企業數據合規實務分享—數據泄露應對與處置
作者：沈慧力 2022-01-052021年9月1日，《中華人民共和國數據安全法》（以下簡稱“《數據安全法》”）正式施行。近期，我們為某世界知名高科技公司提供了應對數據泄露安全事件的專項法律服務。憑借處置數據安全事件的專業經驗，以及對于相關法律法規適用的深刻理解，我們迅速甄別法律合規問題并給出處置方案，幫助客戶在最短時間內扭轉不利局面。本文試從數據泄露的角度，探討企業應如何應對數據泄露事件，如何提升數據安全管理水平，從而有效降低發生數據安全事件的風險。
數據泄露應對與處置要點 不少互聯網大數據企業，以及大部分致力于數字化轉型的傳統企業，在網絡安全與數據保護方面并未給予足夠的重視及投入，多多少少存在一些漏洞與隱患：例如在應用層面，作為企業核心資產的數據仍明文傳輸和存儲；在網絡層面，重要的網絡系統未執行限制登錄IP策略就向國際互聯網開放；在服務器層面，服務器未設置賬戶密碼策略、登錄失敗鎖定和超時策略等。這些常見的安全問題，同樣在本次數據泄露事件中出現，關于技術問題本文不深入闡述，從法律合規角度我們主要聚焦以下四點： 一、及時履行報告義務 數據泄露屬于網絡安全事件，《網絡安全法》和《數據安全法》對于企業發生數據泄露事件，均規定了企業應依法向監管部門報告的法定義務。如果發生重大的數據泄露事件，企業又沒有及時履行報告義務，那么大概率將遭到監管部門的處罰。需要特別注意的是，《數據安全法》相關罰則較為嚴厲，并且新法施行后各地“首案”尚未出現，一旦成為各地“首案”將給企業帶來永遠抹不去的負面影響。 二、正確理解監管思維 自“凈網2018”專項行動以來，公安機關已全面實行“一案雙查”制度[i]。這里的“一案雙查”是指在對網絡違法犯罪案件開展偵查調查工作時，同步啟動對涉案網絡服務提供者法定網絡安全義務履行情況的監督檢查。對拒不履行法定網絡安全義務、為網絡違法犯罪活動提供幫助的網絡服務提供者，公安機關將依法對其進行嚴厲查處，努力從源頭遏制網絡違法犯罪案件發生。也就是說，如果企業沒有履行網絡安全和數據安全義務，作為受害者的企業，不僅自身將承擔各項損失，同時將遭受監管部門的行政處罰。值得注意的是，《網絡安全法》《數據安全法》所有罰則均為“雙罰制”，企業及直接責任人都將遭受處罰。 三、重視客戶數據泄露 許多企業在發生數據泄露之初，并沒有意識到一些潛在的重大風險。比如說網絡系統內存儲的客戶數據，包括商務合同、財務資料、知識產權數據等可能包含重要商業秘密的內容。此外，如果相關客戶是上市企業，數據泄露很可能涉及信息披露的問題。實踐中我們遇到不少發生數據泄露的企業，可能對自有數據發生泄露毫不在乎。但是，一旦涉及客戶數據泄露，相關客戶是不是這樣考量就很難一概而論了。如果由于自身怠于處置，給客戶帶來了巨大經濟損失，巨額索賠的風險恐怕很難避免。 四、切忌盲目掩蓋事實 不少企業在發生數據泄露后，企圖通過一定的手段掩蓋事實，主要目的是避免監管調查。這樣的思路看似妙招，但現實中卻很難實現。主要原因有四點，一是《網絡安全法》第五十一條明確規定國家建立網絡安全監測預警和信息通報制度，全球各地無時無刻都在密切監測網絡安全事件，重大數據泄露事件無疑是監測的重點；二是黑客一旦得手，必然會在國際互聯網上主動披露相關事件，炫耀戰績的同時向受害企業施加巨大的壓力；三是在黑客披露數據泄露事件相關信息后，一旦在網絡上傳播，容易引發輿論炒作，將帶來更嚴重的危害性；四是基于危害性加劇，監管部門大概率會在裁量范圍內從嚴從重處罰瞞報企業。 