CN110366728A - 数据归档方法以及系统 - Google Patents

Abstract

在数据归档方法中，数据归档系统接收将被包括在数据文件中的数据元素。数据归档系统将加密密钥(703)随机分配给数据元素，以避免加密密钥(703)被分配给数据归档系统中的另一数据元素。数据归档系统定义数据元素的到期日(702)，并在内部存储与已定义的到期日(702)相关联的加密密钥(703)。数据归档系统基于加密密钥(703)对数据元素进行加密，以获得加密的数据元素。数据归档系统包括数据文件中加密的数据元素。当到达与加密密钥相关联的到期日(702)时，数据归档系统删除(705)加密密钥(703)。该技术允许在确保数据归档系统内的审计跟踪的完整性的同时尊重被遗忘权。

Description

数据归档方法以及系统

技术领域

本公开的一个方面涉及一种数据归档方法。该方法可用于例如对包括个人数据的数据元素进行归档。该方法可以用在例如所谓的客户关系管理系统、企业资源规划系统和内容管理系统中，这些系统的缩写词通常分别被指定为CRM、ERP和CMS。本公开的其他方面涉及数据归档系统和计算机程序。

背景技术

数据归档系统可以包括个人数据。个人数据被理解为是与具有称为被遗忘权的人直接或间接相关的数据。也就是说，该人具有以下权利：在某个日期之后，他或她的个人数据应当不再被他或她自己以外的人所访问并且不再能够被从数据归档系统中取得。尊重被遗忘权的一种方法是在相关日期之后从数据归档系统中删除所述个人数据。

专利公开US 2005/0105719 A1描述了一种个人信息控制系统，其对存储在存储设备中的个人信息的使用进行了限制。在该系统中，结合指定的可用时段来控制每条个人信息的隐私策略，其中在指定的可用时段内，允许个人信息的使用者使用该个人信息。隐私策略是对可用时段进行指定的信息。为密码获取密码密钥，该密码密钥可以被隐私策略的管理员解密并且不能被个人信息的使用者解密。密码密钥用于加密个人信息，以使如果隐私策略指定的可用时段已经期满，则使用者不能使用该个人信息。

专利公开US2014/0372393A1描述了一种用于对数据进行存档的方法，其中数据存档计算机系统利用各自的唯一加密密钥对接收到的用于存储的每个数据文件进行加密。数据存档计算机系统可以通过删除每个数据文件的各自的唯一加密密钥来删除一个或多个数据文件。

发明内容

需要一种允许以更好的方式尊重被遗忘权的数据归档技术。

为了更好地满足这种需要，根据权利要求1所限定的本公开的一个方面，数据归档方法包括：

数据接收步骤，在该步骤中，数据归档系统接收将被包括在数据文件中的数据元素；

数据分类步骤，在该步骤中，所述数据归档系统确定所述数据元素是否可能包括个人数据；如果所述数据元素可能包括个人数据，则所述数据元素受到限时(time-restricted)可访问性过程的限制，其中所述限时可访问性过程包括：

到期日分配步骤，在该步骤中，所述数据归档系统为所述数据元素分配到期日；

密钥分配步骤，在该步骤中，所述数据归档系统随机地将加密密钥分配给所述数据元素，以避免所述加密密钥被分配给所述数据归档系统中的另一个数据元素；

密钥存储步骤，在该步骤中，所述数据归档系统在内部存储与已定义的到期日相关联的加密密钥；

数据加密步骤，在该步骤中，所述数据归档系统基于所述加密密钥对所述数据元素进行加密，以获得加密的数据元素；

数据包括步骤，在该步骤中，所述数据归档系统在所述数据文件中包括加密后的数据元素；以及

密钥删除步骤，在该步骤中，所述数据归档系统在与所述加密密钥相关联的到期日到达时删除所述加密密钥，如果所述数据元素不可能包括个人数据，则包括在所述数据文件中的所述数据元素不应用所述限时可访问性过程，从而只要所述数据文件仍然可访问，则所述数据元素就仍然可访问。

根据本公开的其他方面，提供了分别如权利要求14和15所限定的一种计算机程序和一种数据归档系统。

在这些方面的每一个方面，在确保数据文件的数据完整性的同时，可以尊重被遗忘权。可以确保数据完整性，因为不需要擦除可能包括个人数据的数据元素。通过删除允许以明文形式获得数据元素的加密密钥，以加密形式存储的数据元素变得不可访问。因此，数据元素可以保持以加密形式存在，即使在某个日期即到期日之后，其中到期日由被遗忘权确定。这对于保留了关于数据归档系统中归档的数据元素的审计跟踪的数据归档系统而言是有利的。

出于说明的目的，参考附图详细描述了本公开的一些实施方式。该描述将呈现除了上文提到的那些特征之外的特征，以及这些附加特征可以提供的好处。

附图说明

图1是数据归档系统的方框图。

图2是数据归档系统中的数据文件的表格图。

图3是数据归档系统中的加密密钥表的表格图。

图4是数据归档系统中的到期日表的表格图。

图5是数据归档系统中的审计跟踪记录的表格图。

图6是数据归档方法中的数据归档会话的流程图，其涉及数据归档系统。

图7是数据归档方法中的密钥管理过程的流程图。

图8是数据归档方法中的数据读取会话的流程图。

具体实施方式

图1示意地示出了数据归档系统100。数据归档系统100以方框图表示。数据归档系统100可以是例如可以通过网络访问的服务器的形式，所述网络例如是因特网或局域网或因特网和局域网两者。数据归档系统100可以构成或形成例如称为客户关系管理系统、企业资源规划系统或内容管理系统的一部分，这些系统的缩写词通常分别被指定为CRM、ERP和CMS。

