ISACA Certified Data Privacy Solutions Engineer (CDPSE)

**把 PII / PHI / PCI 的适用范围混为一谈** — PII（个人可识别信息）是最宽泛的概念，GDPR 下叫 **"Personal Data"**（比 PII 更广，包括 IP、cookie ID、设备指纹）；**PHI**（Protected Health Information）是 HIPAA 下的专有概念，只在美国医疗场景用；**PCI DSS** 管的是支付卡数据（PAN、CVV、track data），是支付卡行业自律标准不是法律。CDPSE 经常设陷阱：题目问"欧盟公司处理客户信用卡号适用哪个法规" → 正确答案是 **GDPR（Personal Data）+ PCI DSS**，而不是 HIPAA（HIPAA 是美国法规）。看到 "PII" 别本能选，先看题干是哪个司法管辖区。

**Privacy by Design 和 Data Minimization 搞混** — **Privacy by Design（GDPR Art 25(1)）** 是 7 原则的哲学：从系统设计之初就把隐私考虑进去（Proactive not Reactive / Privacy as Default / End-to-End Security 等），是**贯穿全生命周期**的方法论。**Data Minimization（GDPR Art 5(1)(c)）** 只是**一条具体原则**：只收集必要的数据。Privacy by Design 包含 Data Minimization 但不等于它。题目问"设计一个新系统时 FIRST 应用的是" → Privacy by Design（是方法论入口）；问"如何减少数据泄露影响的 BEST 做法" → Data Minimization（是具体技术手段）。

**GDPR Art 25（Privacy by Design）和 Art 32（Security of Processing）的职责范围搞混** — Art 25 关注的是**系统设计阶段**的隐私嵌入（默认设置、最小化、假名化作为隐私技术），只对 Controller 强制；Art 32 关注的是**运营阶段**的安全控制（加密、完整性、可用性、定期测试），对 Controller 和 Processor 都强制。题目问"SaaS 供应商作为 Processor 必须满足的 GDPR 条款" → Art 32（不是 Art 25，Art 25 只约束 Controller）。这是 Architecture domain 的高频陷阱题。

**DPIA 触发条件搞不清** — GDPR Art 35 明确 DPIA 是"high risk"处理活动**强制**要做的，不是所有处理都要做。**必须做 DPIA 的 3 类**（Art 35(3)）：(a) 大规模系统化自动化决策/画像影响个人；(b) 大规模处理特殊类别数据（健康/生物识别/种族/政治）或刑事数据；(c) 系统化大规模公共区域监控。题目给你一个场景，你要判断是否 triggers DPIA。常见错误是看到"处理个人数据"就选"必须做 DPIA" — 错，只有 high risk 才必须。普通的 HR 员工数据处理不 trigger DPIA。

**数据主体 8 项权利数不齐或张冠李戴** — GDPR 下数据主体有 **8 项权利**（Chapter 3 Art 12-22）：(1) Right to be Informed（Art 13-14 知情权）(2) Right of Access（Art 15 访问权）(3) Right to Rectification（Art 16 更正权）(4) Right to Erasure / "Right to be Forgotten"（Art 17 删除权）(5) Right to Restrict Processing（Art 18 限制处理权）(6) Right to Data Portability（Art 20 数据可携权）(7) Right to Object（Art 21 反对权）(8) Rights related to Automated Decision-making（Art 22 自动决策权）。考试至少 3-5 题直接考这些权利的适用场景。**Right to be Forgotten** 不是绝对的 — 有法律保留义务（比如税务 7 年）时组织可以拒绝删除，必须用**匿名化**替代删除。CCPA 的权利只有 5 项且命名不同（Right to Know / Delete / Opt-Out / Non-Discrimination / Correct），别混淆。

**匿名化、假名化、去标识化三者混用** — **匿名化（Anonymization）**：数据永久不可逆还原到个人，处理后 **不再是 Personal Data**，脱离 GDPR 管辖。**假名化（Pseudonymization, Art 4(5)）**：用密钥替换标识符但可逆还原，**仍然是 Personal Data**，仍受 GDPR 约束但被 GDPR 鼓励作为降低风险的技术措施。**去标识化（De-identification）**：HIPAA 用语，美国概念，标准比 GDPR 匿名化宽松。题目问"处理完之后数据是否脱离 GDPR 管辖" → 只有完全匿名化才脱离；假名化依然受管。这个区分每场考试至少 2 题。

**跨境数据传输只记 SCCs 忘了 Schrems II 的补充措施要求** — 2020 年 Schrems II 判决作废了 EU-US Privacy Shield，并明确即使用 **标准合同条款（SCCs）** 转欧盟数据到第三国，也必须**额外评估目的地国法律**（比如美国的 FISA 702、CLOUD Act），如果法律允许政府大规模监控，必须加**补充措施**（Supplementary Measures）比如端到端加密、数据本地化。题目问"欧盟公司把数据转美国子公司的 BEST 方法" → 2023 年之后答案是 **EU-US Data Privacy Framework**（替代 Privacy Shield）；如果题干明确是 2020-2023 之间或非参与方，答案是 **SCCs + 补充措施（如 E2E 加密）**，单纯 SCCs 会被判错。