企業合規建議 一、全面提高數據安全合規意識 我們在實踐中發現，大部分客戶對數據泄露可能帶來的危害缺乏必要的認知，因此導致事發后遲遲沒能作出正確決策。在沒有發生數據泄露事件的時候，絕大部分企業普遍認為離自己很遠。事實上，沒有采取有效行動的企業，安全風險始終如影隨形。 二、開展網絡安全等級保護測評 網絡安全等級保護測評是《網絡安全法》規定的法定義務，《數據安全法》針對利用互聯網開展數據處理活動，特別提到了要在網絡安全等級保護制度的基礎上，履行數據保護義務。相當一部分企業至今仍對網絡安全等級保護測評工作不以為然，認為這是一件勞民傷財又看不到實際價值的工作?，F如今，最新立法再次明確這一法定義務，我們建議相關企業盡快著手推進落實。 三、各部門協同高效推進 數據合規工作需要法律合規、風控與IT技術等多個部門協同推進，現實中這些部門通常屬于不同的分管領導，容易發生內部相互推諉導致無法高效推進。因此，我們建議企業應首先理順匯報線，例如成立專門的數據保護委員會，全面整合內部資源協同推進。 相關法律規定 《網絡安全法》第二十五條 網絡運營者應當制定網絡安全事件應急預案，及時處置系統漏洞、計算機病毒、網絡攻擊、網絡侵入等安全風險；在發生危害網絡安全的事件時，立即啟動應急預案，采取相應的補救措施，并按照規定向有關主管部門報告。 《數據安全法》第二十九條 開展數據處理活動應當加強風險監測，發現數據安全缺陷、漏洞等風險時，應當立即采取補救措施；發生數據安全事件時，應當立即采取處置措施，按照規定及時告知用戶并向有關主管部門報告。 《數據安全法》第四十五條 開展數據處理活動的組織、個人不履行本法第二十七條、第二十九條、第三十條規定的數據安全保護義務的，由有關主管部門責令改正，給予警告，可以并處五萬元以上五十萬元以下罰款，對直接負責的主管人員和其他直接責任人員可以處一萬元以上十萬元以下罰款；拒不改正或者造成大量數據泄露等嚴重后果的，處五十萬元以上二百萬元以下罰款，并可以責令暫停相關業務、停業整頓、吊銷相關業務許可證或者吊銷營業執照，對直接負責的主管人員和其他直接責任人員處五萬元以上二十萬元以下罰款。 違反國家核心數據管理制度，危害國家主權、安全和發展利益的，由有關主管部門處二百萬元以上一千萬元以下罰款，并根據情況責令暫停相關業務、停業整頓、吊銷相關業務許可證或者吊銷營業執照；構成犯罪的，依法追究刑事責任。 《網絡安全法》第五十一條 國家建立網絡安全監測預警和信息通報制度。國家網信部門應當統籌協調有關部門加強網絡安全信息收集、分析和通報工作，按照規定統一發布網絡安全監測預警信息。 《網絡安全法》第二十一條 國家實行網絡安全等級保護制度。網絡運營者應當按照網絡安全等級保護制度的要求，履行下列安全保護義務，保障網絡免受干擾、破壞或者未經授權的訪問，防止網絡數據泄露或者被竊取、篡改： （一）制定內部安全管理制度和操作規程，確定網絡安全負責人，落實網絡安全保護責任； （二）采取防范計算機病毒和網絡攻擊、網絡侵入等危害網絡安全行為的技術措施； （三）采取監測、記錄網絡運行狀態、網絡安全事件的技術措施，并按照規定留存相關的網絡日志不少于六個月； （四）采取數據分類、重要數據備份和加密等措施； （五）法律、行政法規規定的其他義務。 《數據安全法》第二十七條 開展數據處理活動應當依照法律、法規的規定，建立健全全流程數據安全管理制度，組織開展數據安全教育培訓，采取相應的技術措施和其他必要措施，保障數據安全。利用互聯網等信息網絡開展數據處理活動，應當在網絡安全等級保護制度的基礎上，履行上述數據安全保護義務。 重要數據的處理者應當明確數據安全負責人和管理機構，落實數據安全保護責任。
