报导了她在宴会中一些令人尴尬的私人细节。沃伦因为不满当地报纸对他家庭生活的报导，找到了布兰蒂斯一起写了一篇题目为《隐私权》的文章，并发表在1890年12月15日的《哈佛法学评论》（第四期），这是“隐私权”在人类历史上首次被提出。

沃伦和布兰蒂斯的《隐私权》最终成为了1948年联合国《世界人权宣言》第12条的基础（第12条：任何人的隐私、家庭、住宅、通信不得收到随意干扰，其荣誉和名誉也不容侵犯。）。1950年11月，欧洲理事会在罗马签署了《欧洲人权公约》，并与1953年9月生效，这是第一个区域性的国际人权条约（第8条：人人有权享有使自己的私人和家庭生活、家庭和通信得到尊重的权利。）。1980年，经济合作与发展组织首次提出“隐私保护和个人数据自由国际流动”的相关法规————《隐私保护和个人数据跨国界流动指引》，并在1981年借由《自动处理个人数据方面的个人保护公约》正式确立，史称《斯特拉斯堡条约》。

随着国际贸易和数据保护需求的日益增长，统一欧洲的隐私法律的需求日益强烈，在1995年，欧盟《数据保护指令95/46/EC》应运而生，简称“隐私指令”或者“95指令”。2002年12月欧盟颁布了《欧盟基本权利宪章》，明确指出保护隐私和保护个人数据是一项基本权利。这个时候，欧盟成员国的相关法令与条例基本都是源于95号指令，但是仍然存在相当的差异，经过多年讨论，《通用数据保护条例（GDPR）》(EU)2016/679于2016年颁布，并在2018年废除95号指令，正式实施。

2021年8月20日，十三届全国人大常委会第三十次会议表决通过《中华人民共和国个人信息保护法》，并于自2021年11月1日起施行。

3.1.2 GDPR与95指令的关系

接下来，我们捋一下95指令（95/46/EC）和GDPR（EU 2016/679）之间的关系。首先，95指令是欧盟个人数据保护的最低标准；其次，95指令本身不是法律，各欧盟成员国需要将95指令的要求和内容落实到本国自己的个人数据保护相关的法律当中去。但是GDPR不一样，GDPR本身就是具有约束力的法律，凌驾于各成员国个人数据保护相关的法律之上；另外，GDPR取代了原来的95指令。

3.1.3 欧盟与欧洲经济区的关系

这一节的最后，我们来解释一下欧盟（EU）与欧洲经济区（EEA）之间的关系。欧盟是欧洲联盟的简称，是由欧共体发展而来的，英国脱欧之后，欧盟现有成员国27个。欧洲经济区除了欧盟成员国之外，还包括列支敦士登、冰岛、挪威三个国家。下图展示了EU和EEA之间的关系。

眼尖的读者可能发现了，上图中除了深蓝色的代表EU以及绿色的列支敦士登、冰岛、挪威之外，中间还有一块被包围的灰色区域，既不是欧盟也不是欧洲经济区。这是瑞士，当年瑞士公民在公投中否决加入欧洲经济区。后来，瑞士通过“瑞士-欧盟双边协议”参与欧洲单一市场。

3.2 GDPR的目的

大家通常会讲，GDPR的目的是用来保护个人隐私数据，防止个人隐私受到非法的侵犯。其实这个说法不够完善。GDPR还有一个很重要的目的，那就是通过促进数据在欧盟的自由流动来减少商业壁垒。

3.3 GDPR的适用范围

GDPR针对适用范围，有两个原则：Establishment（设立原则）和Targeting（针对性原则）。

对于Establishment，主要有三个方面受到GDPR的约束。个人数据的控制者/处理者在EEA内成立；个人数据的控制者/处理者不在EEA成立，但是在EEA有分支机构；在EEA注册的船舶，不论船舶的实际位置在哪里（详见EDPB Guidelines 3/2018）。

对于Targeing，主要是用来处理数据的控制者/处理者在不符合Establishment的三种类型的情况。这时，有两个方面受到GDPR的约束：向EEA境内的数据主体提供商品或者服务，不论是否收费；另外，对EEA境内的数据主体的行为进行监控。