数据归档系统100包括处理器101、程序存储器102、数据存储器103、用户接口104和通信接口105。程序存储器102可以包括各种数据存储设备，例如一个或多个存储器电路，或一个或多个磁盘，或这些的组合。这同样适用于数据存储器103。用户接口104可以包括例如数据输入设备和数据显示设备，其中数据输入设备可以是键盘的形式。通信接口105可以耦合到因特网或局域网或因特网和局域网两者。

更详细地，程序存储器102包括数据归档软件程序106，该数据归档软件程序106包括密钥生成模块107和密钥管理模块108。数据归档软件程序106包括处理器101可以执行的指令集。这使得数据归档系统100能够执行将在下文中更详细描述的操作。

数据存储器103可以包括各种数据文件109、110、111、加密密钥表112、到期延迟表113和各种审计跟踪记录114、115、116。这些数据实体将在下文中更详细地描述。为了说明和简化，图1仅示出了三个数据文件109、110、111和三个审计跟踪记录114、115、116。数据存储器103可以包括更多或更少的数据实体。除了图1所示的加密密钥表112和到期延迟表113之外，数据存储器103还可以包括至少一个另外的加密密钥表和至少一个另外的到期延迟表。

图2示意地示出了数据归档系统100中的数据文件109。数据文件109以表格形式表示，其包括各种行201、202、203和各种列204、205。数据文件109包括在右侧列205中表示出的各种加密的数据元素206、207、208。加密的数据元素可以是在数据文件109中归档的、已经由归档系统接收的加密版本的数据元素。加密的数据元素可以是数据归档系统100中存在的另一个加密数据元素的链接的加密版本。

例如，数据文件109可以涉及合同。在该示例中，加密的数据元素可以是合同当事人的姓氏、或名字、或姓氏和名字两者的加密版本。或者，加密的数据元素可以是数据归档系统100中存在的那个人的姓氏、或名字、或姓氏和名字两者的加密版本的链接的加密版本。在第一种情况下，加密的数据元素是合同当事人的、加密形式的直接定义。在后一种情况下，加密的数据元素是该人的加密形式的引用的间接定义。在任何一种情况下，数据元素的加密版本都已经根据加密密钥获得，其中加密密钥可以唯一地与数据元素相关联。

数据文件109还包括各种标识符209、210、211，它们在左侧列204中表示。表格图的同一行中的标识符和数据元素可以唯一地彼此相关联。数据归档系统100中的其他数据文件110、111可以与图2中所示的数据文件109以及上文中所描述数据文件的类似。

图3示意地示出了加密密钥表112。加密密钥表112以表格形式表示，其包括各种行301、302、303和各种列304、305、306。加密密钥表112包括各种加密密钥307、308、309，这些加密密钥在中间列305中表示。加密密钥已经被使用以获得用于在数据文件109中归档的、已经被数据归档系统100所接收的数据元素的加密版本。加密密钥表112还包括各种标识符310、311、312，这是标识符在左侧列304中表示。位于表格图的同一行中的标识符和加密密钥可以唯一地相互关联。

加密密钥表112中与该表中的加密密钥相关联的标识符也可以出现在数据文件109、110、111中。在所涉及的数据文件中，标识符与在数据文件中存在其加密版本的数据元素相关联。加密版本已经基于加密密钥获得，因为两者都与同一标识符相关联。相反，数据文件109、110、111中、与该文件中的数据元素的加密版本相关联的标识符也可以出现在加密密钥表112中。在加密密钥表112中，标识符与加密密钥关联。加密密钥已被用于获取数据元素的加密版本，因为两者都与同一标识符相关联。因此，如果数据元素的加密密钥和加密版本与同一标识符相关联，则加密密钥和数据元素可以彼此相关联。

加密密钥表112还包括各种到期日313、314、315，这些到期日在右侧列306中表示。表格图的同一行中的到期日和加密密钥可以唯一地彼此关联。到期日指示何时应从数据归档系统100中删除加密密钥。

数据归档系统100可以保护加密密钥表112免受未授权访问。例如，数据归档系统100可以基于表加密密钥对加密密钥表112本身进行加密。为了更高的安全性，可以以规则或随机的方式随时间重复地更新表加密密钥。加密密钥表112可以被包括在数据存储器103的一部分中，该数据存储器103在物理上受到保护以防止未授权访问。

图4示意地示出了到期延迟表113。到期延迟表113以表格图形式表示，其包括各种行401、402、403和各种列404、405。到期延迟表113包括在右侧列405中表示的各种到期延迟406、407、408。数据文件109还包括数据元素类别的各种定义409、410、411，其在左侧列404中表示。表格图的同一行中的到期延迟和数据元素类别的定义可以唯一地彼此关联。到期延迟指示一延迟，也即在该延迟之后，属于相关类别的数据元素应当不再能够从数据归档系统100中读取。

