11月1日，由中国信通院主办的2019（第二届）中国金融科技产业峰会进入了第二天分论坛环节。其中，分论坛二《区块链与加密技术在金融领域应用》在中国信通院云大所金融科技部技术总监许一骏主持下隆重召开。

会上，来自深圳前海微众银行区块链平台研发负责人李辉忠为与会者带来了主题为“GDPR与隐私保护技术解析”的精彩分享。

深圳前海微众银行区块链平台研发负责人李辉忠

李辉忠：大家上午好！非常感谢中国信通院的邀请来参与此次论坛。

我刚才看了一下后面所有嘉宾分享的题目，今天论坛的名字是区块链与加密技术在金融领域的应用，我要演讲的内容既没有区块链，也没有加密技术，更没有“金融”两字，后面所有的演讲题目都至少有这其中1-2个关键字，所以大家可能会好奇我今天讲的内容是什么。我今天可能会讲一些在区块链和加密技术结合应用到金融领域需要做的一些事情的原因是什么，我们为什么要做这件事情，后面嘉宾分享的是怎么做这件事情，应用什么技术、应用什么算法。

在区块链与加密技术结合应用到金融领域以及其他更广泛领域之后，非常关键了一个事情就是如何保护隐私，为什么要保护隐私？有什么相关的法律法规在支撑这件事情？所以主要分享GDPR以及隐私保护技术相关的解析。

最近业界发生的一些事情。10月21号，杭州51信用卡因为涉及到不合规的一些催款、催债方式被警方带走。这之前，杭州一家公司也发生类似事情。尤其最近1-2个月高密度发生这些事情，我自己有两个思考：

1、我对杭州这个城市充满了敬畏之心，因为所有了事情都发生在那里。

2、隐私保护这件事情现在逐渐被国家层面、政府层面提到一个非常关键的位置，提到一个非常重要的高度。

隐私保护是在保护什么？哪些需要保护？我们反过来问一问自己，你会介意别人知道你的财务状况吗？假如你在享用一些互联网服务时，会介意别人知道你的位置状况吗？从产品角度来讲，在设计一款产品时，可能会考虑你的用户是否介意披露他自己的敏感信息，如披露他的身份、职业、行为习惯、相关社会关系，产品所涉及用户会不会care这个东西，这也是在设计产品时可能现在开始很多产品都要考虑的问题。

来自监管的维度，现在监管会对一些产品，尤其是金融产品、互联网服务的产品进行灵魂拷问，如相应获取用户信息的行为和应用功能是否满足相关的法律法规，是否能够满足仲裁的要求，是否能够满足需要审查时具备审查的要求，这个应用所做的功能和特性是否满足行业准入规范？我们逐渐会面临到做一款产品过程中遇到的一些问题。这些多维度的灵魂拷问的问题归结起来都是同一个问题：即现在大家非常关注自己的个人敏感数据、个人隐私数据，个人对自己的数据已经有了更大的权限，就是希望去控制它，不希望我自己的数据被其它产品、其它公司、其他人滥用，需要我的个人隐私得到保护，这是我们逐渐互联网从零开始发展到现在逐渐演变形成的一种状态。

现在各种机构都在高度关注隐私保护的需求，我们国家网信办在法律层面对隐私保护进行了定义，最近《个人金融信息隐私保护条例》发布，各行业正在征求意见阶段，业界公司，像腾讯、华为等也会对隐私保护提出他们自己的行为准则。如腾讯提出“科技向善，数据有度，为用户提供合理的隐私保护，全方位保障用户数据安全”，很多大公司出来的产品在需要收集个人信息时，明确告诉你需要收集哪些信息，需要得到你的同意，这有法律法规支撑。华为认为隐私是用户的基本权利，用户需要对自己的隐私拥有完整的控制权。需要在技术层面，行为准则层面对设计产品时提出更高的要求。大家关注度高的是欧盟的GDPR，GDPR法律法规非常冗长，综合整理就是一句话：需要让用户对自己的数据具有完全的控制权，并且需要监管能够非常方便地去审查这个产品是否符合要求。也就是说在设计一款产品时，如果要满足GDPR的规范，必须要提供非常方便、非常简便的方式供监管机构来审查，让监管变得更简单，而不是更复杂。各种机构都在高度关注隐私保护的需求。