下图列出了常见的对数据主体监控的行为。

3.4 判断是否受GDPR约束的基本准则

其实谈不上什么准则，主要还是依据上述3.3章节中的适用范围进行评判。如下图，将上述3.3章节的适用范围总结为如下所示的流程图。

首先，确认企业是否在EEA。如果是，处理个人数据时受GDPR约束。
其次，如果企业不在EEA，则确认涉及的数据主体是否居住在EEA。如果是，进入下一步。
第三，如果数据主体不是居住在EEA，则确认数据主体是否在EEA旅行。如果是，进入下一步；如果数据主体不是在EEA旅行，则对个人数据的处理不受GDPR约束。
第四，如果数据主体居住在EEA或者在EEA旅行，则确认处理个人数据跟提供的产品和服务是否有关。如果处理的个人数据跟提供产品和服务有关系，则受GDPR约束；否则，进入下一步。
第五，当处理跟人数据跟产品和服务无关时，则确认是否跟对数据主体的监控/检测有关。如果不是，对个人数据的处理不受GDPR约束；否则，受到GDPR的约束。读者从下面EDPB的官网可以获取到关于这方面的英文原版材料：https://edpb.europa.eu/our-work-tools/general-guidance/guidelines-recommendations-best-practices_en。

3.5 GDPR与个保法中的基本概念

3.5.1 关于自然人的阐述

总体上而言，对于自然人的定义，GDPR与个保法基本上保持一致，指的是能够承担义务并拥有权力的人类。

这里有一个例外情况，那就是对于逝者的个人数据与隐私。GDPR的鉴于条款（Whereas）第27条规定：GDPR不适用于逝者的个人数据，成员国可以提供有关处理逝者个人数据的相关规则。 与之相比，个保法中第四十九条的规定显得更加严谨：自然人死亡的，其近亲属为了自身的合法、正当利益，可以对死者的相关个人信息行使本章规定的查阅、复制、更正、删除等权利；死者生前另有安排的除外。

3.5.2 关于个人数据的定义

在GDPR中，“个人数据”是指与已识别或者可识别的自然人有关的任何信息。GDPR中的个人数据大致划分为了以下三种类型的个人数据。

直接个人数据
直接个人数据是无需额外信息就可以直接指向特定数据主体的数据。例如，数据主体的照片、DNA、指纹。此外，如果某个人的姓名非常特殊，那么它可以是直接的个人数据；但是大多数情况下姓名不具有唯一性，不作为直接个人数据处理。最后，一个独特的头衔也是判定一个人的直接参考，即直接个人数据，如“现任美国总统”。

间接个人数据
间接个人数据是可以或可能在将来使用附加信息关联到特定数据主体的数据。例如，汽车的车牌、社保账户等。只要理论上可关联到个人就是个人数据。

特殊类别个人数据
另外GDPR还识别了一些值得特别关注的人数数据，统称为特殊类别个人数据，主要包括：揭示种族或民族血统的数据、揭示政治观点的数据、揭示宗教或哲学信仰的数据、揭示工会会员身份的数据、基因数据、为唯一识别自然人而处理的生物特征数据、关于健康的数据、关于自然人性生活或性取向的数据，等等。

在GDPR中，关于个人数据有两种例外情况。首先，关于一个人的谎言或者错误的数据，也算个人数据；另外，有些个人数据是被公开的，或者数据主体公开承认的，这种不算个人数据，例如：库克出柜、拜登是民主党派，尽管这些数据都属于特殊类别的。

在个人信息保护法中第四条规定：个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。 另外，在人信息保护法的第28条也特别规定了“敏感个人信息”： 第二十八条：敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份（草案中没有）、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。

3.5.3 假名化、匿名化、去标识化

假名化 pseudonymization
假名化是将信息主体的直接标识或者敏感标识替换掉的一种方法。假名化为每一个信息主体创建唯一的标识符，以取代信息主题原来的直接标识或者敏感标识。总体来说，假名化的根本目的是取代信息主体原来的直接标识或者敏感数据，是在不借助额外信息的情况下无法识别数据主体。 （参照《个人信息去标识化指南》）

