隐私合规基础概念：个人数据、敏感数据、数据主体、数据处理者
做隐私合规，第一个要搞清楚的，就是你在保护什么东西、保护谁的权益、谁在处理这些数据。
这四个概念——个人数据、敏感数据、数据主体、数据处理者——是整个合规体系的基石。我见过不少项目，技术方案做得很漂亮，结果一审查，连“个人数据”的定义都没对齐。那后面全是白忙活。
所以这一章，咱们就把这四个玩意儿彻底掰扯清楚。
1. 个人数据：到底什么是“个人数据”？
官方定义很多，GDPR、PIPL、CCPA各有各的说法。但说白了，任何能直接或间接识别到特定自然人的信息，就是个人数据。
给你几个例子你就明白了：
- 直接识别：身份证号、手机号、邮箱地址、姓名+住址
- 间接识别：设备指纹、IP地址、社交账号昵称、行为轨迹
- 容易被忽略的：公司内部工号（如果公司规模小到能对应到人）、车辆VIN码、基因数据
你看，判断是不是个人数据，关键看可识别性。如果数据加上其他信息（比如部门、职位）能锁定到具体的人，那就是个人数据。别死抠字眼，要看实际场景。
2. 敏感数据：比个人数据更“烫手”的类型
敏感数据是个人数据的一个子集，但法律对其保护要求更严格。一旦泄露，可能对数据主体造成严重伤害（被歧视、被诈骗、名誉受损等）。
各国定义略有差异，但核心都有这几类：
| 类别 | 典型例子 | 为什么敏感 |
|---|---|---|
| 生物识别信息 | 指纹、人脸、虹膜、声纹 | 不可更改，一旦泄露终身失效 |
| 健康状况 | 病历、基因检测、用药记录 | 可能导致职场歧视、保险拒保 |
| 金融账户 | 银行卡号、交易流水 | 直接关联财产安全 |
| 性取向/政治观点 | 宗教信仰、政治倾向 | 容易引发社会争议或迫害 |
| 精确位置 | GPS坐标、基站定位 | 暴露行踪规律，涉及人身安全 |
3. 数据主体：数据的主人，权利必须被保护
数据主体就是个人数据所指向的那个自然人。注意：法人（公司、组织）不是数据主体。企业信息不属于个人数据范畴。
数据主体的核心权利，我列几个最常用的：
- 知情权：你知道我在收集你的哪些数据
- 访问权：你可以查阅我存了你什么数据
- 删除权（被遗忘权）：要求删除，除非法律要求必须保留
- 可携带权：把你的数据打包带走，转到另一家服务商
- 反对权：比如反对你用我的数据做营销
嗯，这里要注意：很多团队在做技术设计时，只考虑了“存和取”，完全没预留“删除”和“导出”的接口。结果用户投诉上门了才发现，数据散落在十几个数据库和日志里，根本删不干净。这种坑我踩过一次，后来凡是新系统，我必要求提供数据主体权利响应模块。
4. 数据处理者：谁在碰这些数据？
这个角色容易混淆。法律上分两种：数据控制者 和 数据处理者。
- 控制者：决定“为什么处理”和“怎么处理”。比如你公司的APP——业务需求、要收集哪些字段、用做什么分析，都是控制者定义的。
- 处理者：按照控制者的指令，实际执行数据操作。比如你用阿里云的服务器、用SendGrid发邮件、用Mixpanel做分析——这些第三方服务商就是处理者。
很多人以为“我都外包给云厂商了，出事是他们负责”——大错特错。控制者承担最终法律责任，处理者只在违反合同或超出指令范围时担责。所以你作为控制者，必须确保和处理者之间的数据处理协议（DPA）写清楚：数据怎么加密、能不能再委托、违规怎么办。
实战中的一个小检查清单：
- 你有没有把所有涉及个人数据的合作方都签了DPA？
- 处理者有没有转包给子处理者？（比如云厂商又用了CDN加速）
- 如果处理者在境外，数据传输是否满足合规要求？（比如欧盟GDPR的SCCs）
5. 这四个概念的关系——一张图说清楚
下面这个SVG是我画的四大概念关系图。每个节点代表一个角色或数据类别，箭头表示“谁产生谁”、“谁包含谁”、“谁处理谁”。
你看这个图，数据主体是整个体系的核心。我们做隐私合规，本质上就是在平衡数据主体的权利和数据处理者的业务需求。
6. 避坑指南：我遇到的真实案例
我曾经帮一家医疗AI公司做合规，他们从医院拿了一堆脱敏后的影像数据训练模型。他们认为“脱敏了就不是个人数据”。结果我一看，脱敏只是把患者姓名换成了“Patient_001”，但DICOM文件头里还留着出生日期和检查时间。对于特定疾病（比如罕见肿瘤），出生日期+时间+医院科室足以定位到具体患者。这就是典型的概念理解偏差——脱敏不等于匿名化。
后来我们帮他们做了真正的匿名化处理（k-匿名+差分隐私），才算过关。所以记住：判断是不是个人数据，别只凭标签，要审查实际的可识别风险。
7. 总结——用一张表记住关键区别
| 概念 | 核心要点 | 常见误区 |
|---|---|---|
| 个人数据 | 直接或间接识别自然人 | 认为“脱敏了就没事” |
| 敏感数据 | 泄露会造成严重危害的子集 | 忽略位置、种族等非传统敏感项 |
| 数据主体 | 有权利的活人（非企业） | 把企业联系人数据当成“企业数据” |
| 数据处理者 | 控制者定规则，处理者动手 | 以为外包了就不承担责任 |
这四个概念，在后面的章节里会反复用到。比如讲隐私设计、数据加密、用户权利响应——每一步都要先搞清“这是什么数据？谁在用？谁有权操作？”。
记住：概念清晰，才能设计出合规的系统。别等到被监管罚款那天，才后悔没把基础打牢。