对开发者来说，欧盟《GDPR》是一个令人头疼的问题。因为它并没有明确告诉开发者群体，需要怎么做才能保持应用程序合规。幸运的是，法国 CNIL 为此发布了一个详细指南。
CNIL，全称 Commission Nationale de l’Informatique et des Libertés，即法国国家信息与自由委员会。它是一个独立的行政机构，依据 2004 年 8 月修订的 1978 年《法国数据保护法》行使其职能。法国政府在 20 世纪 70 年代设立了一个 CNIL。作为一个独立的监察机构，CNIL 负责就具体措施提出建议，以保证任何信息技术的发展都将继续尊重个人隐私、个人权利和公共自由。
此后，该机构一直紧跟最新的行业发展，并与欧洲和国际同行密切合作，分析新技术对公民私人生活的影响。
相比 GDPR 指南，它的解决方案更具技术性，面向软件开发者而非更广泛的公众群体。
那么，这个指南包含哪些内容？
具体说来，它包含 16 个主题文件，涵盖了开发者项目中每个阶段的大部分需求，从项目准备到受众评估：
在这个列表中，有几项非常突出，值得进一步细说。
识别个人数据
在识别个人数据中，有一些个人数据构成的示例，例如：
同时，它还提到了个人数据的匿名化和假名化以及两者之间的差别。
不过，在这一点上，需要注意的是，这些指导方针相对抽象，没有涉及技术细节。换句话说，这个指南没有向你展示如何实际匿名化数据；技术解决方案由开发者自己决定。
管理你的源代码
在管理源代码中，除了其它建议外，指南还要求你实现代码质量度量工具。
该工具要在代码提交后立即扫描代码，并通过将密钥和密码保存在单独的不会被提交的文件中，来保证它们独立于源代码库之外。
此外，还需要在发生应用程序错误时，检查环境变量是否被意外地写入日志或显示。
选择合适的架构
选择合适的架构，有一个大多数人没有考虑的被低估案例：
确保自己知道托管你代码的服务器的地理位置。你可能会被要求传输数据到欧盟（European Union，EU）和欧洲经济区（European Economic Area，EEA）之外。
虽然数据可以在欧盟/欧洲经济区内自由传输，但只要确保充分且适当的数据保护水平，就可以在欧盟/欧洲经济区以外进行传输。
CNIL 提供了一张地图，显示了世界各国不同程度的数据保护级别。
保护你的网站、应用程序和服务器
在保护你的网站、应用程序和服务器上，其说明更容易上手：
尽量减少数据收集
尽量减少数据收集反映了《GDPR》的核心价值：
在收集前，思考你想要收集的数据的不同类型，并尽量将收集限制在严格必要的范围内。
控制你使用的库和 SDK
控制你使用的库和 SDK。当今的应用程序需要处理上百个依赖才能运行，因此，开发者在评估添加的每个依赖以及选择维护的软件、库和 SDK 的价值时，应该更好地理解其中的依赖关系。
最后，在使用网站和应用程序分析时，这个建议直指当前最具争议的话题之一——cookies，告知用户关于 cookie 的信息并寻求用户的同意。但是，根据一些条件，用于受众评估/分析的 cookie 可免于同意。请记住：
综上所述，这个指南为合规奠定了正确的基础。它们将被自上而下地遵循，在技术性方面，它们应该作为接口体现，你必须为其提供具体实现。
附：