Pseudonymization means the processing of personal data in such a manner that the personal data can no longer be attributed to a specific data subject without the use of additional information, provided that such additional information is kept separately and is subject to technical and orgnisational measures to ensure that the personal data are not attributed to an identified or identifiable nature persion. （参照GDPR Article4 (5)）

匿名化 anonymization
通过对个人信息的技术处理，使得个人信息主体无法被识别或者关联，且处理后的信息不能被复原的过程。（参照GB/T 35273）。这里需要注意一点，个人信息经匿名化处理后所得的信息不再属于个人信息。

Process by which personal identifiable information （PII） is irreversibly altered in such a way that a PII principle can no longer be identified directly or indirectly, either by the PII controller alone or in collaberation with any other party. (ISO 29100)

去标识化 de-identification
通过对个人信息的技术处理，使其在不借助额外信息的情况下，无法识别或者关联个人信息主体的过程。去标识化建立在个体基础之上，保留了个体颗粒度，采用假名、加密、哈希函数等技术手段替代对个人信息的标识。 （参照GB/T 35273）。从这一点上来看，去标识化和假名化没有本质上的区别。 但是去标识化相比假名化更加复杂，在不同的国家和地区有着不同的定义和法律效果。

3.5.4 对于“处理”的定义

这里的“处理”几乎包含了对于个人数据所做的所有包罗万象的操作，涵盖了信息的收集、存储、加工、传输、删除等各个环节。事实上，很难想象有不被包含在该定义之中的个人数据的处理方式。

3.5.5 个人数据处理的基本原则

不管是GDPR，还是个保法，都定义了个人数据处理的一些基本原则。

合法、公平、透明原则
对数据主体的个人数据应以合法、公正和透明的方式处理。数据主体如果还不清楚其数据如何被处理，可以提出问询。往细致了说，对于个人数据的处理要有确凿的法律依据，要取得数据主体在自由状态下做出的同意，要清楚的向数据主体说明个人数据被处理的目的、处理的方式，以及哪些个人数据将要被处理。

目的限制原则
收集个人数据的目的应具体、明确和合法，不得以与初始目的不符的方式做进一步处理。

数据最小化原则
个人数据处理应确保充分、相关和仅限于与处理目的有关的必要信息。

数据准确原则
个人数据应当准确，必要时应及时更新：应采取一切合理步骤确保不准确的个人数据得到纠正或删除。

保留限制原则
对能识别数据主体的个人数据的留存，不得超过特定用途下处理个人数据的所需要的时长。

完整和保密原则
个人数据的处理方式应确保个人数据的适当的安全性，包括利用适当的技术或组织措施防止未经授权的或非法的处理，避免意外的丢失、破坏或损坏。

可问责性
控制者为数据的处理承担责任，另外控制者还必须能够证明其遵守了这些数据处理的原则。

3.5.6 关于“主监管机构”

在GDPR中，明确定义了主监管机构，给出了三种确定主监管机构的主要情况。

在EEA设立了多个分支机构时，最重要的分支机构或者具有管理功能的分支结构所在地的监管机构为主监管机构；在EEA只设立了一个分支机构或者代理机构时，这个机构所在地的监管机构为主监管机构；在EEA没有分支机构，但是因受GDPR约束而设立了代理人时，代理人所在地的监管机构为主监管机构。

于此同时，EDPB还专门给出了一个确定主监管机构的指南：https://edpb.europa.eu/our-work-tools/our-documents/guidelines/lead-supervisory-authority_en 。

相反的，这一块在国内的个人信息保护法中并没有明确。

3.5.7 关于个人数据的“控制者”与“处理者”

GDPR中，明确定义了个人数据相关的控制者和处理者。“控制者”指的是能够单独或者共同决定个人数据处理的目的和方法的自然人、法人、公共当局、机关或者其它机构。 “处理者”指的是代表控制者处理个人数据的自然人、法人、公共当局、机关或者其它机构。

