PIPL 数据本地化

《中华人民共和国个人信息保护法》（PIPL, Personal Information Protection Law）于 2021 年 11 月 1 日起施行，是中国个人信息保护领域的基础性法律。PIPL 与《网络安全法》、《数据安全法》共同构成中国数据治理的法律框架。违规者最高可被处以 5000 万元或上一年度营业额 5% 的罚款，并可能被吊销营业执照。

对于电力与能源行业而言，电网作为关键信息基础设施，其运营者收集的用电行为数据、用户身份信息、设备位置信息等均受 PIPL 约束。EnerOS 通过区域化部署、数据驻留策略与个人信息保护影响评估能力，支持电网运营商满足 PIPL 要求。

法律概述

PIPL 共八章七十四条，核心要点包括：

个人信息定义

PIPL 将个人信息分为两类：

注意：精确到户的用电行为数据可能被认定为敏感个人信息（因其可推断家庭作息、是否在家等隐私信息），处理时须取得单独同意。

核心要求与实现

个人信息处理规则

合法性基础

PIPL 第 13 条规定了七种合法性基础，每种均需在 EnerOS 中显式声明：

[data_flow.legal_basis]
allowed_values = [
    "consent",                  # 取得个人同意
    "contract-performance",     # 为订立、履行合同所必需
    "legal-duty",              # 履行法定职责或法定义务
    "public-health-emergency", # 应对突发公共卫生事件
    "news-reporting",          # 新闻报道
    "public-interest",         # 法律规定为公共利益实施
    "other-law"                # 法律规定其他情形
]

告知同意流程

use eneros_privacy::consent::{ConsentRequest, ConsentScope};

let request = ConsentRequest::builder()
    .subject_id("user-12345")
    .purpose("用电行为分析与负荷预测")
    .scope(ConsentScope::Sensitive)
    .legal_basis("consent")
    .retention_days(365 * 7)
    .withdraw_url("/consent/withdraw/user-12345")
    .language("zh-CN")
    .notice_text("为提供负荷预测服务，需收集您的用电数据...")
    .build()?;

// 记录同意状态
let consent = request.execute().await?;
assert!(consent.is_granted());
assert_eq!(consent.scope(), ConsentScope::Sensitive);

跨境传输

PIPL 第 38-40 条对个人信息跨境传输提出了严格要求：

跨境策略引擎

use eneros_trust::region::{RegionPolicy, CrossBorderRequest};

let policy = RegionPolicy::new()
    .source_region("cn-east-1")
    .default_action("deny");

let request = CrossBorderRequest::builder()
    .source("cn-east-1")
    .destination("eu-west-1")
    .data_category("pii")
    .legal_basis("consent")
    .has_security_assessment(false)
    .build()?;

// 默认拒绝跨境
let decision = policy.evaluate(&request).await?;
assert_eq!(decision.action, "deny");
assert_eq!(decision.reason, "未通过安全评估");

EnerOS 合规实施

1. 区域独立集群部署

为满足关键信息基础设施运营者数据本地化要求，EnerOS 推荐在中国境内部署独立集群：

[deployment]
region = "cn-east-1"
country = "CN"
data_residency = "strict"            # 严格数据驻留
cross_border_policy = "deny-by-default"
sovereign_cloud = true               # 主权云模式

[deployment.localization]
database_in_region = true            # 数据库境内
storage_in_region = true             # 对象存储境内
ca_in_region = true                  # CA 境内独立
key_in_region = true                 # 密钥境内托管

[deployment.approvals]
cross_border_approver = "cip-officer@grid.cn"
security_assessment_required = true

2. 数据分类与标记

PIPL 要求数据处理者对个人信息进行分类管理，EnerOS 通过字段标记实现：

[data.classification]
standard = "pipl"
enabled = true

[[data.fields]]
name = "customer_name"
pii = true
category = "general-identifier"      # 一般个人信息
encryption = "AES-256-GCM"
retention_days = 2555

[[data.fields]]
name = "id_card_number"
pii = true
category = "sensitive"               # 敏感个人信息
encryption = "AES-256-GCM"
access_log = true                    # 访问留痕
separate_consent = true              # 单独同意

[[data.fields]]
name = "consumption_pattern"
pii = true
category = "sensitive"               # 用电行为可能推断作息
encryption = "AES-256-GCM"
pseudonymization = true              # 假名化处理

[[data.fields]]
name = "voltage_kv"
pii = false
category = "operational"
retention_days = 3650

