数据合规落地指南：企业必须面对的新课题

"我们公司收集用户数据，需要用户同意吗？"

"我们要把用户数据存到云服务器上，有什么风险？"

"我们公司收到了个人信息保护执法检查通知，该怎么办？"

《个人信息保护法》、《数据安全法》、《网络安全法》——这"三法"让数据合规成为企业必须面对的新课题。

今天说说数据合规怎么落地。

数据合规的法律框架

一、个人信息保护法

2021年11月1日施行，是数据合规的核心法律。

核心原则：

• 合法性基础：处理个人信息必须有合法依据
• 最小必要：只收集必要的信息
• 目的明确：明确告知处理目的
• 知情同意：获取个人信息主体的同意
• 安全保障：采取必要的安全保护措施

二、数据安全法

2021年9月1日施行。

核心要求：

• 数据分类分级：建立数据分类分级保护制度
• 数据安全保护：采取相应的技术措施和管理措施
• 数据交易规范：规范数据交易行为
• 重要数据保护：重要数据出境需要安全评估

三、网络安全法

2017年6月1日施行。

核心要求：

• 网络运营者安全保护义务
• 用户实名制
• 关键信息基础设施保护
• 网络安全等级保护

数据合规怎么做？

第一步：数据资产盘点

搞清楚企业有哪些数据。

盘点内容：

• 企业有哪些数据系统
• 每个系统存储了哪些数据
• 数据的来源是什么
• 数据的类型（个人信息、一般数据、重要数据）
• 数据的敏感程度

常见数据分类：

类型	示例	保护要求
敏感个人信息	身份证号、银行账户、生物识别信息	高度保护，需单独同意
一般个人信息	姓名、电话、邮箱、地址	告知同意
一般数据	业务数据、运营数据	基本保护
重要数据	核心业务数据、关键基础设施数据	重点保护

第二步：合规差距分析

对照法律要求，找出差距。

常见问题：

1. 隐私政策不规范
   - 没有隐私政策或内容不完整
   - 未明确告知处理目的、方式、范围
   - 未提供撤回同意的途径

2. 用户同意不规范
   - 默认勾选同意
   - 不同意就无法使用服务
   - 同意文本过于复杂

3. 权限收集过度
   - 收集与业务无关的个人信息
   - 权限申请过于频繁
   - 未说明权限用途

4. 数据共享不规范
   - 未告知用户即共享给第三方
   - 未与第三方签订数据保护协议
   - 对第三方的数据使用缺乏监督

5. 数据安全措施不足
   - 未加密存储敏感数据
   - 访问控制不严格
   - 数据泄露应急机制缺失

第三步：制定整改方案

根据差距分析，制定整改计划。

整改优先级：

1. 高风险：可能导致行政处罚或严重舆情的
2. 中风险：可能引发用户投诉或民事纠纷的
3. 低风险：改进体验但不紧急的

整改措施示例：

问题	整改措施	责任部门
隐私政策不规范	重新起草隐私政策	法务/合规
用户同意不规范	修改用户界面	产品/研发
权限收集过度	精简权限申请	产品/研发
数据共享不规范	签订数据协议	商务/法务
安全措施不足	加固安全防护	IT/安全

第四步：制度体系建设

建立数据合规管理制度。

制度清单：

• 数据安全管理制度
• 个人信息保护制度
• 数据分类分级管理制度
• 数据访问权限管理制度
• 数据泄露应急响应制度
• 数据跨境传输管理制度（适用时）
• 第三方数据共享管理制度

第五步：技术措施落地

技术是合规的支撑。

常见技术措施：

1. 数据加密：敏感数据加密存储、传输
2. 访问控制：基于角色的访问控制，最小权限原则
3. 日志审计：记录数据访问和操作日志
4. 数据脱敏：对敏感数据进行脱敏处理
5. 数据水印：追踪数据泄露来源
6. 加密存储：敏感数据加密存储

第六步：培训与意识提升

合规需要全员参与。

培训内容：

• 数据合规基础知识
• 个人信息保护要求
• 数据安全操作规范
• 数据泄露应急响应流程

培训对象：

• 全员：基础数据合规意识
• 产品/研发：数据收集和使用规范
• 客服/销售：用户隐私保护要求
• 法务/合规：专业合规知识

常见场景的数据合规要点

场景一：用户注册

合规要点：

• 明确告知收集的信息内容和用途
• 提供隐私政策供用户查阅
• 仅收集注册必需的信息
• 不强制用户同意非必要条款

场景二：用户数据分析

合规要点：

• 数据分析需要合法基础（同意或匿名化处理）
• 分析结果不能反推个人信息
• 匿名化数据也需要保护

场景三：第三方数据共享

合规要点：

• 告知用户数据将共享给第三方
• 与第三方签订数据保护协议
• 监督第三方的数据保护措施

场景四：用户数据导出/删除

合规要点：

• 用户有权要求导出其数据
• 用户有权要求删除其数据
• 响应用户请求的时限：15个工作日内

场景五：数据跨境（适用跨国企业）

合规要点：

• 重要数据出境需安全评估
• 个人信息出境需满足条件之一（安全评估、标准合同、认证）
• 向用户告知境外接收方信息

数据泄露应急响应

一旦发生数据泄露，要怎么做？

第一步：立即响应

• 启动应急响应预案
• 评估泄露范围和影响
• 保留证据

第二步：遏制泄露

• 采取技术措施阻止进一步泄露
• 隔离受影响的系统
• 修复安全漏洞

第三步：影响评估

• 评估泄露的个人信息类型和数量
• 评估对个人权益的影响
• 评估对公司的影响

第四步：监管报告

• 向监管部门报告（72小时内）
• 留存报告记录

第五步：用户通知

• 及时通知受影响的用户
• 说明泄露情况
• 提供补救措施

第六步：复盘改进

• 分析泄露原因
• 改进安全措施
• 更新应急响应预案

写在最后

数据合规不是一次性工程，而是持续性工作。

几点建议：

1. 领导重视：数据合规需要高层支持
2. 全员参与：合规是每个人的责任
3. 持续优化：法规在变，业务在变，合规也要跟着变
4. 技术支撑：好的技术工具能事半功倍
5. 专业支持：必要时寻求专业机构帮助

希望这篇指南能帮你建立数据合规体系。

---

本文为财法在线原创，版权所有