在个人信息保护法中，没有明确区分控制者和处理者的概念，对于能够单独或者共同决定个人数据处理目的和方法的自然人、法人、公共当局、机关或者其它机构统称为个人信息处理者。

EDPB也推出了对于个人数据的控制者和处理者概念的相关指南（07/2020）：https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_en。有需要的可以参照

3.5.8 数据主体的权力

GDPR中，明确规定了数据主体拥有的各项权利，个人信息保护法中也明确描述了相关的权利，基本是一致的。

透明的信息、沟通与形式
要求明确告知哪些数据会被收集、用于什么目的，隐私相关问题的联系方式，如果基于用户的同意，用户需要知道和理解同意的是什么。

有关个人数据的信息及个人数据查阅
控制者及其代表的联系方式、数据保护官的详细联系方式、个人数据处理的目的、处理的法律依据。

数据主体的查阅权
有权从数据控制者处确认与其相关的个人数据是否正在被处理，并且有权要求查阅与其相关的个人数据；控制者有义务向数据主体提供其个人数据副本，第一次免费，后面可以酌情收费。

可携带权
数据主体有权以结构化的、通用的、可以机读的方式接收其提供给控制者的与其相关的个人数据，并且有权将这些数据传输至其他控制者，而不受此前已经获得这些数据的控制者的妨碍。

纠正权
有权要求控制者对其不准确的个人数据进行纠正。

删除权（被遗忘权）
数据主体有权要求控制者对其个人数据进行删除，并且控制者有义务及时地删除个人数据，不得无故拖延。

举个例子，某人因为撤销同意，要求税务部门删除计算其个人所得税所需的个人数据可以吗？（答：同意不是合法处理其数据的依据，而是纳税人的义务。）

反对权和自动化的个人决策
为了直接营销为目的的个人数据自动化决策，数据主体有权随时反对；另外，控制者应当明确告知数据主体享有该反对权。

向监管机构申诉的权利
为了向其经常居住地、工作地或涉嫌违法行为地所在成员国的监管机构申诉。

3.5.9 关于个人数据泄露

由于中西方语言相关的差异，这里会有一些歧义，需要单独说明一下。英文GDPR中，叫“Data Breach”，直译过来就是数据泄露，从汉语字面意义上来讲，貌似只有发生泄漏，才会叫数据泄露。

然而，在GDPR中，所有涉及破坏个人数据的CIA属性的事项都叫data breach。

3.6 关于个人数据泄露的响应要求

GDPR规定，控制者一旦知悉个人数据发生泄露，应当及时（不得迟于意识到泄露后的72个小时）通知监管机构，不得无故拖延；如在发现个人数据泄露后超过72小时才通报有关个人数据泄露，则必须在通知书内提供延误上报的充分理由。

如下图所示，给出了发生个人数据泄露时，什么情况下需要上报监管机构，什么情况下需要通知数据主体给出了相关的区分。

3.7 对于违反GDPR的处罚

根据GDPR的要求，目前对于违反GDPR的处罚分为两类，一类是处罚1000万欧元或者全球营业额的2%；另一类是处罚2000万欧元或者全球营业额的4%。

3.8 关于个人数据跨境传输的说明

在GDPR中，对于个人数据的跨境传输，主要有三种情况：基于充分性认定的跨境传输、基于适当安全保障的跨境传输、基于约束性企业规则的跨境传输。

欧盟委员会根据第 95 / 46 / EC 号指令作出了充分性认定，承认安道尔、阿根廷、加拿大（的商业组织）、法罗群岛、根西岛、以色列、马恩岛、日本、泽西岛、新西兰、瑞士、美国（仅限于隐私盾协议）和乌拉圭提供了充分的保护。韩国正在申请，截止3月30日据说已经完成相关谈判。

EU和US之间的数据传输，最初始于2000年12月建立的安全港协议，该协议于2015年10月被欧盟法院裁定无效；隐私盾协议于2006年7月建立，并于2020年7月被欧盟法院裁定无效；当前EU与US之间的数据传输是基于充分性认定的协议，但是仅限于隐私盾协议框架下的充分性认定。