3. 个人信息保护影响评估（PIA）

PIPL 第 55-56 条要求在特定情形下开展个人信息保护影响评估：

# 生成 PIA 评估模板
eneros-cli pia init --project "智能电表数据采集项目" \
  --output pia-smart-meter-2026.md

# 自动填充处理活动信息
eneros-cli pia autofill --input pia-smart-meter-2026.md \
  --data-flow smart-meter-collection

# 提交评审
eneros-cli pia submit --input pia-smart-meter-2026.md \
  --reviewer cip-officer@grid.cn

# 导出评估报告
eneros-cli pia export --id pia-2026-001 \
  --format pdf --output pia-2026-001.pdf

PIA 评估需留档至少 3 年（第 56 条要求）。

数据分类

EnerOS 按 PIPL 要求将数据分为四级：

配置示例

eneros.toml 完整 PIPL 配置

[compliance]
standard = "pipl"
version = "2021"
enforce = true
protection_officer = "pip-officer@grid.cn"

[pipl]
enabled = true
data_residency = "strict"
cross_border_policy = "deny-by-default"
breach_notification_hours = 24        # 立即上报网信办
default_retention_years = 7

# 个人信息处理者义务
[pipl.obligations]
appoint_protection_officer = true     # 任命数据保护负责人
conduct_annual_audit = true           # 年度合规审计
security_protection_measures = true
training_required = true              # 员工培训

# 同意管理
[pipl.consent]
default_scope = "explicit"            # 显式同意
separate_consent_for_sensitive = true # 敏感信息单独同意
withdraw_mechanism = true             # 撤回同意机制
withdraw_url = "/consent/withdraw"

# 数据主体权利
[pipl.rights]
response_days = 15                    # PIPL 要求 15 个工作日
extension_days = 30
notice_language = "zh-CN"
channels = ["web", "mobile", "offline"]

# 跨境传输
[pipl.cross_border]
default_policy = "deny"
security_assessment_required = true
standard_contract_required = true
separate_consent_required = true
cac_notification_threshold = 1000000  # 100 万人阈值

# 数据保留
[pipl.retention]
default_days = 2555                   # 7 年
sensitive_days = 1825                 # 敏感信息 5 年
auto_delete = true
notify_before_days = 30

# 处理记录
[pipl.processing_records]
auto_generate = true
retain_years = 3                      # 第 56 条要求至少 3 年
storage = "worm"

Rust 代码：合规检查

use eneros_compliance::pipl::ComplianceChecker;

let checker = ComplianceChecker::new("eneros.toml")?;
let report = checker.check().await?;

for finding in &report.findings {
    match finding.severity {
        Severity::Critical => println!("严重: {}", finding.description),
        Severity::High => println!("高: {}", finding.description),
        Severity::Medium => println!("中: {}", finding.description),
        Severity::Low => println!("低: {}", finding.description),
    }
}

println!("合规分数: {}/100", report.score);

区域驻留配置

[region]
id = "cn-east-1"
country = "CN"
data_residency = "strict"   # 拒绝任何跨境明文传输
cross_border_policy = "deny-by-default"

[region.sovereign]
enabled = true
local_ca = "/etc/eneros/ca-cn.crt"
local_kms = "kms://cn-east-1"
local_dns = ".grid.cn"

// 跨区访问默认被策略引擎拒绝
policy.deny(
    Subject::region("cn-east-1"),
    Action::Read,
    Resource::region("eu-west-1").data("pii")).await?;

合规检查清单

部署前请逐项确认：

• 部署独立的 cn-region 集群，数据库与对象存储位于境内
• 跨境传输策略默认拒绝，显式审批后才放行
• 任命个人信息保护负责人并公开联系方式
• 个人信息处理目的、方式、范围在 eneros.toml 中显式声明
• 敏感个人信息（如用电行为）单独同意流程
• 数据保留期限到期自动删除并记录审计
• 年度个人信息保护影响评估（PIA）并存档
• 发生或可能发生泄露时立即补救并上报网信办
• 处理活动记录自动生成并保留 ≥ 3 年
• 14 岁以下未成年人信息处理须取得监护人同意
• 自动化决策提供说明与拒绝通道
• 数据主体请求 15 个工作日内响应
• 委托处理签订协议并记录
• 向第三方提供前进行单独同意
• 关键信息基础设施运营者数据本地化
• 跨境传输达 100 万人须向网信办申报
• 员工年度培训记录归档
• 隐私政策使用中文清晰表述

相关文档

• GDPR 数据主体权利
• CCPA 知情权与 opt-out
• 国际化与合规
• 多区域与灾备