合规
华为遵从全球适用的隐私法律，包括GDPR。华为将确保相关业务遵从适用的GDPR要求。
隐私风险评估
我们使用隐私风险评估（PIA）方法来评估和削减产品和服务中的隐私风险。在隐私影响评估的流程中，我们要求项目充分评估项目场景中是否涉及处理个人数据、个人的数据清单和数据流图是什么、识别在数据处理场景中华为的角色。如果华为为数据控制者，且数据处理场景属于高风险场景，我们要求项目执行要求更高的DPIA来评估隐私风险影响。
1.我们首先要求项目充分评估项目场景中是否涉及处理个人数据，对于不涉及个人数据的项目不需要进行PIA；
2.如果涉及个人数据，项目需要建立数据清单和数据流图；
3.项目要分析在数据处理场景中华为的角色。如果华为是数据控制者，华为则需要判断是否要执行要求更高的DPIA评估；如果华为为数据处理者，则需要判断是否执行PIA评估；如果华为两个角色都不是，则需要符合隐私保护设计规范。
4.在执行完DPIA或者PIA之后，项目需要输出相应的报告。
数据泄露流程
华为建立了个人数据泄露应急响应机制，一旦发生个人数据泄露，华为会基于现有响应流程立即组建应急团队。为了尽可能保护用户隐私，我们努力减少个人数据泄露可能导致的损失以及确保受数据泄露影响的人员得到适当的通知。
1）个人数据泄露隐私风险定级公式
风险等级R = 个人数据敏感度（DC） X 个人数据可识别度（EI） + 个人数据泄露场景（CB），其定义及赋值描述如下：
- 个人数据敏感度（Data processing context）：分为非敏感个人数据（基础分值1分）和敏感个人数据（基础分值2分）。
- 如果属于同一个数据主体的个人数据泄露数量过多，或个人的特殊特征明显，则该项分值可在原有基础分值上适当增加，最高可增加至4分；
- 个人数据可识别度（Ease of Identification）：根据对泄露的个人数据识别相应数据主体的难易程度，分为加密数据（基础分值1分）和明文数据（基础分值2分）。
- 如果加密数据采用安全的最先进的密码算法加密，且密钥的机密性是完整的，从而导致泄露的个人数据无法破解为明文数据的，则该项分值设置为0.25分；
- 如果从泄露的明文数据或破解的加密数据识别数据主体的可能性较少或可以忽略时，则该项分值可在原有基础分值上适当减少，最低减少至0.25分。
- 个人数据泄露场景（Circumstances of breach）：
- A1、机密性损失，权限设置不当导致的个人数据泄露；
- A2、完整性损失，个人数据被篡改或替换导致相应的数据主体利益受损；
- A3、可用性损失，个人数据无法被正常访问导致相应的数据主体利益受损；
- A4、恶意行为导致的个人数据泄露。
每个CB要素所获得的分数都会添加到最终分数,它们与DC和EI互补，具体赋值及描述举例如下表所示：
| 数据泄露类型 | 得分 | 描述 | 举例 |
| A1 | 0.25 | 个人数据泄露给若干已知的错误接收者。 |
1）含有个人数据的邮件被错误地发送给了若干已知的接收者。 2）权限设置有误导致一些用户能够访问其他用户的个人数据。 |
| 0.5 | 个人数据泄露给若干未知的接收者。 |
1）个人数据被错误上传至公开网页。 2）由于错误的配置导致任意用户能够访问网站中所有的个人数据。 |
|
| A2 | 0.25 | 个人数据发生的变化且被错误或非法使用导致数据主体已受影响，但有可能恢复。 | 系统中一定范围内保存的账号密码发生变化，受影响的账号在一段时间内无法正常登录。变化的数据可以被恢复。 |
| 0.5 | 个人数据发生的变化且被错误或非法使用导致数据主体已受影响，且无法恢复。 | 系统中一定范围内保存的账号密码发生变化，变化的数据无法恢复，导致受影响的账号永久无法登录。 | |
| A3 | 0.25 | 个人数据无法被访问，但数据可恢复。 | 由于维护人员的错误操作，导致在线服务的用户账号丢失，但可以通过其他数据库来重建。 |
| 0.5 | 个人数据无法被访问，且完全无法恢复。 | 某论坛数据库被破坏，导致保存的用户所有论坛活动记录全部丢失。丢失的数据没有备份，也不能由数据主体再次提供。 | |
| A4 | 0.5 | 恶意行为导致的个人数据泄露，从而对企业或个人造成影响。 |
1）内部员工将客户的个人数据共享至外部网站。 2）内部员工将客户的个人数据售卖给第三方牟利。 3）外部黑客入侵公司IT系统并窃取个人数据。 |
2)利用风险定级之后，对个人数据泄露事件分级如下：
| 名称 | 定义 |
|
一级 R≥4 |
泄露的个人数据会造成数据主体可能遭受重大影响，导致华为的隐私保护被媒体、公众群体或数据保护监管机构质疑，可能带来严重的负面结果的个人数据泄露事件。如全球知名媒体曝光华为某产品存在0Day漏洞并导致大量个人数据被公开售卖等。 |
|
二级 4＞R≥3 |
个人数据已泄露，对数据主体造成较大影响，但采取一定措施或手段可以降低风险或消除风险的个人数据泄露事件。如消费者BG电子商城被黑客攻击成功窃取少量用户的账号密码，但该账号密码仅能用于生成购买手机订单等。 |
|
三级 3＞R |
个人数据存在泄露隐患，且对数据主体无影响或仅存在微小影响。如含有个人数据的便携机失而复得，错误泄露给接收者的个人数据被加密等。 |
用户对隐私数据的处理请求
“华为数据主体权利请求”是由华为技术有限公司为您提供行使数据主体权利请求的平台。我们为您提供了多个提交请求的途径：
1: 打开华为官网，点击“隐私政策”，在第4章节找到“点击此处”，打开数据主体请求提交页面，提交请求。页面链接： 个人数据维护>>
2: 打开消费者官网，点击“隐私声明”，点击“告知我们”，打开数据主体请求提交页面，提交请求。页面链接： 隐私问题>>
3: 或在手机上打开HiCare应用，点击“隐私问题”，进入官网入口页面，提交请求
