我想了解有关欧盟数据保护的信息 »
  • 概览

    EUAWSLogo

    客户的信任是 AWS 的第一要务。我们为 190 多个国家/地区的数百万个活动客户提供服务,包括企业、教育机构和政府机构。我们的客户包括金融服务提供商、医疗保健提供商和政府机构,他们将一些最敏感的信息托付给我们,给予我们充分的信任。

    我们了解,客户十分注重隐私和数据安全。因此,AWS 通过简单但功能强大的工具进行了设计,让客户拥有其内容的所有权和控制权,从而使他们能够决定存储其内容的位置,保护传输中或闲置的内容,并管理其用户对 AWS 服务和资源的访问权限。我们还实施了可靠且完善的技术和物理控制,旨在阻止对客户内容进行未经授权的访问或披露。

    维持客户的信任是一项长期承诺,我们会尽力将实施的隐私和数据安全策略、实践以及技术告知客户。这些承诺包括:

    • 访问:客户管理对客户内容、AWS 服务与资源的访问权限。我们提供了一系列高级的访问、加密和日志记录功能 (例如 AWS CloudTrail),可有效地帮助您达成这一目标。我们不会出于任何目的访问或使用客户内容,但以下情况除外:法律要求;用于维护 AWS 服务;提供给我们的客户及其最终用户。
    • 存储:客户选择存储其客户内容的区域。我们不会将客户内容移动或复制到客户所选区域之外,但以下情况除外:法律要求;维护 AWS 服务时所需;提供给我们的客户及其最终用户。
    • 安全:客户选择如何保护客户内容。我们为传输中或闲置的客户内容提供强加密功能,并支持客户选择管理自己的加密密钥。
    • 客户内容披露:我们不会披露客户内容,除非法律或者政府或监管部门的有效且具约束力的指令有此要求。除非相关方禁止或有明确的迹象表明 Amazon 产品或服务的使用中存在非法行,否则 Amazon 会在披露客户内容之前通知客户,以便他们寻求披露保护。
    • 安全保障:我们制定了使用全球性隐私和数据保护最佳实践的安全保障计划,以帮助客户建立、运行和利用我们的安全控制环境。这些安全保护和控制流程分别通过多个第三方独立评估进行了验证。

    AWS 将客户数据分为两个类别:客户内容和账户信息。

    客户内容定义为:客户或任何最终用户传输给我们用以处理、存储或交由与该客户账户关联的 AWS 服务托管的软件(包括系统映像)、数据、文本、音频、视频或图像;以及客户或任何最终用户在使用 AWS 服务过程中通过前述内容得出的任何计算结果。例如,客户内容包括客户或任何最终用户存储在 Amazon Simple Storage Service 中的内容。客户内容不包括下文所述的账户信息。与 AWS 签署的旨在管理 AWS 服务使用的 AWS 客户协议或其他协议的条款适用于客户内容。

    账户信息定义为:客户提供给我们的、与客户账户的创建或管理相关的客户信息。例如,账户信息包括姓名、用户名、电话号码、电子邮件地址以及与客户账户关联的账单信息。AWS 隐私声明中所述的信息实践适用于账户信息。

    客户保留对其客户内容的所有权,并可以选择处理、存储和托管其客户内容的 AWS 服务。我们不会出于任何目的访问或使用客户内容,但以下情况除外:法律要求;用于维护 AWS 服务;提供给我们的客户及其最终用户。我们绝不会出于营销或广告目的而使用客户内容或从中提取信息。

    客户控制客户内容。通过 AWS,客户可以:

    • 决定将存储其客户内容的位置,包括存储类型和存储所在的地理区域。

    • 选择客户内容的安全状态。我们为传输中或闲置的客户内容提供强加密功能,并支持客户选择管理自己的加密密钥。

    • 通过由客户控制的用户、组、权限和凭证管理对客户内容、AWS 服务与资源的访问权限。

    我们知道客户关心对其账户信息的使用,我们会小心妥善地处理,不负客户的信任。AWS 隐私声明中介绍了我们收集和使用账户信息的方式。

    我们对客户隐私始终保持警惕。我们不会披露客户内容,除非法律或者政府或监管部门的有效且具约束力的指令有此要求。政府和监管部门需要遵从相应的法律流程获得有效且具约束力的指令,然后我们会审查所有指令,并对过于宽泛或不恰当的指令提出异议。除非相关方禁止或有明确的迹象表明 Amazon 产品或服务的使用中存在非法行,否则 Amazon 会在披露客户内容之前通知客户,以便他们寻求披露保护。同样值得指出的是,我们的客户可以对其客户内容进行加密,并且可以选择管理他们自己的加密密钥。

