施俊侃：强化数据治理背景下企业的数据合规体系建设（中）

作者按

二、我国数据合规法律体系概况

《中共中央关于制定国民经济和社会发展第十四个五年规划和二〇三五年远景目标的建议》提出，建立数据资源产权、交易流通、跨境传输和安全保护等基础制度和标准规范，推动数据资源开发利用。保障国家数据安全，加强个人信息保护。2020年底召开的中央经济工作会议也强调，要依法规范发展，健全数字规则。

纵览我国数据保护法律框架，我国在数据保护方面秉持着个人信息保护和重要数据保护两手抓的立法思路。我国数据保护法律框架呈“两主线、多维度”的立法特点，以“个人信息保护”和“重要数据保护”为两大主线，针对这两主线的法律规范设计不仅覆盖基础性法律规范如《网络安全法》《数据安全法》《个人信息保护法》《刑法》和《民法典》，还涵盖中央和地方性法规及规章、司法解释和规范性文件。另外，需注意的是，各法律规范之间的设计和适用并非完全割裂，而是可以相互借鉴和相互联系的。例如，对个人信息的立法保护，不仅规定于《个人信息保护法（草案）》，还规定在《刑法》《民法典》《网络安全法》《未成年人保护法》等法律当中；对重要数据的保护，不仅在《网络安全法》《数据安全法》中对重要数据发布、共享、交易、跨境传输等作出直接规定，同时，在《密码法》《档案法》等法律法规中也涉及到特定产品或服务的安全管理、数据出境等问题。由此可见，我国的数据保护法律框架在多个维度上不断完善对个人信息和重要数据的法律保障。

目前，我国的数据治理仍处于起步阶段，数据市场治理法治化程度有较大的提高空间，对数据要素权益、数据交易的分级分类制度、数据市场治理等方面仍需设计相应的数据治理机制。

1.多头监管。我国当前的数据市场监管呈现多头监管的特色，一个领域的数据市场治理问题往往涉及多个数据市场监管部门。例如，在金融数据监管领域，网信办、工信部、公安部、国家安全部、市场监督管理局、行业监管机关（例如，中国人民银行、中国银行保险监督管理委员会）等均有权对金融领域的数据市场进行监管执法。多头监管在执法效果上可以形成较大的威慑力，对相关涉案企业进行数据合规整改产生强有力的督促。但另一方面，多头监管也反映出当前数据市场监管存在协调不足的问题，数据市场监管职能分散，各部门监管边界不清，多头监管和监管空白并存，容易产生重复监管，难以形成数据市场监管合力。^[2]

2.专项行动。当前我国数据市场监管执法主要以专项行动为主，多个监管部门在短期内联合执法，对某一领域的数据不合规问题进行集中治理。例如，2019年1月至12月，网信办、工信部、公安部、市场监管总局在全国范围内组织开展APP违法违规收集使用个人信息专项治理；市场监管部门等八部门联合开展2019网络市场监管专项行动（网剑行动），严查未经同意收集个人信息行为；公安部组织部署全国公安机关开展“净网2019”专项行动、“净网2020”专项行动等。专项行动为主的“运动式”执法方式在短期内能解决数据市场监管面临的急迫问题，但具有被动性和功利性弱点。^[3]由于我国目前数据保护法律体系尚未形成体系性的法律与制度框架，数据市场监管体系有较大的完善空间，这使得当前各监管部门的职责边界模糊，数据市场监管执法较难划分出清晰合理的分工，联合专项治理的监管执法方式是在此短期形势下的优选方案。

2021年7月16日，国家七部门进驻滴滴出行，开展网络安全审查，表明我国数据市场监管领域的多头监管模式依然强势，也是目前整治数据市场乱象的有力手段。接下来，随着我国数据保护监管执法体系的完善，各部门监管制度规则的细化，相信数据市场监管职权分工将会更加合理明晰，监管方式也将会朝着自主化、常态化的方向发展。

三、企业数据合规监管要点

在信息时代，数据是新的石油，它可以为新时代创造很多前所未有的机会，但这一“新石油”却不能随意开采，它的获取来源和途径需要受到法律的监管。数据来源的合法性是企业通过数据创造价值的前提与基础。当前众多企业的数据利用越来越需要来自多渠道的大数据支撑，数据来源合法是企业能够合规使用所获取到的数据的前提，也是监管机构关注的重点。在实践中，监管部门对各企业在业务中所使用的数据来源合法性的监管力度也不断加大。