4. 基于设计和默认的数据保护DPbDD

基于设计的隐私保护，最初由加拿大渥太华省信息与隐私委员会前主席安·卡沃基安博士（Dr. Ann Cavoukian）在20世纪70年代提出，并在90年代纳入欧盟第95/46/EC号指令。Ann博士于2011年又提出了基于设计的隐私的7项基本原则，即未来的隐私不能仅仅通过遵守监管框架来确保，隐私保障必须成为一个组织的默认操作模式。

预防而非补救
基于设计的数据保护的特点是采取主动的而非反应性的措施，在隐私侵犯发生之前就预测到并防止它；基于设计的数据保护不会等待隐私风险的出现，也不会提供解决隐私违规的补救措施，它的目的在于防止它们的发生。

数据保护作为默认设置
默认的规则旨在提供最大程度的隐私保护，确保个人数据在任何特定的IT系统或业务实践中均受到自动的保护。即使一个人什么都不做，他们的隐私仍然完好无损。数据主体不需要采取任何行动来保护他们的隐私。

嵌入设计的隐私
基于设计的数据保护已嵌入到IT系统的设计和架构以及业务实践中，将隐私变成交付核心功能的重要组成部分。数据保护是整个系统的一部分，且不会削弱系统的功能。

正和而非零和（完整性）
基于设计的数据保护旨在以“正和”和“双赢”的方式满足所有合法利益及目标，而不是采用过时的零和的方法来做不必要的折中或者此消彼长。

全生命周期的数据保护
基于设计的数据保护在收集信息的第一个要素之前就已经嵌入系统，并安全地扩展到涉及数据的完整生命周期中。这意味着从开始到结束，强有力的安全措施都对隐私至关重要。这样就可以确保所有数据都被安全地保存，然后在流程结束时，及时安全地销毁。

可见性和透明度（保持开放）
基于设计的保护数据旨在向所有利益相关方保证，无论涉及哪种业务实践或技术，它实际上都是按照所声明的承诺和目标运作的，并接受独立地核查。对于用户和供应商来说，它的构成部分和操作始终是可见的和透明的。一言以蔽之：信任但要核查。

以用户为中心（尊重用户隐私）
最重要的是，基于设计的数据保护要求架构师和执行者通过提供诸如严格的隐私默认设置、恰当的提示和赋予用户友好的选项等措施来保证以用户为中心。

EDPB对于DPbDD给出了专门的指南：https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-42019-article-25-data-protection-design-and_en。

5. EDPB关于道路车辆处理个人数据的指南

智能网联汽车作为一个高度集成的智能交通工具，搭载了传感器和车载网联设备，他们可能会收集和记录发动机性能、驾驶习惯、逗留过的地点，甚至是驾驶员的眼睛动作、脉搏或其他用于身份认证或识别的生物识别数据以及其他数据。EDPB针对道路车辆，专门出了个人数据处理的指南（01/2020）：https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-42019-article-25-data-protection-design-and_en。

5.1 涉及的数据类型

EDPB在该指南（指南01/2020）中主要确定了道路车辆中三种类型的个人数据：可揭露犯罪与违法的数据、位置数据、生物识别数据。

5.2 跟违法与犯罪相关的数据

对于违法与犯罪相关的数据，该指南规定仅能在官方机构的控制之下处理，并且经过了相关法律的授权； 另外，这类数据的处理必须充分考虑了对数据主体权力和自由的保护；最后，这类数据仅可本地处理，不可进行外部处理。

