清空
隐私保护
透明
我们坚持开放的态度，在处理个人数据和华为端到端的隐私保护方法时，对监管机构，客户和消费者都是透明的。信息的使用政策应该是对用户透明的。用户应该根据自己的需要来控制何时接收以及是否接收信息。
隐私保护和通用数据保护条例(GDPR)
欧盟《通用数据保护条例》（GDPR）已于2018年5月25日起适用。该条例将影响适用于GDPR的企业收集和管理其客户及雇员个人数据的方式。根据GDPR，任何在欧盟设立机构的企业或者向欧盟境内提供产品和服务的企业在处理欧盟数据主体的个人数据时都应当遵从该要求。
作为ICT（信息与通信）基础设施和智能终端提供商，华为一直充分重视隐私保护并郑重的对待相应的责任。华为已经将隐私保护的要求融入日常业务活动中的流程。
华为遵从全球适用的隐私法律，包括GDPR。华为将确保相关业务遵从适用的GDPR要求。
1. 华为对隐私保护高度重视。为了确保有效的落实隐私保护各项要求，我们采取了跨部门协同的方式。成立已久的全球网络安全与用户隐私保护委员会是公司网络安全和用户隐私保护的最高管理机构。全球网络安全与用户隐私保护官直接向CEO汇报。华为所有业务单元均设置有专职的隐私相关的角色和/或组织。根据GDPR的要求，我们任命了欧盟数据保护官。
2. 华为采用了业界认可的隐私保护方法和实践。为了帮助各业务部门更好的识别和削减业务活动中的隐私风险，我们在几年前就引入了隐私影响评估方法来评估我们的产品和服务。在GDPR适用的业务场景中，我们：（1）建立了个人数据清单来维护个人数据处理记录；（2）建立了个人数据泄露应急响应机制，一旦发生个人数据泄露，华为会基于现有响应流程立即组建应急团队。为了尽可能保护用户隐私，我们努力减少个人数据泄露可能导致的损失以及确保受数据泄露影响的人员得到适当的通知；（3）重新审视和优化了对适用于GDPR的供应商的个人数据处理活动的隐私保护要求并在管理供应商流程中嵌入了遵从要求。
3. 华为定期持续向员工提供隐私合规培训，其中，华为非常重视提升员工的GDPR合规意识，确保每一位涉及GDPR的员工和合作伙伴都基于其特定的工作和职能的需要，能够准确理解数据保护的法律原则，并严格执行公司适用的制度和流程。
4. 华为持续获得国际认可的认证和鉴定，展示华为遵从了业界公认的国际标准，包括ISO 27001，CSA STAR，ePrivacy Seal等。
5. 为确保我们合规，我们的内部审计部门完成了全面的技术和流程的审视。
对于华为来说，GDPR合规只是华为隐私保护的一部分。隐私保护不仅仅是法律的要求，也是华为作为ICT（信息与通信）基础设施和智能终端提供商的社会责任。我们将持续改进和优化我们的产品和服务来保障安全和隐私，减少客户和用户的隐私保护风险。
责任
遵从隐私保护既是法律法规的要求，也是价值观的体现。用户应该能够适当地控制他们的数据的使用方式。用户的隐私数据要有完善的保护能力和机制。
华为已发布并定期审视和刷新全球隐私政策（《华为隐私保护总体政策》），系统地阐述了华为的隐私政策，旨在确保华为遵从业务所在国隐私和个人数据保护方面所有适用的法律法规。我们也明确了相关部门在GDPR合规方面的责任。
合规
华为遵从全球适用的隐私法律，包括GDPR。华为将确保相关业务遵从适用的GDPR要求。
隐私风险评估
我们使用隐私风险评估（PIA）方法来评估和削减产品和服务中的隐私风险。在隐私影响评估的流程中，我们要求项目充分评估项目场景中是否涉及处理个人数据、个人的数据清单和数据流图是什么、识别在数据处理场景中华为的角色。如果华为为数据控制者，且数据处理场景属于高风险场景，我们要求项目执行要求更高的DPIA来评估隐私风险影响。
1.我们首先要求项目充分评估项目场景中是否涉及处理个人数据，对于不涉及个人数据的项目不需要进行PIA；
2.如果涉及个人数据，项目需要建立数据清单和数据流图；
3.项目要分析在数据处理场景中华为的角色。如果华为是数据控制者，华为则需要判断是否要执行要求更高的DPIA评估；如果华为为数据处理者，则需要判断是否执行PIA评估；如果华为两个角色都不是，则需要符合隐私保护设计规范。
4.在执行完DPIA或者PIA之后，项目需要输出相应的报告。
数据泄露流程
华为建立了个人数据泄露应急响应机制，一旦发生个人数据泄露，华为会基于现有响应流程立即组建应急团队。为了尽可能保护用户隐私，我们努力减少个人数据泄露可能导致的损失以及确保受数据泄露影响的人员得到适当的通知。
1）个人数据泄露隐私风险定级公式
