公司数据合规到底难在哪

　　中国国家互联网应急中心发布的数据显示，2021年10月，网站安全方面，中国境内被篡改网站数量为9532个，较9月增长近3成；境内被植入后门的网站数量为2932个，较9月增长2.4%。按网站类型统计，被植入后门数量最多的是.COM域名类网站。按地区分布统计，被植入后门的网站数量排名前三位的分别是北京市、广东省和浙江省。

　　问题可能远不止于此。10月，木马或僵尸网络恶意活动情况方面，中国境内近442万个IP地址对应的主机被木马或僵尸程序控制，与9月相比增长4成。按地区分布感染数量排名前三位的分别是广东省、江苏省和河南省。

　　数据安全问题仍在不断发生。

　　11月8日，美国一款应用程序Robinhood有关负责人表示，一名入侵者上周（11月3日）进入了该公司的系统，盗窃了数百万用户的个人信息。包括大约500万用户的电子邮件地址外泄，另外200万用户的全名外泄。入侵者还获取了超过300个用户更广泛的个人信息。

　　Robinhood经过调查后在其官网宣称，“我们仍然认为该列表不包含社会安全号码、银行账号或借记卡号码，并且没有因事件给任何客户造成经济损失。”

　　个人信息作为数据安全的重要表现，Robinhood的这次个人信息泄露事件只是数据安全问题的一个缩影。因为不仅公司、机构内部存在泄露风险，外部攻击也是数据安全问题的重要威胁。

　　针对潜存的数据安全问题，我国先后颁布实施了相关法律。11月1日，《中华人民共和国个人信息保护法》正式实施。全国人大常委会法工委经济法室副主任杨合庆解读称，个人信息保护法确立了个人信息处理应遵循的基本原则，构建了以“告知-同意”为核心的处理规则，规范个人信息处理行为，为个人信息的利用提供了公开、透明、可预期的法律环境。

　　其实，面对无处不在的网络数据安全风险，我国近年来先后颁布出台了相关的法律法规。比如今年9月1日，《中华人民共和国数据安全法》正式实施。4年前，《网络安全法》已开始实施。

　　作为重要的风险源头，那些掌握着大量数据的互联网公司、快递公司、金融科技公司等面对实施的新法是否准备好了？做好风险防范可能面对什么挑战？

　　“缺乏数据安全意识”

　　王岩飞是北京市京师（深圳）律师事务所联合创始人、数据合规研究院执行院长。他接触的客户有头部的平台企业，也有中小规模的互联网企业，以及一些实体企业。

　　王岩飞告诉新京智库，他们最近接了一家制造业上市公司的新项目，这家公司涉及的个人信息数据量非常少，主要是内部员工的信息，但这家公司提出一定要做好个人信息保护的合规工作，“他们的合规意识很强，但有一点过于担心了”。

　　实际上，有很多企业，包括一些巨头的数据合规意识还很淡薄。这些企业的商业模式运转了这么多年，他们粗放式的数据运营和信息使用模式一时半会也难以改变。“老板、高管和公司员工对于个人信息保护的法律认知还没有到这个程度，这可能与执法还没有跟上有关”，王岩飞说。

　　以快递行业为例，2018年5月1日起实施的《快递暂行条例》第34条规定，经营快递业务的企业应当建立快递运单及电子数据管理制度，妥善保管用户信息等电子数据，定期销毁快递运单，采取有效技术手段保证用户信息安全。

　　新京智库观察发现，有一些快递公司已将寄、收双方手机号的中间四位数字隐去，但有一些快递公司的快递单仍然显示详细的寄、收双方的手机号码。

　　第34条还规定，经营快递业务的企业及其从业人员不得出售、泄露或者非法提供快递服务过程中知悉的用户信息。发生或者可能发生用户信息泄露的，经营快递业务的企业应当立即采取补救措施，并向所在地邮政管理部门报告。

　　新京智库梳理发现，仍有一些快递公司的用户信息在被贩卖。2021年11月7日《南方都市报》报道，该报记者通过一款即时通讯软件联系了多位买家，其中一名叫“橘子”的人报价，实时面单超过1000张每张价格3.5元，精品面单每张4元；而历史面单只收车载、童装童鞋、化妆品类的，每张1.5元。

　　另一名叫“悟空”的卖家声称，他手里有几十万历史快递面单，货源是一家物流“云仓”；为了证明自己的实力，他还给记者发了一份文档，里面按照化妆品、母婴、服装等进行分门别类，其中包括上百位消费者的姓名、所购商品、家庭住址和电话号码等隐私信息，甚至还有商品的价格。

