通用数据保护条例 (GDPR) 中心

2020 年 7 月 16 日，欧盟法院（CJEU）发布了关于在欧洲经济区以外传输欧盟人士个人数据的裁决（Schrems II）。在 Schrems II 中，CJEU 裁定欧盟-美国隐私盾不再作为将个人数据从 EEA 传输到美国的有效机制。然而，在同一裁决中，欧洲法院确认公司可以（需根据需要实施补充措施）继续使用标准合同条款作为在欧洲经济区以外传输个人数据的一种有效机制。欧洲数据保护委员会（EDPB，一个由国家数据保护机构代表组成的欧洲机构）此后在其“2020 年 1 月关于补充传输工具以确保符合欧盟个人数据保护水平的措施建议”（EDPB 建议）中提供了补充措施的非详尽清单。

EDPB 建议为数据输出者提供可以实施的补充措施的示例。请参阅下面的常见问题“根据 Schrems II 裁定，我可以继续使用 AWS 服务吗？”，了解有关 AWS 数据传输资源的详细信息。

是的，AWS 客户可以继续使用 AWS 服务将客户数据从欧洲传输到欧洲经济区以外尚未收到欧盟委员会充分性认定的国家/地区。Schrems II 的裁定确认了使用标准合同条款 (SCC) 作为在 EEA 以外传输客户数据的一种机制，并且 AWS 客户可以依据 欧盟《一般数据保护条例（GDPR）》，继续依靠 SCC 将客户数据传输到 EEA 以外。

• 处理位置。 客户选择将存储其客户数据的 AWS 区域。可以在区域和可用区下找到可用 AWS 区域的概述。AWS 不会在客户选定的 AWS 区域之外处理客户数据，除非是为了提供客户发起的 AWS 服务，或者为了遵守法律或政府机构的约束性命令而必需这么做。请参阅我们的隐私功能网页，以了解有关作为 AWS 服务一部分的数据传输的更多信息。
• 从处理者。AWS 可能会使用从处理者，即 AWS 附属公司或第三方来协助处理客户数据，以根据 AWS DPA 履行我们对客户的义务或代表我们提供服务。请参阅下面的常见问题“AWS 是否使用次级处理者来处理客户数据？”以了解详细信息。
• 传输工具。 由于 Schrems II 裁定已确认使用 SCC 作为在欧洲经济区以外的国家/地区传输数据的一种机制，而这些机制尚未收到欧盟委员会的充分性认定，因此我们的客户如果选择在欧洲经济区之外依据 GDPR 传输数据，则可以继续依靠 AWS DPA 中包含的 SCC。
• 补充措施。
  • 客户控制。 客户可以通过简单而强大的工具始终拥有并控制其客户数据，这些工具使他们能够确定客户数据的存储位置、保护动态和静态的客户数据、管理用户对其 AWS 资源的访问以及修改、删除和检索客户数据。
  • 技术和组织措施。 AWS 实施负责且复杂的技术和物理控制和流程，旨在防止未经授权访问或披露客户数据（访问 AWS 合规性网页了解更多信息）。我们还提供许多高级加密和密钥管理服务（包括允许客户管理各自密钥的服务），客户可以使用这些服务来保护动态和静态的客户数据，如果没有适当的解密密钥，将无法访问加密的客户数据。无论客户数据处于加密还是未加密状态，我们都将始终保持警惕，以保护客户数据免受任何未经授权的访问。
  • 执法请求。 AWS 拥有一套内部流程来处理我们从执法部门收到的请求。当我们收到执法部门对客户数据的请求时，我们会仔细检查该请求，验证其准确性、并确认它是否合适并符合所有适用法律。除非法律禁止，否则 AWS 会在披露客户数据之前通知客户，以便客户可以采取进一步措施寻求披露保护。在 AWS DPA 的补充附录（补充附录）中，AWS 加强了与处理政府对客户数据的请求相关的合同承诺，包括承诺 (i) 尽一切合理努力将任何请求客户数据的政府机构重定向到相关客户，(ii) 在法律允许的情况下立即将请求通知客户（包括在必要时采取一切合理合法的努力来获得禁令的豁免，(iii) 质疑任何过于宽泛或不适当的请求，包括该请求与欧盟法律相冲突的情况，并且 (iv) 如果在用尽上述步骤后，AWS 仍然不得不根据政府要求披露客户数据，则仅披露满足请求所需的最少客户数据量。
  • 合同措施。 AWS 对上述措施做出多项合同承诺，并反映在 AWS DPA 和补充附录中。AWS DPA 和补充附录包括 AWS 的合同承诺，涉及 (1) 客户选择存储和处理客户数据的 AWS 区域，(2) AWS 为保护 AWS 基础设施而实施的技术和组织措施，以及客户可选择用于保护其客户数据的技术组织措施，(3) AWS 保护客户数据，并在政府机构提出数据披露请求时通知客户的措施，以及 (4) AWS 依据处理客户数据所在的第三国的适用法律，履行 AWS DPA 中规定的义务的能力。补充附录还涉及 (5) 个人在 GDPR 授予的权利受到侵犯时要求赔偿的法定权利。