可以基于例如数据元素所涉及的国家来定义数据元素类别。作为其他示例，可以基于数据元素包括的信息的类型来定义数据元素类别，所述类型例如是人的姓名、人的地址、人的出生日期、或人的医生。作为又一示例，可以基于数据元素的预期用途来定义数据元素类别。

图5示意地示出了数据归档系统100中的审计跟踪记录114。审计跟踪记录114以表格形式表示，其包括各种行501、502、503和各种列504、505、506、507。审计跟踪记录114可以唯一地与数据文件(例如图2所示的数据文件109)相关联。在该示例中，审计跟踪记录114包括与审计跟踪记录114相关联的、也存在于数据文件109中的数据元素的各种加密版本508、509、510。数据元素的加密版本508、509、510在左侧列504中表示。审计跟踪记录114还可以包括与上文描述的数据文件109、110、112和加密密钥表112中的标识符类似的标识符。

审计跟踪记录114还可以包括用于数据元素的各种归档上下文指示511、512、513。在图5的表格图中，归档上下文指示在列中表示，并且可以与和该归档上下文指示位于同一行中的加密版本的数据元素相关联。例如，左中间列505可以包括关于何时将归档方法应用于数据元素的指示511。右中间列506可以包括关于如何接收数据元素的指示512。右侧列507可以包括谁关于发起了归档方法的指示513。数据归档系统100中的其他审计跟踪记录115、116可以与图5中所示的以及上文中描述的审计跟踪记录114类似。

图6、图7，和图8示意地示出了数据归档方法。该方法在流程图中说明。所述方法包括当处理器101执行数据归档软件程序106时数据归档系统100执行的一系列步骤。该流程图可以被视为程序存储器102中数据归档软件程序106的至少一部分的表示。

图6示意地示出了数据归档方法中的数据归档会话600。与数据归档系统100通信的远程设备可以发起这样的数据归档会话600。远程设备可以通过网络(例如因特网)与数据归档系统100通信。在数据归档会话600中，远程设备可以作为客户端设备来操作，而数据归档系统100作为服务器来操作。数据归档会话600可以包括以下步骤。

在数据接收步骤601中，数据归档系统100接收将被包括在数据文件中的数据元素602，所述数据文件为例如图2中所示的数据文件109。数据归档系统100可以从前述远程设备接收数据元素602。数据归档系统100可以提供远程设备可以显示的网页。网页可以包括具有各种字段的表。然后，远程设备的用户可以在字段中指定数据元素。

例如，如果所讨论的数据文件涉及合同，则可能有一个字段或几个字段用于合同当事人的姓氏和名字。然后，用户可以通过在字段中输入字母数字字符串来直接指定姓氏和名字。例如，如果尚未在数据归档系统100中定义该当事人，则可能是这种情况。或者，用户可以从显示的名称列表中选择姓氏和名字。当用户开始在相关字段中输入字母数字字符串时，这样的列表可以表现为建议，由此该列表显示已经存在于数据归档系统100中的名字。

因此，数据归档系统100可以以字母数字字符串的形式或以字母数字字符串或其他类型的数据元素的、已经存在于数据归档系统100中的链接、引用的形式接收数据元素602。数据归档系统100可以接收作为指向数据归档系统100的数据流的一部分的数据元素602。数据流可以是XML格式。

数据归档系统100可以以数据对象的形式接收数据元素602，该数据对象也可以包括数据元素602的到期日的定义。到期日的定义可以是例如元数据的形式。到期日指示何时数据元素应当不再是可访问的。或者，数据归档系统100可以在没有到期日的任何明确指示的情况下接收数据元素602。

在数据评估步骤603中，数据归档系统100评估已接收的数据元素602是否可能包括个人数据。个人数据被理解为是与具有被遗忘权的人直接或间接相关的数据。数据归档系统100可以以各种方式评估数据元素602是否可能包括个人数据。例如，如上所述，在数据归档系统100接收与到期日相关联的数据元素602的情况下，数据归档系统100可以直接评估数据元素602包括个人数据。

数据归档系统100可以提供包括具有如上所述的各种字段的表的网页。在这种情况下，一个或多个字段可以被预定用于指定个人数据，而一个或多个其他字段可以被预定用于指定非个人数据。然后，数据归档系统100可以基于数据元素602所源自的相关字段来评估数据元素602是否包括个人数据。作为另一示例，数据归档系统100可以基于与数据归档系统100接收的例如XML数据流中的数据元素602相关联的描述性数据进行这样的评估。

在数据元素602不包括个人数据的情况下，数据归档系统100可以以明文的方式对数据元素602进行归档。数据归档系统100可以通过应用传统的归档过程604来实现以明文的方式对数据元素602进行归档。在数据元素602确实包括个人数据的情况下，数据归档系统100使数据元素602经历包括各种步骤的限时可访问性过程，其在下文中描述。

在密钥生成步骤605中，数据归档系统100生成针对数据元素602的加密密钥606。为此，当在数据评估步骤603中已发现数据元素602包括个人数据时，数据归档系统100可以系统地激活图1中所示的密钥生成模块107。密钥生成模块107可以包括例如生成伪随机值的伪随机生成器，所述伪随机值可以形成加密密钥606或加密密钥606的至少一部分。

