境內外上市企業的數據合規策略（DPO社群成員觀點）

編者按：

關于企業上市全過程中的數據安全、網絡安全和個人信息保護方面的監管重點、風險和應對，DPO社群中的很多同仁發表過一些文章：

企業上市過程面臨的數據合規問題和相關風險：境外篇 2021版（DPO社群成員觀點）
從墨跡IPO被否看擬境內上市企業的數據合規工作（DPO社群成員觀點）
企業上市過程面臨的數據合規問題和相關風險：境外篇（DPO社群成員觀點）
企業上市過程面臨的數據合規問題和相關風險：境內篇（DPO社群成員觀點）

今天這篇文章的作者是世輝律師事務所的王新銳律師和盧璟律師。

企業在境內外上市過程中，數據合規問題已成為監管機構關注的重點。我們在《企業境外上市過程面臨的數據合規問題和相關風險 2021版》一文中，梳理了中國企業境外上市公開文件中披露的重大風險，總結出在網絡安全和數據保護方面在境外上市公司的普遍性合規風險和相關行業的特殊性合規風險。

了解監管機構和交易所關注的風險只是企業上市數據合規工作的第一步。我們從境內外數十份上市企業的招股書中提煉了有代表性的數據合規策略和措施，并按照數據生命周期、管理控制措施進行分類總結，為企業開展數據合規工作提供參考。

數據收集

對于數據收集環節，上市公司采取了以下策略：

直接從用戶獲取數據：

制定嚴格的數據收集及處理政策并實施一系列程序及軟件控制以保證用戶個人信息及隱私。根據該政策，任何用戶數據處理均需通過以下評估程序：（1）明確通知用戶收集及使用其數據的原因及方式；（2）為用戶提供多階段退出或登錄選擇；（3）作出合理努力，防止任何用戶數據丟失或泄露；（4）允許用戶查閱所持有的所有資料。
保留數據收集的相關證據，例如保留用戶授權公司收集個人信息的同意書。
定期進行專項合規檢查，檢查是否已獲得其收集數據的適當授權。

從第三方獲取數據：

簽訂協議，要求第三方在協議中明確確認其從合法來源獲取數據，且其已獲得將該等數據用于協議規定的目的的權利。在協議中明確雙方權利義務范圍，數據使用的范圍等內容。
根據使用數據的具體需求，要求第三方提供匿名化處理后的數據或要求提供經過轉化后的數據，避免獲取用戶姓名、身份證號碼、電話號碼等個人隱私信息，以及商業秘密等用戶數據。

獲取公開數據：

考慮數據的開放程度以及被收集方的意愿，根據具體情況收集數據。
檢查所獲取的數據類型，獲得授權之前，不獲取個人資料、知識產權內容（包括文章、圖片及視頻）或商業秘密。
嚴格規范數據收集方式，不違反網站安全政策的情況下獲取必要權限，不違反加密規則或繞過強制性認證機制。
控制收集數據的總量，考慮公共利益，評估數據收集是否會承受公關風險及是否會損害聲譽。

數據存儲

對于數據的存儲環節，上市公司采取以下策略中的一項或幾項管控數據合規風險：

開發內部數據管理系統將不同來源的數據實時同步到該系統，以供存儲、管理和保護。
對于客戶提供數據的場景，將不同客戶進行數據分開存儲，嚴格按照協議約定對數據進行加工后再返還給客戶。
通過業務合作伙伴收集的數據可由業務合作伙伴設定一個生命周期，并且任何到期數據將只按業務合作伙伴設定的生命周期永久且不可撤銷地從系統中刪除。
通過私有云存儲用于訓練AI算法模型及以圖片和視頻形式呈現的數據。
建立數據安全屋架構，客戶物理存儲的數據將被邏輯隔離，客戶數據不得被移出安全屋，并將根據法律法規制定的生命周期刪除。
建立含有個人信息的數據的銷毀流程。建立內部數據庫管理者與信息安全委員會的架構，數據庫管理者將向信息安全委員會提交數據銷毀的書面申請，并于獲得審批后執行該等任務。在信息安全委員會的監督下，相關數據將永久銷毀，相關數據的所有歷史備份將被刪除。數據庫管理者將于完成有關程序并確認已銷毀的數據無法恢復后，向信息安全委員會提交內部報告。

數據使用

對于數據的使用環節，上市公司采取以下策略中的一項或幾項管控數據合規風險：

數據庫僅允許符合資格人士進入內網運營，且僅可通過支持特定解決方案的服務器查閱。
允許同時訪問客戶數據的雇員不超過2名，且只能通過指定查閱流程查閱數據，且查閱該等數據的行為將被記錄。
制定允許系統訪問的極少數的IP地址白名單，僅允許授權員工通過白名單IP地址訪問系統；對訪問授權的任何變更均由首席執行官批準。
根據機密級別對數據進行分類，并在在處理之前進行去標識化及匿名化處理。
對于AI模型訓練，訓練平臺會在處理前自動對輸入數據進行脫敏處理。