    我们了解透明度对客户至关重要,因此会定期在此处发布关于我们收到的信息请求的类型和数量的报告。

    客户可以选择存储其客户内容的区域,从而能够按照其特定地理要求在所选位置部署 AWS 服务。AWS 数据中心是在全球多个区域采用集群的方式构建的。

    例如,英国的一位 AWS 客户可以选择只将其 AWS 服务部署在欧洲 (伦敦) 地区并将其内容在英国进行在岸存储。如果客户做出这种选择,则说明其客户内容将定位于英国。客户可以将其客户内容复制和备份到多个区域,我们不会将客户内容移动或复制到客户所选的区域之外,除非法律要求、维护 AWS 服务时所需或者要将内容提供给我们的客户及其最终用户。

    *可能并非所有 AWS 服务在所有区域都提供。

    评估云解决方案的安全性时,客户需要理解和区分:

    • AWS 实施和操作的安全措施 -“云安全”


    • 客户实施和操作的与客户内容和使用 AWS 服务的应用程序的安全相关的安全措施 -“云的安全”

    责任共担模式

    有关我们核心 AWS 云基础设施、平台和服务内置的所有安全措施的完整列表,请参阅:安全流程概述白皮书

    我们制定了使用其他全球性隐私和数据保护最佳实践的安全保障计划,以帮助客户建立、运行和利用我们的安全控制环境。这些安全保护和控制流程分别通过多个第三方独立评估进行了验证。

    AWS 符合 ISO 27018 标准,这一点已由独立的第三方评估机构进行验证。ISO 27018 是首个专注于云中个人数据保护的国际行为准则。它基于 ISO 信息安全标准 27002,并针对 ISO 27002 控制体系提供了实施指南,该体系适用于由公有云服务提供商处理的个人可识别信息 (PII)。这向客户表明,AWS 具有适当的控制体系来专门处理其内容的隐私保护。有关更多信息,请访问 AWS ISO 27018 常见问题

    AWS 数据中心建立在世界不同国家/地区的集群中。我们将指定国家/地区的每个数据中心集群称为“区域”。客户可以访问全球 16 个 AWS 区域,其中包括欧洲的三个区域:爱尔兰 (都柏林)、英国 (伦敦) 和德国 (法兰克福)。客户可以选择使用一个区域、所有区域或区域的任意组合。

    AWS 客户选择要存储其内容的 AWS 区域。这使得具有特定地理位置要求的客户可在他们选择的位置建立环境。例如,欧洲的 AWS 客户可以选择仅在欧盟的一个区域 (德国、英国或爱尔兰) 部署他们的 AWS 服务。如果客户决定这样做,则我们将根据他们的选择将其内容存储在德国、英国或爱尔兰,除非客户明确选择将其内容移动或复制到另一个 AWS 区域。

    客户可以在多个区域复制和备份内容,但 AWS 不会将客户的内容移出其选择的区域,但为了按照客户要求提供服务或遵守适用法律时除外。

    AWS 继续通过强大的安全标准 (如 ISO 27001SOC 1/2/3PCI DSS 1 级) 进行认证。我们在云中采用责任共担模式,在此模式下,AWS 负责底层云基础设施的安全 (云安全),客户负责其数据和应用程序的安全 (云中的安全)。AWS 在欧盟拥有大量的解决方案架构师、客户经理、顾问、培训师和其他在云安全和合规性方面经过专业培训的员工,他们可协助 AWS 客户在云中实现高水平的安全性和合规性并遵循云安全最佳实践。AWS 还可帮助客户满足当地的安全标准。例如,AWS 已与审计机构 TÜV TRUST IT 一同发布客户认证业务手册,该手册就如何在云中获得德国 BSI IT Grundschutz 合规性提供了指导。