可以，AWS 可以使用三种类型的从处理者：(1) 提供 AWS 服务在其上运行的基础设施的 AWS 实体；(2) 支持需要其处理客户数据的特定 AWS 服务的 AWS 实体；以及 (3) AWS 与其签订合同以提供特定 AWS 服务处理活动的第三方。AWS 次级处理者网页提供有关 AWS 根据 AWS DPA 聘用，以代表客户提供对客户数据处理活动的次级处理者的更多信息。与单个客户相关的从处理者将取决于客户选择的 AWS 区域和客户使用的特定 AWS 服务。

AWS 白皮书浏览欧盟数据传输合规性要求提供了与 AWS 为客户提供的服务和资源相关的信息，以帮助他们根据“Schrems II”规定以及后续的欧洲数据保护委员会 建议执行数据传输评估。该白皮书还介绍了 AWS 为保护客户数据而采取和提供的主要配套措施。

AWS 可以为客户提供有用的信息，其中包括由第三方审计师出具的合规性报告，这些审计师已经审核过我们是否符合各种安全标准和法规，可以证明 AWS 的基础设施具有非常高的合规性级别。这些报告可以向客户证明，我们在保护他们选择在 AWS 上处理的个人数据。这方面的示例包括 AWS 符合 ISO 27001、27017 和 27018 的规定。ISO 27018 包含专注于保护客户数据的安全控制。

AWS 的数据保护还符合 CISPE 行为准则。有关 CISPE 行为准则的更多信息，请参阅下面的常见问题“AWS 是否符合 GDPR 批准、特定于云基础设施服务的行为准则？”

符合。截至 2023 年 6 月，共有 107 项 AWS 服务符合欧洲云基础设施服务提供商（CISPE）数据保护行为准则。CISPE 是一个由领先的云计算服务提供商组成的联盟，服务数以百万计的欧洲客户。CISPE 数据保护行为准则（CISPE 准则），是欧洲首个专注于云基础设施服务提供商的数据保护行为准则。CISPE 准则经过代表欧洲 27 个数据保护机构的欧洲数据保护委员会认可，并由担任主要监督机构的法国数据保护机关（CNIL）正式采用。2017 年，AWS 宣布其符合 CISPE 准则的较早版本。

CISPE 准则可以帮助客户确保其云基础设施服务提供商提供相应的运营保证，以证明符合 GDPR 和保护客户数据。CISPE 准则的一些主要优势包括：

• 专注于云基础设施：根据 GDPR 关于处理客户数据（即，代理客户使用云基础设施服务处理的任何个人数据）的规定澄清云基础设施服务提供商的角色。
• 数据存放于欧洲：要求云基础设施服务提供商为客户提供选择，以选择可在欧洲经济区 (EEA) 内独家存储和处理客户数据的服务。
• 数据隐私权：CISPE 准则让组织能够确信其云基础设施服务提供商满足相关要求，根据 GDPR 的规定代表组织处理个人数据（客户数据）。