提供數據產品或服務

對于上市公司對外提供數據產品或服務的場景，上市公司采取以下策略中的一項或幾項管控數據合規風險：

通過協議約束其他方，要求其他方遵守適用數據保護法律及法規以及要求其他方不會將相關產品與技術用于不道德或不適當的目的，并保留在在發現該等事件時終止合同的權利。
在客戶現場部署數據服務，且所有數據均在客戶現場處理。
提供實時處理服務時，在授權范圍內在公共云服務器上處理包含個人信息的最終用戶數據，而不會將有關數據下載至公司本身的數據平臺。
產品在推出或交付進行數據隱私評估及安全測試。
針對產品進行回訪，以進行數據安全評估。

其他管控措施

對于其他內部控制措施，上市公司采取以下策略中的一項或幾項管控數據合規風險：

組織措施：

成立數據安全委員會及數據安全工作小組等個人信息保護機構，并指定了個人信息保護負責人。
大數據團隊的每一個成員除簽署標準保密協議外，還需簽署有關保護用戶數據的附加協議。
提供對任何信息系統資源的訪問權之前，向第三方人員（即來自網絡設備及計算供應商的售后服務人員）獲取已簽署的安全責任條款或保密協議。此外，第三方人員進入訪問受限制區域（比如主機房及重要的服務器及設備）需要書面申請的批準。批準后必須有獲授權人員全程陪同或監督，并將訪問情況記錄在案。
制定有關處理包含用戶數據資料的具體內部程序，并設定有關用戶數據保護的道德標準。違反相關要求的行為可通過系統事件日志進行追蹤。獲取及控制資料的程度視員工職能及職級的相關性而定。倘若出現違反信息安全的行為，公司會開展調查并實施損害控制措施。
內部控制團隊對數據安全合規狀態進行專項審核。
委聘外部顧問以就數據保護政策及持續遵守適用法律法規的情況提供建議并定期更新政策及程序。
定期對數據安全落實情況進行審查，出具數據安全保護審查報告，并根據數據安全審計自查情況，及時總結并整改不符合要求的主要問題。
購買商業保險以保障個人數據及銀行賬戶外泄的風險。
對于人工智能企業，建立了項目立項、科學研究、技術開發、產品應用、方案落地、數據運維、信息系統建設等各環節進行人工智能倫理審查的總體原則及具體程序。

技術措施：

建立獨立的數據庫，并且不會與其他第三方共享客戶或終端用戶的個人信息。
服務器系統進行增強的安全級別保護，定期對服務器運營進行用戶賬戶審核及監控。
對操作系統和數據庫系統設置密碼復雜度要求，采用SSH安全協議進行遠程管理，并嚴格限制對默認賬戶的訪問。
對應用系統設置了身份認證、用戶身份唯一性驗證、基于角色的訪問控制以及其他安全控制機制，并使用HTTPS協議進行安全通信。
網絡采用內外網分離，并對相關組織的U盤、光驅等接口進行封鎖，防火墻采用白名單模式，只有經過許可的電腦或網絡才能上外網，同時內網部署態勢感知系統，針對內外流量進行探測，對危險行為使用EDR殺毒軟件進行查殺。
異常訪問及操作將觸發數據平臺的自動警告或警示。如果數據平臺發出任何自動警告或警示，數據安全委員會會及時調查事件，并評估影響。
建立綜合運營及維護系統以及多中心的災難備份架構，以承載中國不同地點的主要信息技術基建。平臺采取模組建筑結構，由多個相連部件組成，各自可進行個別升級及更換而不會影響其他部件的功能。
采用軟件系統自動偵測及保障系統免受外來攻擊。

辦理相關認證：

產品及隱私政策進行Trust Arc認證。
根據ISO 27001國際框架建立信息安全管理體系，從安全政策及技術控制等多方面管理及保護信息安全。

特殊種類數據處理：

對于涉及處理國家秘密、國家安全、社會公共利益、商業秘密和個人隱私的敏感科學數據，采取下述內部控制措施：

對科學數據的脫敏、收集、使用、復制、存儲及傳輸采取嚴格的要求。
定期向高級管理人員及雇員提供培訓，以提高對有關保護敏感科學數據的適用法律及法規的了解。
禁止轉讓任何敏感科學數據，并要求向國外或國外人士轉讓科學數據（包括但不限于與臨床試驗結果有關的數據）時需提交董事會以事先批準。
向任何第三方轉讓所有科學數據前對其進行脫敏處理。

數據保護官（DPO）社群主要成員是個人信息保護和數據安全一線工作者。他們主要來自于國內頭部的互聯網公司、安全公司、律所、會計師事務所、高校、研究機構等。在從事本職工作的同時，DPO社群成員還放眼全球思考數據安全和隱私保護的最新動態、進展、趨勢。2018年5月，DPO社群舉行了第一次線下沙龍。沙龍每月一期，集中討論不同的議題。目前DPO社群已超過400人。關于DPO社群和沙龍更多的情況如下：

域外數據安全和個人信息保護領域的權威文件，DPO社群的全文翻譯：