  • 欧盟指令

    欧盟数据保护指令 (也称为指令 95/46/EC) 这一条例涵盖了个人数据的处理以及此类数据的自由移动。从广义上讲,该指令规定了处理个人数据时适用的若干数据保护要求。

    是的。有关客户如何能够了解 AWS 数据处理增补版,请访问此处 (需要登录)。

    第 29 条工作组已经批准了包含示范条款的 AWS 数据处理增补版。第 29 条工作组认为 AWS 数据处理增补版符合示范条款方面的指令要求。这意味着没有将 AWS 数据处理增补版视为“特殊协议”。有关第 29 条工作组批准 AWS 数据处理增补版的更多信息,请访问:http://www.cnpd.public.lu/en/actualites/international/2015/03/AWS/index.html

    根据第 29 条工作组的规程,卢森堡数据保护局 (CNPD) 作为代表第 29 条工作组的领导机构。

    有关客户如何能够了解 AWS 数据处理增补版,请访问此处 (需要登录)。

    从指令 95/46/EC 的意义上说,在云中收集和存储个人信息的 AWS 客户就是数据控制器。

    有关客户和 AWS 的角色的更多信息,可在 AWS“欧盟数据保护白皮书”的“欧盟数据保护指令”部分中找到。

    标准合同条款 (也称为“示范条款”) 是一组由欧洲委员会规定和批准的标准条款,可用于通过数据控制器以合规的方式将个人数据传输到欧洲经济区以外的数据处理器。

    第 29 条工作组根据欧洲议会和委员会的欧盟数据保护指令而成立。它由欧盟各成员国的数据保护机构和欧洲委员会的代表组成。第 29 条工作组努力协调数据保护规则在整个欧盟地区的应用,还就非欧盟国家/地区中数据保护标准的充裕度向欧盟委员会提出建议。

    客户数据的安全是我们的第一要务,AWS 的 AWS Data Processing Addendum and Model Clauses 已经获得欧盟数据保护机构(称为 Article 29 Working Party)的批准,可向欧洲以外地区(包括美国)传输数据。借助经过欧盟批准的 Data Processing Addendum and Model Clauses,AWS 客户可以在完全遵守欧盟法律的情况下继续开展全球运营。AWS 数据处理增补版适用于处理个人数据的所有 AWS 客户,无论他们是建立于欧洲还是在欧洲经济区运营的全球公司。

    有关客户如何能够了解 AWS 数据处理增补版,请访问此处 (需要登录)。

    是的。Amazon.com, Inc. 已通过《欧盟-美国隐私护盾》认证且 AWS 也包含在此认证中。这有助于选择将其个人数据传输到美国的客户履行其数据保护义务。Amazon.com Inc 的认证可在下面的《欧盟-美国隐私护盾》网站上找到:https://www.privacyshield.gov/list

    要在 AWS 的背景下了解有关此主题的更多信息,请访问我们的欧盟-美国隐私护盾页面。

  • GDPR

    CISPEAWS

    2016 年,欧盟委员会批准并采用了新的《通用数据保护条例》(GDPR)。自 1995 年采用《欧盟数据保护指令》 (也称为指令 95/46/EC) 以来,GDPR 是欧洲数据保护法中重大的改革。GDPR 旨在加强欧盟地区中个人数据的安全和保护并与《欧盟数据保护法》相协调。GDPR 将替换《欧盟数据保护指令》以及与其相关的所有当地法律。

    AWS 非常高兴接受 GDPR。它可保护欧洲公民的基本隐私权并个人数据提供保护。它提出了强劲的要求,这将提高数据保护、安全性和合规性级别,并将推动行业实施严格的控制。GDPR 将于 2018 年 5 月 25 日生效,届时我们能够确认所有 AWS 服务均遵守其规定。

    除了我们自己的合规性外,AWS 还致力于为我们的客户提供服务和资源,以帮助他们遵守适用于其操作的 GDPR 要求。

    《通用数据保护条例》(GDPR) 是一项新的欧洲隐私法,将于 2018 年 5 月 25 日生效。GDPR 将替换《欧盟数据保护指令》(也成为指令 95/46/EC),旨在通过实施一个可约束每个成员国的数据保护法,来协调整个欧盟 (EU) 的数据保护法律。