说明 AWS 合规状态的合规证书可通过 CISPE 公共登记簿查阅。所列的 AWS 服务已通过独立验证，确认符合 CISPE 准则。验证过程由 Ernst & Young CertifyPoint（EY CertifyPoint）进行。EY CertifyPoint 是一家独立的全球知名监督机构，获得了 CNIL 的认可。

GDPR 不会改变 AWS 责任共担模式，该模式仍然与客户相关。责任共担模式是一种阐明 AWS（作为数据处理者或从处理者）以及客户（作为数据控制者或数据处理者）在 GDPR 下的不同责任的有效途径。

在责任共担模式下，AWS 负责保护支持 AWS 服务的底层基础设施（“云‘本身’的安全性”），而作为数据控制者或数据处理者的客户则负责保护上传到 AWS 服务的任何个人数据（“云‘中’的安全性”）。

AWS 负责“云本身的安全” - AWS 负责保护运行所有 AWS 服务的全球基础设施。这一基础设施由运行 AWS 服务的硬件、软件、网络和设施组成，可以针对客户内容的处理为客户提供强大的控制，其中包括安全配置控制。AWS 可以提供多份由第三方审计机构出具的合规性报告，这些审计机构已经验证过我们符合各种计算机安全标准和法规（有关更多信息，请访问 AWS 合规性网页）。这些报告可以向客户证明，我们在保护他们的客户数据。例如，AWS 符合 ISO 27001、27017 和 27018 的规定。ISO 27018 包含专注于保护客户数据的安全控制。

“云中的安全性”客户责任 - AWS 客户负责构架和保护他们选择部署在 AWS 服务上的应用程序和解决方案。AWS 客户还负责以保护其客户数据的机密性、完整性和安全性需求的方式配置 AWS 服务。客户保护其客户数据的具体责任取决于客户选择使用的 AWS 服务以及这些服务如何集成到客户的 IT 环境中。AWS 客户可以查看和控制他们的客户数据，并且可以根据特定类型的客户数据的敏感性实施灵活的安全控制。客户可以通过使用自己的安全措施和工具，或使用 AWS 或其他供应商提供的安全措施和工具来做到这一点。通过这种方式，客户可以为更敏感的客户数据增加一层安全保护。

AWS 提供产品、工具和服务，客户可以使用它们来构建和保护其应用程序和解决方案，并且可以部署这些产品、工具和服务来帮助处理 GDPR 的要求，包括：

• AWS Identity and Access Management（IAM），让组织能够安全地管理对 AWS 服务和资源的访问。客户可以使用 IAM 创建和管理 AWS 用户和组，并使用各种权限来允许或拒绝他们访问 AWS 资源。IAM 是 AWS 账户提供的一项功能，不额外收取费用。
• AWS CloudTrail，让组织能够针对与 AWS 中的操作相关的账户活动进行日志记录、持续监控并保留相关信息记录，从而简化安全分析、资源更改跟踪和故障排除工作（所有 AWS 账户均默认启用 AWS CloudTrail）。
• Amazon GuardDuty，一种托管的威胁检测服务，可以持续监控恶意或未经授权的行为，从而保护 AWS 账户和工作负载。其会监控可能表明账户被盗的行为，例如异常 API 调用或可能未经授权的部署。GuardDuty 还会检测可能被盗用的实例或来自攻击者的侦测。
• Amazon Macie，一种机器学习工具，可以帮助用户发现存储在 Amazon S3 中的个人数据并对其进行分类。

请参阅我们的白皮书了解 AWS 上的 GDPR 合规性，了解有关如何按照 GDPR 使用 AWS 资源的更多详细信息。

是的，您可以在 AWS Partner Solutions Finder 中搜索“GDPR”的功能，以帮助查找拥有有助于实现 GDPR 合规性的产品和服务的 ISV、MSP 和 SI 合作伙伴。客户还可以在 AWS Marketplace 上搜索“GDPR”解决方案。

是的，AWS 安全保障服务团队会开展许多活动，帮助客户实现 GDPR 合规性。这支经过行业认证的合规专家团队通过将适用的合规标准与 AWS 服务的特定特性与功能联系起来，帮助客户在云中实现、维护和自动化合规。可以在此处找到有关 AWS 专业服务顾问如何帮助客户的更多详细信息。