　　中国政法大学传播法研究中心副主任朱巍对新京智库表示，《个人信息保护法》施行前，加密、去标识化的隐私面单还可以视为行业内的倡导，但随着该法的生效，加密、去标识化等安全技术措施已经成为快递平台必须履行的法定义务，因此隐私面单功能就必须强制推行。

　　中国科学院大学网络空间安全学院教授张锐告诉新京智库，其实技术上完全可以做到，只需要在源代码中加入若干行相关程序码而已，而且“真的很简单”。

　　现实是，“大老板认识不到，这事肯定做不好”，广东工业大学计算机学院特聘教授刘文印告诉新京智库，企业如何在管理过程中加强对公司数据、员工数据、产品用户数据的合法以及综合管理，有时会发现投入大量人力资源可能有些问题也无法解决。

　　代码里的“猫鼠游戏”

　　新京智库梳理发现，随着《个人信息保护法》的生效，几乎所有App、网站都更新了“隐私政策”——都有弹出相应弹窗需要用户按下“同意”键。尴尬的是，很多人可能是直接选择“同意”，而不会花时间去阅读这些网站或App的隐私政策到底都是什么内容。

　　“我也不看。因为你不同意的话他就直接退出，无法‘正常使用’”，上海大邦律师事务所高级合伙人游云庭告诉新京智库，用户看不看是用户的事情，但应用开发运营者必须告知用户权利义务，这是他们的责任。由于商业模式的多样性，这种事情也没法特别简化，现在的模式应该说，是目前情况下可以做到的比较好的方式。

　　新法实施下，企业该如何做到“无瑕疵”守法还存在类似的技术难题。刘文印表示，我国颁布的《个人信息保护法》被外媒称为“世界上最严格隐私法之一”。在此之前，欧盟《一般资料保护规范》（GDPR）被称为史上最严的隐私法。

　　《个人信息保护法》规定，收集和处理个人信息应取得个人的充分同意，在23、29、39条中，共5种特殊场景中，要求“取得个人的单独同意”，给用户充分的“知情权”和“决定权”，个人有权要求算法说明具体信息，有权知道两个第三方之间在用“我个人的什么信息，没有我个人授权，他们之间无权使用我的个人信息”。

　　“很多场景下，获取‘单独同意’是非常困难的”，刘文印表示，是“发邮件，亲手签字，还是要本人认证？这些信息沟通怎么自动解析？精度和效率怎么保证”，这些都是大问题。但是，如果使用已经开发的基于“登录易”的生态系统架构，网站每次都把“单独同意”的请求发到手机登录易App，即，可信用户代理，或个人信息管理终端，用户点击“同意”后，就带着目的地网站的账号密码去调用部署在目的地的API（应用程序接口），目的地网站收到后，验证账号密码“对”就表示确实是用户本人“同意”，很容易自动完成。

　　刘文印表示，如果“拒绝”，甚至可以自动投诉到监管机构。如果在登录易中设置自动授权“同意”的条件，自动检查信息请求是否满足，就可以自动授权，提高效率，同时留下“单次通知知情-单次同意”的日志记录，作为证据。

　　然而，“很多企业还不知道如何才能自动合规，实现上述规则，尤其是单独‘同意’的规则在实践中如何落地”，刘文印表示，因为这是一个全新规则，比普通的“同意”更难获得，需要有单独的通知，让用户知情，并明确授权“同意”，不能一开始在用户协议或隐私政策一次性打钩就算永久“同意”，“授权”了。

　　因为数量上加上技术上客观存在的难题，游云庭介绍，多数情况下，互联网公司会做“踩线”的事，比如在产品设计时就把它设计成一个容易混淆，方便他们在接受审

　　(上接)　　查时有退路的架构，处理成一个看似合规合理的模式。

　　为什么这么做？游云庭表示，因为这涉及一个监管部门的审计能力问题。因为目前我们的监管机构缺乏相应的审计能力，即如何判定互联网公司的某个设计是否违法，或者一旦发生数据安全违法事件，如何判定违法还需要查看相应的产品设计方案及程序源代码。

　　“如果要加强执法的话，其实要提升相应的数据审计能力，这个成本由谁来承担”，游云庭表示，如果由平台公司承担，那就变成了一个“猫鼠游戏”，把“老鼠”都抓光了，“猫”也就不用活了。

　　数据出境到底怎么出

　　一个可能更为棘手的问题是，涉外企业的数据出境问题该如何解决？

　　王岩飞介绍，他所感受到的是，企业对于数据出境问题还是有很多急需法律普及的盲点。“很多企业暂时不知道怎么做，而且有的是跨国公司”。

　　作为高校教师，刘文印所在的网络安全圈子也经常遇到来自企业界的类似困惑。因为很多境内外都有业务（或者国内运营，用户主要在境外）的公司就会遇到“数据出境”和“个人信息保护”的双重问题。