风险等级R = 个人数据敏感度（DC） X 个人数据可识别度（EI） + 个人数据泄露场景（CB），其定义及赋值描述如下：
- 个人数据敏感度（Data processing context）：分为非敏感个人数据（基础分值1分）和敏感个人数据（基础分值2分）。
- 如果属于同一个数据主体的个人数据泄露数量过多，或个人的特殊特征明显，则该项分值可在原有基础分值上适当增加，最高可增加至4分；
- 个人数据可识别度（Ease of Identification）：根据对泄露的个人数据识别相应数据主体的难易程度，分为加密数据（基础分值1分）和明文数据（基础分值2分）。
- 如果加密数据采用安全的最先进的密码算法加密，且密钥的机密性是完整的，从而导致泄露的个人数据无法破解为明文数据的，则该项分值设置为0.25分；
- 如果从泄露的明文数据或破解的加密数据识别数据主体的可能性较少或可以忽略时，则该项分值可在原有基础分值上适当减少，最低减少至0.25分。
- 个人数据泄露场景（Circumstances of breach）：
- A1、机密性损失，权限设置不当导致的个人数据泄露；
- A2、完整性损失，个人数据被篡改或替换导致相应的数据主体利益受损；
- A3、可用性损失，个人数据无法被正常访问导致相应的数据主体利益受损；
- A4、恶意行为导致的个人数据泄露。
每个CB要素所获得的分数都会添加到最终分数,它们与DC和EI互补，具体赋值及描述举例如下表所示：
| 数据泄露类型 | 得分 | 描述 | 举例 |
| A1 | 0.25 | 个人数据泄露给若干已知的错误接收者。 | 1）含有个人数据的邮件被错误地发送给了若干已知的接收者。
2）权限设置有误导致一些用户能够访问其他用户的个人数据。 |
| 0.5 | 个人数据泄露给若干未知的接收者。 | 1）个人数据被错误上传至公开网页。
2）由于错误的配置导致任意用户能够访问网站中所有的个人数据。 |
|
| A2 | 0.25 | 个人数据发生的变化且被错误或非法使用导致数据主体已受影响，但有可能恢复。 | 系统中一定范围内保存的账号密码发生变化，受影响的账号在一段时间内无法正常登录。变化的数据可以被恢复。 |
| 0.5 | 个人数据发生的变化且被错误或非法使用导致数据主体已受影响，且无法恢复。 | 系统中一定范围内保存的账号密码发生变化，变化的数据无法恢复，导致受影响的账号永久无法登录。 | |
| A3 | 0.25 | 个人数据无法被访问，但数据可恢复。 | 由于维护人员的错误操作，导致在线服务的用户账号丢失，但可以通过其他数据库来重建。 |
| 0.5 | 个人数据无法被访问，且完全无法恢复。 | 某论坛数据库被破坏，导致保存的用户所有论坛活动记录全部丢失。丢失的数据没有备份，也不能由数据主体再次提供。 | |
| A4 | 0.5 | 恶意行为导致的个人数据泄露，从而对企业或个人造成影响。 | 1）内部员工将客户的个人数据共享至外部网站。
2）内部员工将客户的个人数据售卖给第三方牟利。 3）外部黑客入侵公司IT系统并窃取个人数据。 |
2)利用风险定级之后，对个人数据泄露事件分级如下：
| 名称 | 定义 |
| 一级 R≥4 |
泄露的个人数据会造成数据主体可能遭受重大影响，导致华为的隐私保护被媒体、公众群体或数据保护监管机构质疑，可能带来严重的负面结果的个人数据泄露事件。如全球知名媒体曝光华为某产品存在0Day漏洞并导致大量个人数据被公开售卖等。 |
| 二级 4＞R≥3 |
个人数据已泄露，对数据主体造成较大影响，但采取一定措施或手段可以降低风险或消除风险的个人数据泄露事件。如消费者BG电子商城被黑客攻击成功窃取少量用户的账号密码，但该账号密码仅能用于生成购买手机订单等。 |
| 三级 3＞R |
个人数据存在泄露隐患，且对数据主体无影响或仅存在微小影响。如含有个人数据的便携机失而复得，错误泄露给接收者的个人数据被加密等。 |
用户对隐私数据的处理请求
“华为数据主体权利请求”是由华为技术有限公司为您提供行使数据主体权利请求的平台。我们为您提供了多个提交请求的途径：
1: 打开华为官网，点击“隐私政策”，在第4章节找到“点击此处”，打开数据主体请求提交页面，提交请求。页面链接： 个人数据维护>>
2: 打开消费者官网，点击“隐私声明”，点击“告知我们”，打开数据主体请求提交页面，提交请求。页面链接： 隐私问题>>
3: 或在手机上打开HiCare应用，点击“隐私问题”，进入官网入口页面，提交请求
