?又是一年315，個人信息安全合規之路在何方？
2018年，歐盟出臺了《通用數據保護條例》（GDPR）。
2019年，谷歌因為未獲得用戶許可定向發送廣告收到了高額的罰單，同年也是我國個人信息保護的元年。這一年，針對個人信息保護國內監管部門開始開展了相關整治活動，公安部發布了《互聯網個人信息安全保護指南》，國家互聯網信息辦公室發布了《數據安全管理辦法》（征求意見稿）……也是從這一年開始，央視315晚會曝光了某公司違法收集用戶個人信息的數據安全事件。
2020年，315晚會曝光多個手機APP的 SDK 插件竊取用戶隱私，比如運營商信息、電話號碼、短信記錄、通訊錄、傳感器信息等。
2021年，同樣是在315晚會上，個人信息泄露成了最重磅的主題：商家無處不在的攝像頭無聲無息中獲取我們的人臉識別信息，數百萬份個人簡歷信息在網上被轉賣，手機清理類軟件偷偷收集老人手機里的信息
又是一年315，毫無懸念，信息安全與個人信息保護連續第四年出現在晚會議題中。在今年的315晚會上，首設“315信息安全實驗室”，重點關注網絡信息安全和兒童互動產品的信息安全。實驗室曝光的“虛假Wi-Fi連接”類App后臺高頻次搜集信息亂象，以及通報“2021年工業和信息化部‘聚焦違規調用手機權限，超范圍收集個人信息’等APP專項整治工作”成果，再一次將數字時代消費者面臨的個人信息安全和隱私保護問題放到了“聚光燈”下。正如晚會總導演尹文所言：“3·15晚會不是為了打擊誰，而是給一些廠家一個善意的提醒。你在做好產品的同時，別忘了你的軟件背后的安全也很重要。信息安全在萬物互聯時代，比產品本身更重要……”
2019-2022，連續四年都曝出消費者個人信息被違法違規收集使用的情況，我們不禁要問，難道保障個人信息安全真的這么難嗎？
時至今日，我們的日常生活幾乎都與互聯網息息相關，我們在互聯網上的每一個操作、每一次停留都可能以“痕跡”之名保留下來，甚至對應到個人的隱私信息，被稱之為“用戶畫像”。從商業角度而言，互聯網平臺自然希望通過掌握用戶畫像，分析用戶的偏好，以達到精準推送的商業目的。過去，這些成為互聯網行業發展的重要動力和潛在規則。然而，隨著“強化反壟斷和防止資本無序擴張”被列為2021年中央經濟工作會議的八項重點任務之一，《數據安全法》、《個人信息保護法》等法律法規的頒布，涉嫌過度收集和利用個人信息已成為懸在一些互聯網公司頭頂的達摩克利斯之劍。當然，很多互聯網公司也在積極響應國家政策和法律要求，加強了關于個人信息安全合規的整改，但過程中依然存在一些問題，也面臨一些難題。
在處理信息時落實“最小方式、最小范圍、最短時間”的原則依然不到位。互聯網公司僅從業務出發考慮數據采集和處理的問題，數據采集和處理的必要性、影響性評估不足，仍然可能存在過度收集、超范圍使用等現象。
對敏感個人信息處理的重視不足。對自身采集了哪些敏感信息，實施了怎樣的保護，有什么樣的風險感知不足，未采取單獨的保護措施或處理規則對敏感個人信息進行重點保護。
對第三方產品和服務的管理不足。第三方SDK、第三方產品和服務接入互聯網平臺時，互聯網公司未充分盡到管理責任，也未與第三方約定好各自權利與義務，導致個人信息被多方收集，濫用和泄露的風險大增。
自我監管不足。在合規方面投入不足，內部個人信息、敏感個人信息的存儲和使用不清晰，對安全合規風險的感知能力不足。
個人信息權利保障不足。仍然存在保障個人信息的可攜帶權、刪除權等權利方面支撐不足。
數據安全合規包括個人信息安全合規，數據安全合規與信息系統、業務、場景等緊密關聯，對數據安全合規進行深入地審計需要基于日志等證據數據，進行關聯分析、綜合評判，這就對審計機構提出了較高的要求。外部審計比較難深入業務、了解細節，可能存在審計不充分的問題，缺少刻畫出數據流轉、數據流向、全生命周期關聯活動的技術證據，而且評估、審計等缺乏一定的時效性，監管存在滯后。
除了技術難度和業務復雜等因素，立場的問題亟需解決。在審計、評估、審查等數據處理者需要舉證的環節，大多數時候是基于自證，缺少他證，影響證據的可信度。
數據作為一種“生產要素”，就確立了其在新時代中國特色社會主義經濟中的地位。個人信息在《民法典》中明確為一項人格權益，面向數據安全合規特別是個人信息安全合規，引入政治可靠、技術過硬、值得信賴的第三方數據安全合規服務方勢在必行。
面向互聯網公司時，數據安全合規服務方作為合規服務商，提供合規風險評估、合規咨詢、策略制定與管理、數據保護、持續提升等數據合規服務，幫助企業實現數據安全合規能力的提升。
面向監管時，數據安全合規方作為可信存證方、技術支撐方，提供監管所需的監管接口支撐、技術服務支撐。
面向個人用戶時，數據安全合規服務商作為可信第三方，提供信任證據，增強個人用戶對互聯網平臺的信任。
引入可信的第三方數據安全合規服務方，其面向企業提供服務、面向監管機構提供支撐、面向用戶提供信任證明，最終可以形成一種可增強多方信任的數據安全合規治理架構。
作者：衛士通數據安全事業部副總經理 王龍