GDPR的由来。

GDPR是欧盟在2016年颁布的，主要关注的是欧盟区里居民在数字生活中享有的个人数据保护和隐私保护的权利。这个条例已经在2018年5月份时生效。GDPR法律效覆盖范围主要是在商业应用领域，如科研、公益类领域里可以突破GDPR框架。

对于商业活动，必须完全遵守GDPR，因为GDPR提出了非常高的罚款条例。如，高罚款额度能达到集团全球年度总收入的4%。如果不遵守GDPR，带来的影响是巨大的，有可能带来的后果是整个公司倒闭。

受到GDPR的影响，各国都在颁布和出台隐私保护条例，包括我们国家，以及新加坡、日本等等。可以看到各国都在大力出台相关法律法规。

GDPR罚款非常重，最近几年Google、Facebook等大公司因为触犯相关个人数据隐私问题遭受的处罚，2016年之前，他们罚款额度涉及金额大概在几十万、百万级别，但2017年之后罚款额度完全不是一个量级，这会倒逼像Google、Facebook等公司对自己产品和自己产品提供的服务，对服务所涉及关于个人数据方面的功能都要进行巨大的改革。

GDPR核心是什么？

GDPR定义了什么叫个人数据？就是个人行为直接产生的，以及第三方报导你个人相关数据都属于你个人数据，比如你做了一件事情，有一个新闻媒体把这件事情暴露在社交网站上，这个数据也属于你个人的数据，因为这个数据是你个人发生的行为。

GDPR规定对个人数据有七大权利：

知情权，产品提供服务需要告诉用户收集了什么数据；数据访问权，用户随时可以访问自己的数据；数据更正权，如果用户发现数据有错，有权利可以更改，必须提供更改的能力；被遗忘权，在一些部分场景下需要能够允许用户删除自己个人历史数据；限制处理权、数据携带权等。

我们提供很多金融服务时，根据个人征信等其他信息，会发现每个人提供的额度、幅度是不一样的，很多是自动化决策的，GDPR里规范了如果用户对自动化决策决议有异议，产品服务必须提供给他解释的可能。比如为什么我的额度只有1万，你的额度是10万？必须要解释这个事情，这是GDPR规定用户的权利。

隐私保护现在面临落地困难的局面，我分析主要有三方面原因：

第一，人才稀缺。因为涉及到区块链、加密技术等各种比较高门槛的技术。

第二，在隐私需求里差异较大，不同场景需要用到的技术领域不一样，需要应用到的技术组件也不一样。

第三，业内充斥非常多不是特别专业的观点。

例，隐私保护是否等于数据加密？通过加密后的数据仍然能够知道大概是什么东西，并不能完全保护个人隐私。

隐私保护是否等于信息安全？也不相等。信息安全主要关注的是漏洞、防火墙、权限、访问权限等，隐私更关注的是身份数据泄露问题，敏感数据在未授权情况下访问问题，选择性披露个人部分数据等等一些技术领域，需要用到非常多密码学技术，但与信息安全不一样。

业内有众多人和机构都喊零知识，有人认为零知识是万能的，但其实零知识不是万能的，零知识有能力边界，不能进行计算。零知识不等于计算的困难性。很多人认为我的数据做了哈希，是否就不会透露个人隐私？这是有一些前提的，如果你的数据集非常小，如数据就是年龄，无非1-100多，哈希完了之后，太容易判断出来了。哈希不一定等于零知识。

这些观点会导致我们落地时面临很多困境。

隐私保护技术在落地时，对于不同目标需要采用不同的技术体系。

例：在做群体隐匿时，大数据挖掘等场景应用到假名化、数据脱敏的技术。

身份隐匿，应用匿名支付、匿名投票场景，应用到群签名、环签名、零知识证明等技术。

数据隐匿，场景应用到多方计算、同态、TEE等场景。

现在很难出现一个技术能力解决所有隐私保护的场景。

基于这样一个背景和前提，微众银行不仅在做区块链、不仅做加密的算法和应用，也非常重视隐私保护技术，我们即将推出一个隐私保护平台，这个平台跟底层区块链平台完全解耦，能够非常灵活配置一键生成不同场景化的应用，会对场景进行一站式解决方案的包装，做到整个场景下全周期敏感数据的隐私保障。欢迎大家了解我们一些技术细节。

我今天的分享主要是这些。谢谢大家！