　　涉及这类业务的不仅有外资企业，还有中资企业，比如在境外设有子公司的，或境外只有贸易业务的。以外资企业为例，国家统计局《中国统计年鉴2021》的数据显示，2020年，我国共有外商投资企业户数总计63.54万家，同比增长1.3%。

　　随着数字经济全球化的推进，数字贸易日益成为区域经贸协定的重要内容，我国数字贸易金额也越来越大。商务部的数据显示，“十三五”时期我国数字贸易额由2015年的2000亿美元增长到2020年的2947.6亿美元（约合人民币2万亿元），增长47.4%，占服务贸易的比重从30.6%增长至44.5%。

　　“比如，有一家叫‘XX思维’的在线教育App，因为收集了太多个人信息，三天两头收到监管部门的通知整改”，刘文印说，因为该App的不少用户在境外，不仅要符合中国的法律，海外也得合规，包括符合欧盟GDPR的规定。

　　对于金融企业来说，也有一些问题亟待解决。王岩飞介绍，金融企业不仅要履行反洗钱法律责任，如果某家商业银行是在海外注册的，不仅要做好反洗钱合规工作，基于其归属地的法律，还需要把信息对冲过去，就又涉及数据出境问题在不同法律之间怎么协调处理问题。“我觉得是个难点”。

　　急需解决的问题不仅于此。游云庭表示，当企业在为数据出境感到困惑时，我们的监管部门力量还无法匹配。即当所有涉及数据出境的企业都要求到监管部门备案时，监管部门能否都及时审批过来？如果不能，那企业数据出境业务怎么开展？

　　游云庭表示，新法普及确实增加了企业运营成本，而且部分企业也出现了一些恐慌，尤其是做境内外投资的。现在找他们律师咨询或做合规工作的是还有钱的企业，如果本身就是微利经营，手里没有现金流的企业，“它可能就不做了”。

　　企业做好数据合规面临的挑战

　　面对新规，企业做好个人信息保护，数据合规又可能面临哪些挑战？

　　上市公司索信达控股有限公司（下称“索信达”）数据管理领域专家韦海晗告诉新京智库，新监管趋势及行业趋势对数据安全管理提出了更高要求，但像银行业要做好数据安全工作还面临不小的挑战。比如，要求管理内容更丰富，具体体现在非结构化数据纳入管理范畴、客户隐私数据保护成为重点、数据安全分级管理成为必要、海量数据脱敏比较关注、分布式的基础设施灾备、更多相关的法律法规保证等。

　　同时，对金融公司也提出了更高的管理能力要求。韦海晗介绍，比如对数据安全要求更高，数据泄露影响也更大，面对海量的数据进行全面的安全分级管理。一些新的大数据产品对于数据安全设计存在缺陷，更多依赖于企业自身数据安全管理能力，分布式的灾备和恢复要求也越来越多。

　　如果管理能力没有相应“升级”可能面对的就是管理成本急剧上升。IBM公司今年7月底发布的《2021年数据泄露成本报告》数据显示，数据泄露的平均成本从上一年度的386万美元上升到424万美元，同比增长近10%。这是近七年来最大的单年成本增长。也是IBM发布该报告17年来的最高成本。

　　该报告进一步指出，与无关远程工作的数据泄露相比，与远程工作有关的数据泄露事件的平均成本高出107万美元。因远程工作而导致数据泄露的企业百分比为17.5%。此外，与远程工作人员最多为50%的组织相比，远程工作人超过50%的组织识别和遏制数据泄露事件所需的时间要多出58天。

　　从行业来看，该报告指出，医疗保健行业的数据泄露平均总成本从2020年的713万美元增加到2021年的923万美元，增幅近3成。医疗保健行业的数据泄露成本连续11年位居首位。

　　“这就要求管理技术也要更先进”，韦海晗说，比如利用大数据技术获取企业不同类型的安全数据，识别潜在的数据安全风险和威胁，非结构化数据的安全保护策略和技术实现方案，分布式的数据加密技术、数据脱敏技术，以及更全面、灵活的数据文件访问技术，基础设施灾备和恢复技术等。

　　因而，韦海晗认为，数据安全管理的工作是贯穿于整个数据管理体系之中的，关系到整个数据管理体系的搭建。从整个数据管理角度看，数据安全管理工作包括数据安全管理标准、数据安全事故处理、数据安全分级、数据安全审计。

　　“数据安全分级是数据安全管理体系构建的重点核心，数据分类又是数据安全分级的基础和依据”，韦海晗建议，在系统技术支撑上，可以将数据安全分级管理体系嵌入到类似元数据平台、数据资产管理平台上去做。