考察企业收集数据来源的合法性可以从以下两个角度把握：

1.企业自主收集的数据。企业在收集个人信息时，应遵守合法、正当及必要性原则，并获取信息主体的同意，具体要求包括：①仅收集与业务直接相关的个人信息，避免收集与业务无关的信息。一些移动互联网应用程序（APP）通过“一揽子协议”将收集个人数据与其功能或服务进行捆绑，用户不同意全面授权，就无法使用该APP。这严重损害了用户作为个人数据主体的决定权。^[4]针对此现象，《深圳经济特区数据条例》确立了以“告知—同意”为前提的个人数据处理规则^[5]，规范企业收集个人信息的行为。②如果企业收集的个人信息为敏感个人信息，例如金融机构往往需要收集个人生物特征、金融账户等信息，则该企业还需要获取客户对于敏感个人信息收集与使用的明示同意；③在收集个人信息前，需制定《隐私政策》，并在《隐私政策》中具体说明个人信息的使用场景，采取技术措施（例如弹窗等）引导个人信息主体查阅隐私政策，获得个人信息主体明示同意后开展有关个人信息的收集活动。例如，在受到政府审查之前，滴滴出行在《个人信息保护及隐私政策》中强调，滴滴出行“保留对个人信息的收集、保存、使用、共享的权利”，其中所指的“个人信息”是“身份证号码、面部识别特征、录音录像、银行卡号、IP地址”。这些信息的收集超出正常使用滴滴出行平台核心功能之所必需，违反了《信息安全技术个人信息安全规范》规定的个人信息控制者收集个人信息时需要遵循的“最小必要原则”。^[6]

2.来源于第三方的数据。《深圳经济特区数据条例》明确规定，市场主体不得使用非法手段获取其他市场主体数据，不得非法收集其他市场主体数据提供替代性产品或者服务，不得通过数据分析无正当理由对交易条件相同的交易相对人实施差别待遇。^[7]因此，当企业收集的数据来自于第三方时，需在从第三方接收此类数据前，核实数据来源的合法性，包括：①此类数据在收集时，第三方是否获得了客户有关其个人信息收集与处理的同意，该同意应覆盖个人信息主体到企业的全部传输链接。个人信息主体同意的内容覆盖企业利用该数据的各场景；②建议第三方提供相应的证明文件，确保企业收集到的个人信息来源的可追溯性；③如果需要从合作伙伴处获取个人信息，应通过尽职调查等适当方式确认合作伙伴的数据来源合法合规、真实有效，对外提供数据不违反法律法规要求，并已获得信息主体本人的明确授权。

企业内部数据治理水平应与企业对数据赋能的推进相适应，若内部的数据安全制度无法完善，则数据安全无法保障，数据无法在制度的保障下发挥价值。因此，在确定了数据来源的合法性后，企业还需要对企业内部的数据安全进行管理，制定覆盖数据生命全周期的数据安全管理制度。

企业进行内部数据安全管理应关注以下要点：一，具备定位其拥有的数据的能力。要想处理并管理这些数据，企业需要了解数据的存储位置、访问者以及已经存储了多长时间。二，具备安全高效检索数据的能力。《个人信息保护法（草案）》规定，个人有权申请查询自己的个人信息，并要求更正、补充，甚至删除数据。^[8]因此要求企业具备安全高效的数据检索的能力，确保及时响应这些要求。三，最小化数据存储。由于《个人信息保护法（草案）》规定个人信息的保存期限应当为实现处理目的所必要的最短时间^[9]。因此，企业需要根据《个人信息保护法（草案）》的要求，建立数据存储最小化系统，防范数据泄露风险。四，最大程度保护数据的安全。《个人信息保护法（草案）》要求保护个人信息免遭泄露、窃取、篡改或删除。审查访问控制、加密、化名与技术安全措施，以保护由企业控制的个人信息。建立透明的数据保护和安全流程，确保符合审计和合规要求。^[10]五，改变企业处理、存储和保护用户个人信息的方式。建立一套隐私影响评估流程，对数据保护及个人隐私权影响作出正式分析，并将其引入任何新的业务流程或系统。^[11]

数据的使用与处理包括数据的收集、存储、使用、加工、传输、提供、公开等活动。数据的使用与处理应采取合法、正当的方式，遵循诚信原则进行。以企业进行数据共享为例，近期受审查的滴滴出行APP，其《个人信息保护及隐私政策》的“个人信息的共享、转让、公开披露”一节显示，滴滴出行将会在特定情况下共享用户信息，共享对象主要包括广告分析服务商、供应商和其他合作方等。而《个人信息保护及隐私政策》的规定要求，企业对用户数据进行共享时应当告知用户可能产生的后果并且征求用户同意；进一步，若共享敏感信息，还应当告知信息接收主体的身份和数据安全能力，并且征求个人信息主体的明示同意。可见，滴滴出行这种笼统式要求用户同意的方法显然难以契合法规政策的要求。^[12]

在不同的业务领域，有着相应的法律法规或监管政策对企业的数据使用与处理进行规定，对于企业而言，其合规要点也相应地因行业监管要求的不同而有相应的特殊性。例如，在金融领域，《个人金融信息保护技术规范》对金融数据按敏感程度进行分类，将个人金融信息分成C3、C2、C1管理。被归属于C3的金融信息是最高级别保护的信息，用于用户鉴别的个人生物识别信息则属于此类信息。对此，金融机构在数据的使用与处理方面，则应注意不得将C3以及C2类别信息中的用户鉴别辅助信息对外共享或委托给第三方机构处理、委托第三方处理个人金融信息时，不得超出银行客户授权同意的范围、在外包活动中建立严格的客户信息保密制度等合规要点。

企业应建立系统性的数据安全保障机制，同时在企业内部应对具体保障措施的内容、针对的数据对象、负责的人员等予以明确，并全面记载安全措施的实施情况，以确保企业数据的使用与处理合法合规。若监管机构提出检查，企业需要能够拿出相应的记录来进行说明，或者在发生安全事故时，用于证实已尽到必要的安全保障义务。^[13]