在密钥分配步骤607中，数据归档系统100将已生成的加密密钥606分配给数据元素602。在该实施方式中，数据归档系统100因此已经随机地将加密密钥606分配给数据元素602。这种加密密钥606的随机分配避免了同一加密密钥606已被分配给另一个先前接收的数据元素602，并避免了将同一加密密钥606分配给尚未接收的另一个数据元素602。

在标识符关联步骤608中，数据归档系统100将标识符609与数据元素602相关联。数据归档系统100还将标识符609与加密密钥606相关联。标识符609可以是例如根据数据元素602计算的散列(hash)。标识符609可以与数据元素602和加密密钥606唯一地相关联。相应地，标识符609可以唯一地将数据元素602与加密密钥606相关联，反之亦然。

在到期日分配步骤610中，数据归档系统100将到期日611分配给数据元素602。到期日611是这样的日期，也即在该日期之后，数据元素602应当不再可以从数据归档系统100中读取。如上所述，在数据归档系统100接收与到期日相关联的数据元素602的情况下，数据归档系统100可以直接将该到期日分配给数据元素602。在这种情况下，被分配给数据元素的到期日611可以被视为运行时定义的到期日。

在其他情况下，可以基于数据元素602所属的类别来分配到期日611。类别可以涉及以下特征中的至少一者：数据元素602所涉及的国家、数据元素602包括的信息的类型、以及数据元素602的预期用途。因此，可能存在针对不同国家的不同的到期日，针对不同类型信息的不同的到期日，以及针对不同预期用途的不同的到期日。

到期日分配可以涉及各个类别的数据元素的各自的到期延迟表，例如图4中所示的到期延迟表113。在到期日分配步骤610中，数据归档系统100可以从该表中选择数据元素602所属的类别的到期延迟。然后，数据归档系统100可以基于已经从该表中选择的到期延迟来定义到期日611。到期日611可以是添加到期延迟的当前日期。可以在到期延迟表提供步骤中向数据归档系统100提供上述各个到期延迟表。可以在首次执行数据归档会话600之前执行该步骤。在这种情况下，分配给数据元素602的到期日611可以被认为是设计时定义的到期日。

在到期日更新步骤中，数据归档系统100可以更新先前已经分配给其他数据元素的、位于当前分配给数据元素602的到期日611之后的一个或多个到期日。例如，假设数据元素602是先前已经被归档的、与另一到期日相关联的另一数据元素的链接，该另一到期日早于当前分配的到期日。如果保留了另一个较早的到期日，则该链接在该日期之后将变得毫无意义，而链接本身仍然是可访问的并且应该优选地起作用。为了避免这种情况，数据归档系统100可以重新定义另一个、较早的到期日，以变成例如当前分配的到期日。

在密钥存储步骤612中，数据归档系统100在内部存储与到期日611相关联的加密密钥606。例如，数据归档系统100可以将加密密钥606和到期日611存储在图3所示的加密密钥表112中。为此，数据归档系统100可以向该表添加一行，并在该行中分别在中间列305和右侧列306中写入加密密钥606和到期日611。数据归档系统100还在左侧列304中并且在同一行中写入与加密密钥606相关联的标识符609。

在数据加密步骤613中，数据归档系统100基于加密密钥606加密数据元素602。相应地，获得加密的数据元素614。为此，数据归档系统100可以执行足够稳健并提供令人满意的性能的加密算法。各种不同的加密算法可以满足这些要求。因此，对于被加载到数据归档系统100中并且被执行的加密算法而言，数据归档方法可以是相对无关紧要的。

在数据包括步骤615中，数据归档系统100将加密的数据元素613包括在一个或多个感兴趣的数据文件中。数据归档系统100可以基于与数据归档系统100已经接收的数据元素611相关联的信息来识别要包括加密的数据元素613的感兴趣的数据文件。例如，数据元素611可以涉及用于指定数据归档系统100已经提供的网页中的联系方的字段中的条目，由此网页用于指定合同。在该示例中，数据归档系统100可以将加密的数据元素613存储在与所讨论的合同相关的数据文件中。该数据文件可以是例如图2中所示的数据文件109的形式。在该示例中，数据归档系统100可以在数据文件109中添加一行，并分别在该行中在左侧列204和右侧列205中写入标识符609和加密的数据元素613。

在上述示例中，在数据元素611指定缔约方的情况下，加密的数据元素613可以是另一数据文件中的另一数据元素的链接的加密版本，该另一数据文件构成缔约方的数据库，该数据库包括以加密形式定义各个缔约方的各自的加密的数据元素。在数据元素611涉及与缔约方有关的数据文件中尚未出现的缔约方的情况下，数据归档系统100可以在该数据文件中包括以加密形式定义所讨论的缔约方的新加密的数据元素。然后，数据归档系统100可以以上面描述的方式为该加密的数据元素分配加密密钥和到期日。上述到期日可以与已经分配给加密的数据元素613的到期日相同，其中加密的数据元素613构成与所涉及的合同有关的数据文件中的链接。

在审计数据生成步骤616中，数据归档系统100生成审计数据617-620，其中审计数据617-620与上述对数据元素602进行归档的步骤相关。审计数据617-620可以包括数据元素602的加密版本617以及关于被应用于数据元素602的归档方法的至少一个归档上下文指示。数据元素602的加密版本617基于分配给数据元素602的加密密钥606而获得。审计数据可以进一步包括例如：关于何时将归档方法应用于数据元素602的指示618，关于如何接收数据元素602的指示619，或者关于谁发起归档方法的指示620，或这些归档上下文指示的任何组合。