　　而张锐表示，很多平台企业，即便是科技企业在技术上的投入还是太少，他们的系统也没有太先进。很多公司实际上的先进技术研发人员远没有他们所宣称的那么多，“可能是干体力活的居多”。

　　企业在做好数据合规工作时不仅内部，外部也同样面临挑战。

　　游云庭表示，在《数据安全法》和《个保法》等新的法律规范生效之下，执法能力不强也在一定程度上限制了企业的发展。比如，有的企业有数据跨境需求，但当他们咨询或者请相关部门予以指导时，相关部门告知“这块暂时不管”，因为这是“优化营商环境”的范畴。

　　游云庭介绍，这是他在《数据安全法》生效后两三天遇到的真实经历。他认为，这说明相关的监管部门不能说没有准备，而是新法生效后，一下子涌现那么多企业需要办理数据合规的相关业务，他们受理不过来。“他们也不会去接（企业）锅的，万一你（企业）这些数据有问题呢？”

　　企业要有国家安全思维

　　那企业该如何做到合规经营？

　　中国信息通信研究院互联网法律研究中心主任方禹向新京智库表示，企业首先要强化数据合规意识。《个人信息保护法》所构建的很多规则，在一定程度上是对企业进行“补课”，过去“重发展、轻保护”的经营思路需要做较大调整，而调整的起点就是个人信息保护意识的形成和强化。

　　“还要持续合规”，方禹说，个人信息保护本身具有动态性，合规也是一项持续性动作，企业确定个人信息保护总体框架后，需要结合技术发展、业务变化等持续开展合规工作，以符合个人信息保护的安全状态。

　　从技术操作层面而言，刘文印建议，企业需要优先梳理、盘点自己的数据资产。首先要知道自己都有什么（数据），才能有针对性地提出管理和合规的策略。同时，通过合规性检测来确定自身的问题点，然后再制定适当的、有效的治理手段和风险管理方式和目标计划，从而有效执行实现合规化。

　　“网络安全治理和风险管控每一个步骤都是为了减少安全威胁”，刘文印认为，企业经过有效的梳理后进行集中治理并定期不断循环升级，从而形成一种生态模式。网络安全的链条很长，主要涉及三个要素，即人员、流程和技术。因此，企业在培训和优化流程时，也需要在技术上提高，特别是着重提高可以优化、减少人员犯错流程的技术和能自动执行合规的技术。

　　对于金融机构而言，索信达的数据治理专家魏强向新京智库表示，需建立个人信息保护的制度体系，明确工作职责，规范工作流程，完善IT系统，设计并实施覆盖个人信息全生命周期的安全保护策略，需要从敏感个人金融信息的收集、传输、存储、使用、删除、销毁等处理的整个过程采取措施进行全生命周期的保护。“比如遵循明确和最小必要原则对个人信息收集进行规范；采用加密等安全措施传输和存储个人敏感信息，避免泄露等”。

　　王岩飞认为，做好新时代下的数据合规，企业还需树立两种思维。首先是树立国家安全思维，这对很多企业来说都是非常重要的，但是大部分企业都没有。因为平台企业采集的信息，不仅包括用户个人信息，还可能包括天气、地理等数据，只有树立了国家安全思维，才能在数据出境工作中不踩国家安全“红线”。

　　其次是树立刑事风险的思维。很多企业家可能都会想，如果可以赚10亿元，但只罚3000万元，那他就愿意去冒违法的风险。但是他们忽略了一个问题，就是《刑法》中有好几个涉及个人信息保护、数据安全的罪名。

　　有些违法行为可能就不只是罚钱了事，“我们去年接手的几起刑事案件，就是金融企业各板块的员工相互导数据，他们完全没有意识，认为这是合理的”，王岩飞说。

　　北京大学法学院教授薛军向新京智库表示，企业在遵守《个人信息保护法》，包括《数据安全法》的过程中，需要有一定的意识，即促进统一的执法标准的形成，比如一些指导性意见或行业准则的出台。这样才能使得大家在一个“水位线”上，在同等的、合规的标准上来展开竞争，这样才能真正促进行业的健康、良性发展。“特别是在个人信息保护的合规监管力度、标准的拿捏上，是不是能够实现一体的、统一的执法标准”。

　　方禹建议，从监管角度来说，行政指导就尤为重要。大多数国家和地区都组建了个人信息保护专门机构，其关键作用之一是对个人信息保护进行指导。行政指导的相对柔性，能够与法律的相对刚性实现有机结合，促进个人信息保护复杂性的解决。基于指导经验，将一些成熟的做法、普遍接受的做法固化为监管细则。

　　新京报记者 肖隆平 查志远