客户可以使用 AWS Support 获得技术指导，帮助其走上 GDPR 合规之路。作为这项工作的一部分，我们设立了云支持工程师团队和技术客户经理 (TAM) 团队，帮助客户识别和缓解合规性方面的风险。AWS 提供的支持级别取决于客户选择的 AWS Support 计划。要了解 AWS Premium Support 如何为自己提供帮助，客户可以通过 AWS 管理控制台在 AWS Support Center 查看更多信息，可以按照与 AWS 签订的《企业支持协议》中的联系信息联系相关人员，也可以访问 AWS Support 网页。购买了 Enterprise Support 的客户应该联系自己的 TAM 询问 GDPR 相关问题。

客户在实现 GDPR 合规的过程中可以利用两项计划：

• 云运营审核 – 该计划面向 AWS Enterprise Support 客户，旨在帮助客户发现自己在实现云运营方面的不足。该计划源自 AWS 在与大量代表性客户合作的经验中提炼出来的一系列运营最佳实践，计划内容是对云运营和相关管理实践进行审核，可以帮助组织实现 GDPR 合规性。该计划采用一种包含四项支柱的方法，重点关注基于云的系统的准备、监控、运行和优化，目的是实现卓越运营。
• Well-Architected Review – 该计划让组织能够对照 AWS 最佳实践来评估自己的架构，并构建安全、可靠、高性能并且经济高效的架构。Well-Architected Reviews 还让客户能够了解自己的架构中存在风险的地方，并在应用程序投入生产之前消除这些风险。

AWS 制定了安全事件监控和数据泄露通知流程，并将根据 AWS DPA 及时向客户通知 AWS 安全漏洞。AWS 还为客户提供了多种工具，用于了解谁在什么时候从哪里访问了自己的资源。AWS CloudTrail 就是其中一种工具，让用户可以对 AWS 账户进行管理审核、合规性审核、操作审核和风险审核。借助 AWS CloudTrail，客户可以针对与整个 AWS 基础设施中的操作相关的账户活动进行日志记录、持续监控并保留相关信息。这可以帮助组织了解自己的 AWS 基础设施的状态，并在出现任何异常活动时立即采取措施。要详细了解 AWS 为客户提供哪些其他安全工具来帮助其依据 GDPR 履行作为数据控制者的义务，请访问 AWS 云安全性网页。

AWS 为客户和 APN 合作伙伴提供了多种工具，用于保护数据并防范网络攻击。AWS Shield 就是一种这样的工具。AWS Shield 是一种托管的分布式拒绝服务 (DDoS) 攻击防护服务，可以保护 AWS 上运行的网站和应用程序。AWS Shield Standard 不额外收取费用，支持持续检测和自动内联缓解功能，可以最大限度地缩短应用程序停机时间和延迟。要针对以在 AWS 上运行并使用 ELB、Amazon CloudFront 和 Amazon Route 53 资源的 Web 应用程序为目标的攻击实现更高级别的防护，客户和 AWS 合作伙伴可以购买 AWS Shield Advanced。AWS 还会发布并定期更新应对 DDoS 的 AWS 最佳实践，帮助客户使用 AWS 构建可以应对 DDoS 攻击的应用程序。

AWS 提供的保护客户数据免受网络攻击的其他工具包括：

• AWS Identity and Access Management（IAM），让组织能够安全地管理对 AWS 服务和资源的访问。客户和 AWS 合作伙伴可以使用 IAM 创建和管理 AWS 用户和组，并使用各种权限来允许或拒绝他们访问 AWS 资源。IAM 是 AWS 账户提供的一项功能，不额外收取费用。
• AWS Config，让客户和 APN 合作伙伴能够使用预先打包的规则，确保其 AWS 资源处于正确的配置状态和合规状态。
• AWS CloudTrail，让组织能够针对与 AWS 中的操作相关的账户活动进行日志记录、持续监控并保留相关信息记录，从而简化安全分析、资源更改跟踪和故障排除工作（所有 AWS 账户均默认启用 AWS CloudTrail）。
• Amazon GuardDuty，一种托管的威胁检测服务，可以持续监控恶意或未经授权的行为，从而保护 AWS 账户和工作负载。其会监控可能表明账户被盗的行为，例如异常 API 调用或可能未经授权的部署。GuardDuty 还会检测可能被盗用的实例或来自攻击者的侦测。