包括在审计数据617-620中的数据元素602的加密版本617可以对应于在数据加密步骤613中获得的加密的数据元素613。作为另一示例，数据元素602的加密版本617可以被包括在审计数据617-620的一部分中，该审计数据包括数据元素602并且已经基于分配给数据元素602的加密密钥606加密。也就是说，数据元素602可以是还包括至少一个与应用于数据元素602的归档方法有关的信息元素的数据分组的一部分。然后，数据归档系统100可以根据分配给数据元素602的加密密钥606加密该数据分组。由此获得的加密的数据分组可以形成审计数据617-620或审计数据617-620的至少一部分。

在审计数据记录步骤621中，数据归档系统100将审计数据617-620记录在审计跟踪记录中。例如，数据归档系统100可以将审计数据617-620存储在图5所示的审计跟踪记录114中。为此，数据归档系统100可以向审计跟踪记录114添加一行并在该行中写入审计数据617-620。然后，将数据元素602的加密版本617写入左侧列504中。将归档上下文指示写入左中间列505、右中间列506和右侧列507。

图6所示的数据归档会话600可以以审计数据记录步骤621结束。或者，数据归档会话600可以继续。在那种情况下，可以针对将被归档的新数据元素重新执行图6所示的一系列步骤。

图7示意地示出了数据归档方法中的密钥管理过程700。数据归档系统100可以定期执行密钥管理过程700。数据归档系统100可以通过定期执行图1所示的程序存储器102中的密钥管理模块108来实现定期执行密钥管理过程700。密钥管理过程700可以包括以下步骤。

在到期日验证步骤701中，数据归档系统100检查与已经存储的各个加密密钥相关联的各个到期日。例如，数据归档系统100可以滚动通过图3所示的加密密钥表112的右侧列306。在该表中，各个到期日313、314、315与各个加密密钥307、308、309相关联地存储。当滚动通过加密密钥表112时，数据归档系统100可以将与加密密钥703相关联的到期日702与当前日期704进行比较。如果例如到期日702对应于当前日期704或者在当前日期704之前，则数据归档系统100可以评估已经到达到期日702。

数据归档系统100针对与到达的到期日702相关联的加密密钥703执行密钥删除步骤705。在密钥删除步骤705中，数据归档系统100删除所涉及的加密密钥703。例如，假设在图3所示的加密密钥表112中，行303包括加密密钥309和标识符312以及与其相关联的到期日315，从而已经到达到期日315。然后，数据归档系统100可以例如删除所涉及的行303中的加密密钥309，同时保留该行中分别位于加密密钥表112的左侧例304和右侧列306中的标识符312和到期日315。即使在删除加密密钥309之后，与加密密钥309相关联的这些元素仍然可以提供有用的信息。

如果已删除的加密密钥703与构成另一加密的数据元素的链接的加密的数据元素相关联，则数据归档系统100还可以执行数据清理步骤。在数据清理步骤中，数据归档系统100可以验证该链路所指向的另一加密的数据元素是否也被至少一个其他链接所指向。如果不是，这意味着另一加密的数据元素已经在数据归档系统100内断开，使得可能没有理由再维护另一加密的数据元素。然后，数据归档系统100还可以删除与另一加密的数据元素相关联的加密密钥。

在另一实施方式中，数据归档系统100可以执行特定的数据清理过程，在该数据清理过程中，数据归档系统100验证是否存在任何未连接的加密的数据元素，这些未连接的加密的数据元素不引用至少一个其他数据元素并且未被至少一个其他数据元素引用。在数据归档系统100识别未连接的加密的数据元素的情况下，数据归档系统100然后可以删除与未连接的加密的数据元素相关联的加密密钥。因此，除了遵守关于被遗忘权的规定之外，该过程有助于仅在必要时保留数据归档系统100内的个人数据可访问。

如上所述的数据归档方法允许以这样的方式对数据元素进行归档：数据元素只能直到某个日期即到期日之前被读取。在此日期之后无法再读取数据元素，这确保了被遗忘权。而且，这是在确保审计数据的完整性的同时实现的，即使审计数据包括与不能再被读取的数据元素602有关的上下文信息。无法再被读取的数据元素既不能从审计数据中取得，也不能从审计数据中推断出来。因此，尽管有被遗忘权，仍可进行可靠和全面的审计。

图8示意地示出了数据归档方法中的数据读取会话800。与数据归档系统100通信的远程设备可以发起数据读取会话800。在数据读取会话800中，远程设备可以作为客户端设备进行操作，而数据归档系统100作为服务器进行操作。数据读取会话800可以包括以下步骤。

在读取请求步骤801中，数据归档系统100接收从数据文件读取数据元素802的请求。该请求可以源自例如上文提到的远程设备。数据归档系统100可以提供远程设备可显示的网页。网页可以包括文件导航工具，其允许远程设备的用户选择感兴趣的数据文件并指定感兴趣的数据元素802。假设请求所属的数据元素802已经在如上所述的数据归档会话600中归档。

