中國數據保護法的最新進展
作者：史軍 賈毅冰 2022-08-22任何企業，其終極目標都是更好地服務客戶，那么收集客戶信息幾乎不可避免。但客戶信息往往包含敏感的個人信息，因此，收集、加工或共享這些數據的，必須獲得事先同意，并遵守相關流程。如出現不合規的情況，情節嚴重的，最高可處罰企業年營業額的5%，并可處其他十幾種處罰措施。
因此，企業必須全面理解數據合規法律，建立合理的合規體系。
框架
《數據安全法》和《個人信息保護法》（下稱《個保法》）于2021年頒布并施行，加上自2017年施行的《網絡安全法》，這三部法律構成了中國數據治理的基本法律框架。每部法律側重點不同，《國家安全法》、《網絡安全法》和《數據安全法》著重于對國家安全和公共利益的保護，而《個保法》著重于在處理個人信息過程中對個人信息權益的保護。 在上述法律框架下，各立法部門和監管機構都出臺了實施要求。同時，行業監管委員會或組織也相應地更新了行業規則，國家標準出臺，提供了實務指南。2022年1月4日發布，并自2022年2月15日施行的《網絡安全審查辦法》就是一個例子。 總體來看，數據治理領域的法律框架已成形，具體的監管規則和實務指南也在逐步制定和改進。
執法
據不完整數據顯示，僅在2021年，中國人民銀行（“央行”）、中國銀行監督管理委員會和國家外匯管理局就對119起違法采集信息案件作出行政處罰，總罰款金額達4650萬元。 上述行政處罰案件大部分是金融機構沒有遵守個人數據采集或網絡安全條例的案件。這些違法行為主要包括“采集和使用個人信息時未遵守相關規定”“未經同意查詢個人信息或企業的信貸信息”“報送個人不良行為信息前，未事先告知信息主體”，或“泄露客戶信息”。
數據生命周期管理
《個保法》和《數據安全法》要求企業建立安全管理系統，在采集、存儲、使用、加工、傳輸、提供和公開信息的全生命周期對數據進行安全管理。數據安全管理應納入整個工作流程，貫穿于每一個業務環節。 對銀行和金融領域的數據合規要求高于其他行業。央行在2020年9月23日發布《金融數據安全數據安全分級指南》（下稱《指南》），由全國金融標準化技術委員會歸口管理?！吨改稀穼⒔鹑跀祿譃槲鍌€等級，并針對每個等級規定了不同的合規義務和具體要求，這些義務和要求貫穿數據采集、使用、存儲、傳輸和銷毀全周期。 在當前階段，《指南》更多屬于建議性質，而非強制要求，但可作為銀行業未來正式建立數據合規制度時的重要參照 ，尤其應考慮到該委員會由央行管理。因此，獲其認可的規則在很大程度上預示了接下來會出臺的行業條例。
上市審查要點
根據中國證監會制定的規則，尋求在中國證券交易所上市的企業必須經過嚴格的上市前合規審查，交易所通過審查確保企業遵守2021年底出臺的數據保護法律，公眾也有機會評判企業的合規水平。 據對2017年到2022年間上市案件的不完整數據分析，證券交易所針對數據合規的審查問詢依時間和行業不同而異。在《數據安全法》和《個保法》于2021年頒布前，合規的商業方面更受重視。而在過去15個月，數據安全管理、數據生命周期管理和數據法律法規的更新成為主要關注點，這從以下幾個趨勢可以看出： 建立數據安全制度，確保合規。問詢大致分為兩類，一是詢問是否建立了相關制度來確保數據采集和數據處理的合規，二是詢問是否出現過數據安全事故或受到數據安全相關的處罰。 數據全生命周期合規管理。數據采集是數據生命周期的開端，因此，這一階段的合規對整體合規至關重要。證券交易所經常審查的問題包括數據來源是否合法，無論數據是主動采集還是購買獲得。對擬上市的公司，證券交易所往往關注公司對數據的實際使用范圍是否超出了事先約定。因此，采集的來源、類別和方式，以及使用授權均需接受審查。 數據加工是另一個關鍵環節。在審查高科技企業時，證券交易所會嚴密審查數據的加工，以檢查企業是否存在過度使用數據和其他形式的數據侵權行為。如果數據加工構成企業主營業務的獨立部分，證券交易所將審核其數據加工行為是否嚴重偏離行業內的普遍做法，以及行業內的普遍做法是否符合法律規定。 對新的立法快速反應。有關數據保護的立法一直在演變，證券交易所也會審查企業能否對未來立法帶來的變化作出快速反應， 遵守數據保護法是所有在華經營企業必須履行的義務。自相關法律施行以來，不合規的法律風險已經體現在方方面面。筆者認為，建立一個完備的數據合規機制對企業而言必不可少，同時企業還應制定周密的業務流程和數據生命周期管理制度，以完善機制。必要情況下，企業應每年審核并更新這個機制，以適應不斷變化的國家法律和行業條例。