Amazon Macie 是一项完全托管的数据安全和数据隐私服务，它利用机器学习和模式匹配来发现和保护 AWS 中的个人数据。随着组织管理越来越多的数据，大规模地识别和保护它们的个人数据会变得越来越复杂、昂贵和耗时。Amazon Macie 可以大规模自动发现个人数据，同时降低保护数据的成本。Macie 会自动提供 Amazon S3 存储桶的清单，包括未加密的存储桶、可公开访问的存储桶以及与 AWS 账户共享的存储桶的列表，其中这些账户不属于您在 AWS Organizations 中定义的账户。然后，Macie 将机器学习和模式匹配技术应用于您选择的存储桶，以识别个人数据并向您发出警报。

Amazon Macie 通过了多项国际公认的标准认证，例如针对云安全性的 ISO 27017 和针对云隐私保护的 ISO 27018。客户和 APN 合作伙伴也可以使用 Macie 持续监控对其数据的访问，以便根据访问模式检测可疑活动。

为了帮助客户符合 GDPR 规定，AWS 提供了多种工具来控制对其 AWS 内容中包含的个人数据的访问。这些工具包括：

• 默认安全意味着 AWS 服务通过设计来实现默认安全性。如果使用默认配置，那么对资源的访问权限就会锁定到账户所有者和根管理员。
• AWS Identity and Access Management（IAM），使客户能够安全地管理对 AWS 服务和资源的访问。组织可以使用 IAM 创建和管理 AWS 用户和组，并使用各种权限来允许或拒绝他们访问 AWS 资源。IAM 是 AWS 账户提供的一项功能，不额外收取费用。
• AWS Multi-Factor Authentication，可以为 AWS 账户的用户名和密码提供一层额外的防护。AWS 允许客户选择虚拟和硬件 MFA 设备。
• AWS Directory Service，让客户可以与企业目录集成和联合，以便减少管理开销并提升最终用户体验。
• AWS Config，让客户能够使用预先打包的规则，帮助确保其 AWS 资源处于正确的配置状态和合规状态。
• AWS CloudTrail，让客户能够针对与整个 AWS 基础设施中的操作相关的账户活动进行日志记录、持续监控并保留相关信息记录，从而简化安全分析、资源更改跟踪和故障排除工作（所有 AWS 账户均默认启用 AWS CloudTrail）。
• Amazon Macie，可以自动发现、分类和保护 AWS 中的敏感数据，利用机器学习帮助客户避免数据丢失。这种完全托管的服务会持续监控数据访问活动是否存在异常，并在检测到未经授权访问或意外数据泄露风险（例如客户意外向外部开放敏感数据）时生成详细的警报。

AWS 让客户和 APN 合作伙伴能够为云中的静态客户数据增加一层额外的安全防护，并帮助他们履行自己在 GDPR 下作为数据控制者在安全处理数据方面的义务。AWS 上提供的加密工具包括：

• 可在 AWS 存储和数据库服务（如 Amazon Elastic Block Store、Amazon S3、Amazon Glacier、Amazon DynamoDB、Oracle RDS、SQL Server RDS 和 Redshift）中使用的数据加密功能
• 灵活的密钥管理选项（包括 AWS Key Management Service），让客户能够选择是让 AWS 管理加密密钥还是自行完全控制密钥
• 加密消息队列，用于针对 Amazon SQS 使用服务器端加密（SSE）来传输敏感数据
• 使用 AWS CloudHSM 的基于硬件的专用加密密钥存储，让客户可以满足合规性要求

另外，AWS 还为客户和 APN 合作伙伴提供了相应的 API，用于将加密和数据保护与他们在 AWS 环境中开发或部署的所有服务相集成。

AWS 提供特定的功能和服务，它们将有助于客户符合 GDPR 要求：

访问控制：只允许授权的管理员、用户和应用程序访问 AWS 资源

• Multi-Factor-Authentication (MFA)
• 对 Amazon S3 存储桶/Amazon SQS/Amazon SNS 等中的对象的细粒度访问
• API 请求验证
• 地理限制
• 通过 AWS Security Token Service 获取的临时访问令牌

