《个保法》正式施行，To B企业的数据合规应该怎么做？ | 云启投后内参

To B企业在《个保法》正式施行后，应从明确合规框架、识别合规主体与范围、遵循核心合规原则、实施全流程合规管理、做好事先评估与防控、密切关注监管动态等方面做好数据合规工作。具体如下：

• 明确当前数据合规的监管框架：

  我国已形成以《网络安全法》《数据安全法》《个人信息保护法》三法为核心的网络法律体系，为数字时代的网络安全、数据安全、个人信息权益保护提供了基础制度保障。

  其中，《个保法》已于2021年11月1日正式实施，对违反个保法的企业及单位最高罚款5000万元或上一年度营业额5%；暂停或终止App、网站服务。对直接负责的主管和直接责任人最高罚款100万元，并可禁止担任董监高和个人信息保护负责人。违法行为还将记入信用档案予以公示，对企业声誉、品牌形象、招投标、上市等带来负面影响。

• 识别数据合规的约束主体和适用范围：

  境内所有商事主体（包括在境内的外国企业使用境外网络服务）及国家机关在收集、存储、使用、加工、传输、提供、公开、删除个人信息的过程中都要遵循个保法要求。

  向境内自然人提供产品或服务的境外主体也受我国相关法律约束。

  公司数据合规的敏感性取决于业务是否涉及个人信息、是否处理敏感个人信息（包括生物识别、医疗金融、行踪轨迹等）。如公司业务涉及有较多个人信息的行业（如to B行业常见的线上零售、广告、营销等），需要关注合规风险，及时进行整改。其中，公司业务如果涉及个人敏感信息，需高度关注数据合规风险，对部分行业更有专门立法来限制和规范数据合规行为。

• 遵循收集个人信息的核心原则：

  “告知-同意”是贯穿个人信息保护的基础规则和个人信息处理者处理用户信息的前提。

  企业要制定明确的个人信息保护政策，告知收集及使用目的、范围场景、对外披露情形、个人信息主体权利保障机制、投诉处理渠道等。

  梳理调整产品业务流程，必要的情况下考虑重新设计、调整业务流程或产品，加强对客户的告知义务，以满足“告知-同意”的执行要求。在实操中可以使用用户弹窗等方式实现，保障用户可以随时查看公司隐私保护条例，提前确认收集信息对应用户的告知义务。在产品上，及早修补数据安全漏洞。

  企业需要获取及处理个人信息前，应以显著、清晰易懂的语言真实准确完整地向个人告知，不能打包同意，要单独提示对应信息的用户同意。同时，企业供查看的整体隐私政策不代表用户的单独同意，隐私政策是一系列行为而不是某一个具体数据处理活动，针对用户的具体数据处理动作，还是要单独告知并申请用户同意。

• 实施信息收集原则及信息分级管理，定期进行全面数据评估自查：

  信息处理要按照合法、正当、必要、诚信、公开、透明、影响最小原则进行，处理个人信息应当具有明确合理目的，数据收集必须与数据处理目的直接相关，并采取对个人权益影响最小的方式。收集也应当受限于处理目的的最小范围和最短时间，不得过度收集、保存时长。

  其中针对敏感个人信息（包括生物信息、金融、行程等）处理要按照特定目的+充分必要+保护措施来谨慎收集处理。

  企业应对自身涉及的个人信息的类别、规模、来源等有基本的了解，进行定期的自查工作。也推荐进行定期的数据合规审计，不断提升企业合规水平。

  根据个人信息的敏感（重要）程度、来源、用途、是否对外提供或跨境，对数据进行评估和分类，对其中涉及的重点信息进行单独处理、存放。对于非必要信息、超出个人信息处理原则范围采集的信息，应当及时予以剔除、隔离。

• 实现信息处理全流程合规，技术、管理合规两手抓：

  技术上，企业建立防范危害网络安全行为的技术措施：防范计算机病毒和网络攻击、防范网络侵入等危害网络安全行为的技术措施；监测网络运行状态，留存日志不少于六个月；对数据分类、重要数据备份和加密；在处理信息时引入安全技术措施，如加密、去标识化技术等。

  管理上，公司要制定内部安全管理制度和操作规程：落实网络安全保护责任，确定网络安全负责人，制定网络安全管理组织架构、人员配备、行为规范规则；制定公司人员应遵守的数据合规程序或步骤；根据不同保护等级设置安全管理人员、安全主管、安全管理责任人等。

• 委托外部处理信息时注意合规义务：

  业务中对外委托处理数据的情况，无论是“共同处理”还是“委托处理”，委托方和受托方都应明确约定委托的处理目的、期限、处理方式等细则，不得超出约定的处理目的、处理方式。委托方、受托方都受到相关法律法规的约束，都必须担负数据合规相关义务。

  如公司A委托公司B进行数据处理，如果企业A有数据不合规情况的话，那么公司B也要承担责任。从提供服务的企业角度来讲，公司B也需要对公司A提供的数据、用户同意的审核工作做到位，才能减少自身合规风险。

• 进行事先评估与防控，提前合规是关键：

  提前准备网络安全应急处置措施，制定安全问题应急预案。发生事件后及时向主管部门报告。

  当用户控诉企业数据问题，企业需自证合规，需做好自证合规的相关流程及应对方案准备。

  企业可以请第三方进行安全认证，出具评估报告，提前做好对应行业的合规认证（如国家市场监管总局与人民银行推出的【金融科技产品认证】，信通院推出的【可信云服务评估】等）。

• 密切关注监管动态，积极配合监管机关：

  积极关注各类法规的数据处理个案，及时进行风险研判。当企业发现了违法数据信息或其他违法行为，应尽快停止提供相关数据服务，保存记录向有关部门报告，必要时要及时与公安机关、监管部门沟通配合。

  企业做好自身网络产品、服务的安全性合规保障，部分企业因自身业务还有身份验证核验、关键信息基础设施安全保护等其他义务。

• 企业在准备IPO时，需了解网络安全审查或安全评估：

  网络安全审查由企业进行申报，相关安全监管部门审查，重点评估数据处理活动可能带来的安全风险。处理一百万人以上个人信息的数据处理者赴国外上市的、赴香港上市的，影响（或可能影响）国家安全的，需要申报网络安全审查。

  数据安全审查评估工作是数据处理者需要自行或委托第三方评估机构开展数据安全评估，并出具数据安全评估报告等。处理重要数据者或者赴境外上市的普通数据处理者，应当自行或者委托数据安全服务机构每年开展一次数据安全评估，并在每年1月31日前将上一年度数据安全评估报告上报所在区域的市级网信部门。

  拟上市企业应尽早开始进行数据合规准备，数据安全未来可能成为涉及数据业务企业IPO的必选项。无论是在海外、香港上市，无论数据是否跨境，企业均要面对相关安全部门对数据安全的审查，要持续落实关于数据与网络安全运营方面的合规义务。企业要密切关注后续监管动态，特别是关于网络安全审查的动态。如明确上市计划，建议和中国律师、监管机构进行充分沟通，并为潜在审查预留充分的时间（如半年左右），积极与监管沟通配合。