     

    GDPR 适用于在欧盟经营以及处理欧盟居民“个人数据”的所有组织。个人数据指的是与已确定或可确定的自然人相关的所有信息。

    GDPR 将替换现有的数据保护指令 (欧洲指令 95/46/EC)。自 2018 年 5 月 25 日起,现有的数据保护指令以及与其相关的法律将不再适用。

    AWS 合规性、数据保护和安全性专家正在与全球客户协作,回答他们的问题并帮助他们为 GDPR 生效后在 AWS 云中运行工作负载做准备。这些团队也会时刻检查 AWS 已实现的所有操作,以确保其遵守新 GDPR 的要求。GDPR 将于 2018 年 5 月生效,届时我们能够确认所有 AWS 服务均遵守其规定。

    此外,我们还提供了将满足 GDPR 要求的新数据处理增补版 (GDPR DPA)。此 GDPR DPA 现已可供所有 AWS 客户使用,以帮助其为 2018 年 5 月做准备。有关 GDPR DPA 的更多信息或获取副本,请联系您的 AWS 客户经理。

    最近,AWS 还宣布了遵守 CISPE 行为准则。CISPE 行为准则可帮助云客户评估其云基础设施提供商如何依据 GDPR 来履行其数据保护义务。AWS 已声明:Amazon Elastic Compute Cloud (Amazon EC2)、Amazon Simple Storage Service (Amazon S3)、Amazon Relational Database Service (Amazon RDS)、AWS Identity and Access Management (IAM)、AWS CloudTrailAmazon Elastic Block Storage (Amazon EBS) 完全遵守 CISPE 行为准则。这可以在客户使用 AWS 时向其提供与他们在一个安全合规的环境中完全控制其数据的能力相关的附加保障。要详细了解 AWS 在 CISPE 行为准则方面的合规性,请参阅此网站:https://cispe.cloud/

    AWS 不断维护我们所有全球业务之间的高标准安全性和合规性。安全性始终是我们最优先考虑的事项 – 安全是“1”,其他都是“0”。我们行业领先的安全性是我们获得很多国际认可的认证和资格鉴定的基础,这可证实我们符合严格的国际标准,如适用于云安全性的 ISO 27017、适用于云隐私的 ISO 27018、SOC 1、SOC 2 和 SOC 3、PCI DSS 第 1 级以及其他标准。AWS 还会帮助客户符合当地安全标准,如 BSI 的通用云计算控制目录 (C5),此标准在德国非常重要。

    AWS 已宣布遵守 CISPE 数据隐私行为准则。CISPE 指的是联合云基础设施 (也称为基础设施即服务)提供商,这些提供商为欧洲的客户提供云服务。CISPE 行为准则可帮助云客户确保其云基础设施提供商使用合适的数据保护标准来保护其数据,从而使其遵守 GDPR。此行为准则的一些主要优势包括:

    • 明确进行数据保护时的负责人及其负责事项:此行为准则介绍了提供商客户依据 GDPR (尤其是在云基础设施服务环境中)应承担的角色。
    • 此行为准则列出了提供商应遵守的原则:此行为准则概述了提供商应执行的操作以及要履行的承诺,以遵守 GDPR 并帮助客户进行遵守。
    • 此行为准则向客户提供与数据保护和数据安全相关且是客户制定合规性相关决策所需的信息:此行为准则要求提供商在履行其安全承诺时采取透明措施。这些措施包含与数据外泄、数据删除和第三方子处理相关的通知以及法律实施和政府请求。客户可以使用此类信息充分了解提供的高级安全性。

    GDPR 的一个主要方面是它能够在欧盟成员国之间就如何安全处理、使用和交换个人数据方面保持一致性。组织将需要通过实施稳定的技术和组织措施以及合规性政策并定期进行检查,来不断证明他们处理的数据是安全的并证明他们遵守 GDPR。

    AWS 已提供特定的功能和服务,它们将有助于客户符合 GDPR 要求:
     

    访问控制:只允许授权的管理员、用户和应用程序访问 AWS 资源

    • Multi-Factor-Authentication (MFA)
    • 对 Amazon S3 存储桶/Amazon SQS/Amazon SNS 等中的对象的细粒度访问
    • API 请求验证
    • 地理限制
    • 通过 AWS Security Token Service 获取的临时访问令牌