监控和日志记录：获取 AWS 资源相关活动的概况

• 通过 AWS Config 执行资产管理和配置
• 通过 AWS CloudTrail 执行合规性审核和安全性分析
• 通过 AWS Trusted Advisor 识别配置方面存在的挑战
• 细粒度记录对 Amazon S3 对象的访问
• 通过 Amazon VPC 流日志获取网络中流量的详细信息
• 通过 AWS Config 规则执行基于规则的配置检查和操作
• 通过 AWS CloudFront 中的 AWS WAF 功能筛选和监视对应用程序的 HTTP 访问

加密：在 AWS 上加密数据

• 使用 AES256 (EBS/S3/Glacier/RDS) 对闲置的数据加密
• 集中化托管密钥管理 (按 AWS 地区)
• IPsec 通过 VPN 网关进入 AWS
• 通过 AWS CloudHSM 在云中使用专用 HSM 模块

强大的合规框架和安全标准：我们证明遵守严格的国际标准，例如：

• ISO 27001，适用于技术措施
• ISO 27017，适用于云安全性
• ISO 27018，适用于云隐私保护
• SOC 1、SOC 2 和 SOC 3、PCI DSS 1 级、
• BSI 的 Common Cloud Computing Controls Catalogue（C5）
• ENS 高级认证

GDPR 是一个欧盟规定，英国脱欧后，不再适用于英国。 英国政府将 GDPR 的要求包括在英国法律中，即“英国 GDPR”。

AWS 在 AWS DPA 中提供符合英国 GDPR 的英国 GDPR 附录，其中包含 AWS 根据英国 GDPR 作为数据处理者的承诺。英国 GDPR 附录是 AWS 服务条款的一部分，自动适用于需要数据处理协议以遵循英国 GDPR 的所有客户。

英国 GDPR 附录是 AWS 服务条款的一部分，包括 EC 采用的 SCC 和英国数据保护监管机构（信息专员办公室）发布的国际数据传输附录（IDTA）。 IDTA 对 SCC 进行了修正，以确保它们在英国 GDPR 下为向英国以外的国家（英国第三国）的国际数据传输提供适当的保护。英国 GDPR 附录确认，只要客户使用 AWS 服务将受英国 GDPR 约束的客户数据（英国客户数据）传输到除英国以外的第三国，SCC（通过 IDTA 修正）将会自动适用。 作为 AWS 服务条款中的英国 GDPR 附录的一部分，当客户使用 AWS 服务将英国客户数据传输到除英国以外的第三国时，SCC（通过 IDTA 修正）将会自动适用。

AWS 提供了 AWS 数据处理附录的瑞士附录（“瑞士附录”），其中纳入了 AWS 作为数据处理者在《瑞士联邦数据保护法》（“FDPA”）下的承诺。瑞士附录是 AWS 服务条款的一部分（参见第 1.14.4 节），当 FDPA 适用于客户使用 AWS 服务处理客户数据时，将自动适用。

AWS 数据处理附录的瑞士附录是 AWS 服务条款的一部分（参见第 1.14.4 节），包括欧盟委员会通过并根据瑞士联邦数据保护和信息专员的要求修正的标准合同条款（“SCC”）。瑞士附录确认，只要客户使用 AWS 服务将受 FDPA 约束的客户数据传输到第三国，SCC（通过瑞士附录修正）将会自动适用。

建议在 GDPR 方面有问题的客户先联系自己的 AWS 客户经理。注册了 Enterprise Support 的客户也可以联系自己的技术客户经理 (TAM)。TAM 会与解决方案架构师合作，帮助客户确定潜在的风险和可能的缓解措施。TAM 和客户团队还可以根据客户和 APN 合作伙伴的环境和需求，为其指明特定资源。

AWS 还设立了企业支持代表团队、专业服务咨询团队和其他员工团队，协助解决 GDPR 方面的问题。如有疑问，可在此处联系我们。