在密钥检查步骤803中，数据归档系统100检查已经分配给数据元素802的加密密钥804是否存在于数据归档系统100中。例如，假设请求读取的数据元素802是图1所示的数据文件109中的数据元素207。数据归档系统100可以识别数据元素207所在的行202。因此，数据归档系统100可以从左侧列204取得与数据元素207相关联的标识符210。

参考图3所示的加密密钥表112，数据归档系统100然后可以识别该表中包括左侧列304中的相同标识符311的行302。然后，数据归档系统100可以检查加密密钥表112的行302的中间列305中是否存在元素。在存在元素的情况下，该元素是已经分配给数据元素207的加密密钥308。在没有元素或仅存在虚拟元素的情况下，数据归档系统100可以得出结论：加密密钥308不再存在。

在读取步骤805中(如果存在加密密钥804则执行该步骤)，数据归档系统100从相关的数据文件中取得加密的数据元素。数据归档系统100对加密的数据元素进行解密，以便以明文形式获得数据元素802。然后，数据归档系统100可以将数据元素802传送到例如已经发起读取会话的远程设备。

在指示提供步骤806中(如果不存在加密密钥804则执行该步骤)，数据归档系统100可以提供数据元素802即以加密形式存在于数据归档系统100中、但是不能再被读取的指示。数据归档系统100还可以指示在其之后数据元素802变得不可访问的到期日。

在另一实施方式中，备选数据归档系统与上文所述的数据归档系统100的不同之处在于，备选数据归档系统包括基本数据归档子系统和可审计到期监控子系统，其中基本数据归档子系统和可审计到期监控子系统可以在例如不同的服务器上单独操作。基本数据归档子系统无需保留到期日的清单，也无需监控是否已到达到期日。此外，基本数据归档子系统不需要保留审计跟踪。在某种程度上，基本数据归档子系统将这些任务委派给可审计到期监控子系统，该可审计到期监控子系统可以是例如Web服务的形式。

因此，基本数据归档系统不需要包括可能存在于上文所述的数据归档系统100中的各种数据实体，例如上文分别参考附图3、4以及5描述的加密密钥表、到期日表或加密密钥表。此外，基本数据归档系统不需要执行密钥管理过程，例如上文参考图7描述的密钥管理过程700。

基本数据归档系统可以验证所接收的数据元素是否可能包括个人数据。在该验证为否定的情况下，基本数据归档系统可以以明文形式归档所接收的数据元素。在验证是肯定的情况下，基本数据归档系统可以以加密形式归档所接收的数据元素。就这些操作而言，基本数据归档系统可以类似于上文所述的数据归档系统100。但是，不需要使用唯一密钥进行数据元素加密。或者，基本数据归档系统可以以明文或加密形式归档所有接收的数据元素，而不区分可能包括个人数据的数据元素和不包含个人数据的数据元素。

当接收和归档数据元素时，基本数据归档系统将数据元素的副本发送到可审计到期监控子系统。如果数据元素可能包含个人数据，则数据元素的副本附带有到期日指示。到期日指示可以是例如数据元素所属的类别的指示。作为另一示例，在基本数据归档系统接收与到期日或者要被应用的到期日规则相关联的数据元素的情况下，到期日指示可以分别对应于该到期日或者到期日规则。基本数据归档系统发送到可审计到期监控子系统的数据元素的副本还可以附带有基本数据归档系统已经与数据元素相关联的标识符。

可审计到期监控子系统以与上文所述的数据归档系统100对数据元素进行归档的方式类似的方式对数据元素的副本以及与其相关联的标识符(如果有的话)进行归档。因此，可审计到期监控子系统可以基于到期日指示向数据元素的副本分配到期日。然后，可审计到期监控子系统可以将该到期日与用于加密数据元素的副本的唯一密钥相关联地存储，以便获得用于存储的数据元素的加密版本。

因此，可审计到期监控子系统可以保留加密密钥表，该加密密钥表类似于上文参考图3描述的加密密钥表。为了给数据元素分配到期日，可审计到期监控子系统因此可以保留类似于上文参考图4描述的到期延迟表的到期延迟表。此外，可审计到期监控子系统可以保持类似于上文参考图5描述的审计跟踪记录的审计跟踪记录114。

可审计到期监控子系统可以定期执行类似于上文参考图7描述的密钥管理过程700的密钥管理过程。在该过程中，可审计到期监控子系统因此可以识别与已到达的到期日相关联的数据元素。然后，可审计到期监控子系统可以删除与已到达的到期日关联的加密密钥。在此过程中，可审计到期监控子系统因此也识别已到达到期日的数据元素。

可审计到期监控子系统向基本数据归档系统通知已达到到期日的数据元素。为此，可审计到期监控子系统可以与基本数据归档系统建立通信，其可以被认为是回调。在该通信中，可审计到期监控子系统可以直接指定已经达到到期日的数据元素，或者通过与这些数据元素相关联的标识符指定。作为响应，基本数据归档系统删除有关的数据元素，使这些数据元素不再可访问。这些数据元素的副本(以加密形式存在于可审计到期监控子系统中)也不可访问，因为已经删除了用于加密这些数据元素的加密密钥。感兴趣的审计跟踪记录仍然有效并且可以保留，但是已经根据其生成审计跟踪记录的个人数据不再可访问。