     

    监控和日志记录:获取 AWS 资源相关活动的概况

    • 通过 AWS Config 执行资产管理和配置
    • 通过 AWS CloudTrail 执行合规性审核和安全性分析
    • 通过 AWS Trusted Advisor 确定配置方面存在的挑战
    • 细粒度记录对 Amazon S3 对象的访问
    • 通过 Amazon VPC 流日志获取网络中流量的详细信息
    • 通过 AWS Config 规则执行基于规则的配置检查和操作
    • 通过 AWS CloudFront 中的 WAF 功能筛选和监控对应用程序的 HTTP 访问

     

    加密:在 AWS 上加密数据

    • 使用 AES256 (EBS/S3/Glacier/RDS) 对闲置的数据加密
    • 集中化托管密钥管理 (按 AWS 地区)
    • IPsec 通过 VPN 网关进入 AWS
    • 通过 AWS CloudHSM 在云中使用专用 HSM 模块

     

    强健的合规性框架和安全性标准:

    • 获得 ISO 27001/9001 认证
    • 获得 ISO 27017/27018 认证
    • 云计算合规性控制目录 (C5 – 德国政府支持的鉴证机制)
    • AWS 已与审计机构 TÜV TRUST IT 一同发布客户认证业务手册,该手册就如何在云中获得德国 BSI IT Grundschutz 合规性提供了指导。

    尽管 GDPR 在 2018 年 5 月才生效,但我们还是鼓励我们的客户和合作伙伴从现在开始为其做准备。对于已实施高标准合规性、安全性和数据隐私的客户和合作伙伴,转向 GDPR 应该会很简单。对于刚开始接触 GDPR 合规性的客户和合作伙伴,我们强烈建议您从现在开始就检查您的安全性、合规性和数据保护流程,以确保在 2018 年 5 月平稳过渡。下面是您在 GDPR 合规性方面应考虑的几个要点:

    区域范围:确定 GDPR 是否适用于组织的活动,这对于确保组织能够履行其合规性义务来说至关重要。GDPR 适用于在欧盟境内成立的所有组织。不过,如果您的组织是在欧盟境外成立的,GDPR 也可能会适用于您,具体取决于您的活动。

    数据主体权利:GDPR 在许多方面提高了数据主体的权限。例如,数据主体有反对处理其数据的权限,并数据可移植性的权限。您将需要确保您在处理数据主体的个人数据时能够协调其权限。

    数据外泄通知:如果您是数据控制员,您需要将数据外泄情况报告给数据保护部门,不得无故拖延。借助 AWS,您可以控制您要如何处理个人数据以及对其进行保护。这样,您就可以监控您自己的环境中是否存在隐私外泄情况,并在需要时依据 GDPR 通知监管部门和受影响的个体。此外,如果 AWS 意识到与 AWS 网络相关的安全性标准存在外泄情况,我们将会及时通知您。

    数据保护专员 (DPO):您需要指定一名 DPO,他将需要管理数据安全性以及与个人数据处理相关的其他问题。

    数据保护影响评估 (DPIA):您需要针对您的处理活动进行数据保护影响评估,在某些情况下,您可能需要向监管部门登记备案。这需要确定您的数据处理程序和过程以及保护个人数据所需的相应控制。

    数据处理协议 (DPA):您需要签订一项满足 GDPR 要求的数据处理协议,尤其是在将个人数据传输到欧洲经济区之外时。AWS 为客户提供 GDPR DPA,可以应要求帮助客户为来年的 5 月做准备。

    AWS 提供大量的服务和特定服务功能,它们将帮助客户满足 GDPR 要求,其中包括有关访问控制、监控、日志记录和加密的服务。有关这些服务及功能的更多信息,请参阅上面的“AWS 在帮助客户遵守 GDPR 方面会向其提供什么服务?”一节。

    我们还有合规性、数据保护和安全性专家团队,以及 AWS 合作伙伴网络合作伙伴,他们与整个欧洲的客户协作,解答他们的问题,并帮助他们为 GDPR 生效后在云中运行工作负载做准备。有关此方面的其他信息,请联系您的 AWS 客户经理。

 

联系我们