5.3 位置数据

EDPB在该指南中规定了在道路车辆中处理位置数据的一些基本原则。

首先，需要对收集的频率和细节程度根据处理目的进行充分的配置，够用就好。比如，提供天气服务的业务，不需要每秒钟都收集一次地理位置数据，也不需要精确到米甚至分米这种精确级别。
第二，对于处理位置数据的目的，要给出精确的说明，并告知用户。
第三，仅当用户启动一个需要获取位置的功能时，方可激活位置获取，不可以默认激活位置处理功能，这也是基于设计和默认的数据保护的要求。
第四，能够通过图标的方式提示用户获取地理位置功能是否已被激活。
第五，数据主体需要能够随时随地行使其作为数据主体的权力，因此道路车辆需要提供随时随地关闭地理位置处理的选项。
最后，对于收集的地理位置数据，需要有有限的存储期限，一般情况下数据存储时间不得超过数据处理或者提供本次服务需要的时间。

5.4 生物识别数据

EDPB对于道路车辆处理生物识别数据时，要求必需保证数据主体对其生物识别数据拥有完全的控制权：首先，可以提供非生物识别的替代方案，即生物识别不是提供对应基本功能的唯一方案； 其次，对于生物识别模板以及生物识别数据仅在本地存储，禁止远程处理。

另外，EDPB还对生物识别数据的处理给出了一些其它的建议，如下图所示。

这里只说明一下“对于生物识别方案的标定应根据所需的访问控制的安全级别相匹配”这一原则，做一下举例说明。比如解锁车门，宁可错误拒绝，也不能错误接受；再比如仅仅为了启动空调，错误拒绝太高就会影响使用体验，但是错误接受不会带来安全相关的风险。

5.5 EDPB给车辆制造商的安全措施建议

EDPB对车辆制造商还总结并给出了一些安全措施的建议。

首先，将汽车的重要功能与始终依赖于通信能力的功能（例如，“信息娱乐”）区分开来；
其次，应当实施技术措施，使车辆制造商能够在车辆的整个使用寿命内快速修补安全漏洞；
第三，对于车辆的重要功能，需要尽可能优先选择专门用于交通运输的安全通信技术；
第四，给车辆设置报警系统，在车辆系统受到攻击时能够告警，并可能在降级模式下运行。降级模式是一种车辆运行模式，确保车辆安全运行所必需的功能（即最低安全要求）得到保证，即使其他不太重要的功能被停用。比如，与制动系统相比，地理导向装置的操作可视为非必要操作。
最后，存储对车辆信息系统的任何访问的日志历史记录，最长可追溯到六个月，以便了解任何潜在攻击的来源，并定期对记录的信息进行审查，以检测可能存在的异常情况。

6. EDPB关于VVA的指南

VVA全称是Virtual Voice Assistants，中文称作虚拟语音助理。在智能网联汽车中，VVA扮演着人和车辆之间的代理人，会接触并处理大量的个人数据。

VVA的基本的过程是为：语音识别模块获取语音，通过语义理解模块解析并进行处理，通过语音合成模块合成新的语音内容并输出。

如下图，EDPB给出了VVA在个人数据处理方面应该考虑的方向。更加详细的内容可以参照指南 02/2021：https://edpb.europa.eu/our-work-tools/documents/public-consultations/2021/guidelines-022021-virtual-voice-assistants_en。

7. 写在最后

本文洋洋洒洒给出了一些个人数据处理与隐私保护相关的内容，以及在智能网联汽车上的考虑。鉴于个人能力和知识有限，有些方面解释的不够清楚，有些方面甚至理解错误，还请各位读者海涵。 尽管GDPR内容不多，描述过于简单，好在EDPB（欧盟数据保护委员会）给出了GDPR所涉及的各种情况下的guidelines。这些guidelines给出了日常业务处理过程中面临的绝大部分场景的指南，不过都是英文的，有需要的可以到EDPB官方网站获取：https://edpb.europa.eu/edpb_en。
如下图，在EDPB的官方网站上的“OURWORK & TOOLS”下面的“General Guidance”下面获取相关的各种内容。

最后，在个人数据与隐私保护方面，我们国家相对起步比较晚，目前除了今年11月份正式实施的《个人信息保护法》之外，没有其它更加细致的法律法规以及标准的支撑。好在个人信息保护法从宏观层面基本上跟GDPR是一致的，因此在实际的业务开展过程中，在国家与行业层面没有出台相关的法律法规以及标准之前，可以借鉴EDPB的相关指南。