在该实施方式中，在某种程度上，可以属于不同组织的若干基本数据归档系统可以共享相同的可审计到期监控子系统。也就是说，可审计到期监控子系统可以服务多个基本数据归档系统，例如通过识别从其接收数据元素副本的基本数据归档系统，以及通过单独地向各个基本数据归档系统通知已达到到期日并应被删除的数据元素。

特别说明

提供上文参考附图的详细描述是为了说明如何实现本公开。本公开可以以许多不同的方式实现。为了说明这一点，简要说明了一些替代方案。

本公开可以应用于与数据归档相关的许多类型的产品或方法。例如，本公开可以应用于涉及与具有被遗忘权的人有关的数据的任何类型的基础设施。

本公开可以以多种方式实现。例如，存在许多不同的方式，其中数据归档系统可以接收要包括在数据文件中的数据元素。上文的详细说明描述了数据归档系统从远程设备接收数据元素的示例。作为另一个示例，数据归档系统可以从用户接口(例如，图1中所示的用户接口)接收数据元素。

有许多不同的方式可以将加密密钥随机分配给数据元素。上文的详细说明描述了涉及密钥生成的示例。作为另一示例，可以从预先建立的不同加密密钥池中随机选择加密密钥。

有许多不同的方式可以定义数据元素的到期日。上文的详细说明描述了涉及到期延迟表的示例。作为另一个例子，数据归档系统可以基于与数据元素相关联地接收的数据来定义数据元素的到期日。该数据可能已由例如用户指定。

有许多不同的方式可以存储与到期日相关联的加密密钥。上文的详细说明描述了加密密钥和到期日存储在表格中的示例。如果加密密钥和到期日在表的同一行中，则它们彼此相关联。作为其他示例，加密密钥可以存储在一个表中，并且与其相关联的到期日可以存储在另一个表中。在这些相应的表中，加密密钥和到期日可以具有将这些相互关联的同一标识符。

有许多不同的方式可以基于加密密钥加密数据元素。例如，只有一部分加密密钥可用于加密数据元素，以便获得存储在数据文件中的加密的数据元素。加密密钥的另一部分可以用于对数据元素进行加密，以便获得包括在审计数据中的数据元素的加密版本。

因此，应该从广义上理解术语“加密密钥”。该术语可以包括任何形式的数据或任何数据集，其中至少一部分定义数据元素的加密。

有许多不同的方式可以保留审计跟踪。例如，根据本公开，可以针对各种数据文件，或者甚至针对数据归档系统中存在的所有数据文件，保留单个审计跟踪记录。也就是说，在某种程度上，几个数据文件可以共享同一审计跟踪记录。

通常，存在许多实现本公开的不同方式，由此不同的实现可以具有不同的拓扑结构。在任何给定的拓扑结构中，单个模块可以执行多个功能，或者多个模块可以共同执行单个功能。在这方面，附图是非常示意性的。有许多功能可以通过硬件或软件或两者的组合来实现。基于软件的实现的描述不排除基于硬件的实现，反之亦然。包括一个或多个专用电路以及一个或多个适当编程的处理器的混合实现也是可能的。例如，可以借助于一个或多个专用电路来实现上文参考附图描述的各种功能，由此特定电路拓扑定义特定功能。

有许多方式可以存储和分发指令集，即软件，其允许根据本公开的数据归档。例如，软件可以存储在合适的设备可读介质中，例如存储器电路，磁盘或光盘。其中存储软件的设备可读介质可以作为单独的产品被提供，或者与可以执行软件的另一产品一起被提供。这种介质也可以是使软件能够被执行的产品的一部分。软件还可以通过通信网络分发，通信网络可以是有线的，无线的或混合的。例如，可以通过因特网分发软件。可以通过服务器使软件可供下载。下载可能需要付费。

上述阐述表明，参考附图的详细描述是对本公开的说明而不是限制。本公开可以以所附权利要求书范围内的许多替代方式实现。在权利要求书的等同含义和范围内的所有变化都包含在其范围内。权利要求书中的任何参考标记不应被解释为限制权利要求。“包括”一词不排除存在除权利要求中列出的元件或步骤之外的其他元件或步骤。元件或步骤之前的词语“一”或“一个”不排除存在多个这样的元件或步骤。各个从属权利要求限定相应附加特征的这个事实，不排除除权利要求中反映的那些特征之外的附加特征的组合。

Claims (15)

1.一种数据归档方法，包括：

数据接收步骤(601)，在该步骤中，数据归档系统(100)接收将被包括在数据文件(109)中的数据元素(602)；

数据评估步骤(603)，在该步骤中，所述数据归档系统确定所述数据元素是否可能包括个人数据；如果所述数据元素可能包括个人数据，则所述数据元素受到限时可访问性过程的限制，其中所述限时可访问性过程包括：

到期日分配步骤(610)，在该步骤中，所述数据归档系统为所述数据元素分配到期日；

密钥分配步骤(607)，在该步骤中，所述数据归档系统将加密密钥(606)随机分配给所述数据元素，以避免所述加密密钥被分配给所述数据归档系统中的另一数据元素；

密钥存储步骤(612)，在该步骤中，所述数据归档系统在内部存储与已定义的所述到期日相关联的所述加密密钥；

数据加密步骤(613)，在该步骤中，所述数据归档系统基于所述加密密钥对所述数据元素进行加密，以获得加密的数据元素(614)；

数据包括步骤(615)，在该步骤中，所述数据归档系统将所述加密的数据元素包括到所述数据文件中；以及

密钥删除步骤(705)，在该步骤中，所述数据归档系统在与所述加密密钥相关联的所述到期日到达时删除所述加密密钥，如果所述数据元素不可能包括个人数据，则包括在所述数据文件中的所述数据元素不被应用所述限时可访问性过程，以便只要所述数据文件仍然可访问，则所述数据元素就仍然可访问。

2.根据权利要求1所述的数据归档方法，该方法包括：

审计数据生成步骤(616)，在该步骤中，所述数据归档系统(100)生成审计数据(617-620)，所述审计数据包括所述数据元素(602)的加密版本(617)和至少一个关于应用于所述数据元素的归档方法的归档上下文指示(618、619、620)；所述数据元素的所述加密版本基于分配给所述数据元素的所述加密密钥(606)而获得；以及

审计数据记录步骤(621)，在该步骤中，所述数据归档系统将所述审计数据记录在审计跟踪记录中(114)。

3.根据权利要求2所述的数据归档方法，其中所述审计数据(617-620)包括以下归档上下文指示中的至少一者：

关于何时将所述归档方法应用于所述数据元素的指示(617)，关于如何接收所述数据元素的指示(618)，以及关于谁发起所述归档方法的指示(619)。

4.根据权利要求1至3中任一项权利要求所述的数据归档方法，其中在所述到期日分配步骤(610)中，所述数据归档系统(100)基于所述数据元素(602)所属的类别分配所述到期日(611)。

5.根据权利要求4所述的数据归档方法，该方法包括：

到期延迟表提供步骤，在该步骤中，所述数据归档系统(100)提供有针对各个数据元素的类别(409、410、411)的各个到期延迟(406、407、408)的表(113)，以及其中，

在所述到期日分配步骤(610)中，所述数据存档系统从所述表中选择针对所述数据元素所属的类别的到期延迟，并根据所述到期延迟分配所述到期日(611)。

6.根据权利要求4和5中任一项权利要求所述的数据归档方法，其中类别(409、410、411)包括以下中的至少一者：

所述数据元素所涉及的国家、所述数据元素包括的信息的类型以及所述数据元素的预期用途。

7.根据权利要求1至3中任一项权利要求所述的数据归档方法，其中在所述数据归档系统(100)接收与所述数据元素(602)相关联的到期日的定义的情况下，所述数据归档系统(100)根据所述定义分配所述到期日(611)。

8.根据权利要求1至7中任一项权利要求所述的数据归档方法，该方法包括：

到期日验证步骤(701)，在该步骤中，所述数据归档系统(100)检查与已经存储的各个加密密钥(307、308、309)相关联的各个到期日(313、314、315)，对于与到达的到期日(702)相关联的加密密钥(703)，执行所述密钥删除步骤(705)，

以及其中所述数据归档系统定期执行所述到期日验证步骤。

9.根据权利要求1至8中任一项权利要求所述的数据归档方法，该方法包括：

标识符关联步骤(608)，在该步骤中，所述数据归档系统(100)将标识符(609)与所述数据元素(602)相关联，并且将所述标识符与所述加密密钥(606)相关联。

10.根据权利要求9所述的数据归档方法，其中，所述标识符(609)是根据所述数据元素(602)计算的散列。

11.根据权利要求1至10中任一项权利要求所述的数据归档方法，该方法包括：

密钥生成步骤(605)，在该步骤中，所述数据归档系统(100)在所述数据接收步骤(601)之后通过伪随机生成器生成所述加密密钥(606)。

12.根据权利要求1至11中任一项权利要求所述的数据归档方法，该方法包括：

数据清理步骤，在该步骤中，所述数据归档系统(100)验证加密的数据元素是否与另一数据元素有关联，并且在该步骤中，如果所述加密的数据元素没有关联，则所述数据归档系统删除与所述加密的数据元素相关联的加密密钥；如果所述加密的数据元素具有至少一个关联，则保留所述加密密钥。

13.根据权利要求1至12中任一项权利要求所述的数据归档方法，该方法包括：

读取请求步骤(801)，在该步骤中，所述数据归档系统(100)接收从所述数据文件读取所述数据元素(802)的请求；

密钥检查步骤(803)，在该步骤中，所述数据归档系统检查已经分配给所述数据元素的所述加密密钥(804)是否存在于所述数据归档系统中；

读取步骤(805)，如果存在所述加密密钥则执行该步骤，其中所述数据归档系统从所述数据文件中取得所述加密的数据元素，并且其中所述数据归档系统对所述加密的数据元素解密以获得明文形式的所述数据元素；以及

指示提供步骤(806)，如果不存在所述加密密钥则执行该步骤，其中所述数据归档系统提供关于所述数据元素存在于所述数据文件中但不再能被读取的指示。

14.一种计算机程序(106)，该计算机程序包括指令集，所述指令集使得数据归档系统(100)内的处理器(101)能够执行根据权利要求1至13中任一权利要求所述的方法。

15.一种数据归档系统(100)，适于执行根据权利要求1至13中任一项权利要求所述的方法。