企業(yè)集團數(shù)據(jù)治理的主要問題及解決思路

1、企業(yè)集團數(shù)據(jù)治理的主要問題及解決思路隨著互聯(lián)網(wǎng)、大數(shù)據(jù)、人工智能等技術(shù)手段的發(fā)展，數(shù)據(jù)治理 已成為國家、社會、企業(yè)治理的重要組成部分。僅2020年，就有國家發(fā)改委等十二個部門1，工業(yè)和信息化部2，北京市委、市政 府3，深圳市政府4等多個政府部門在相關(guān)文件中明確提出提升 政府、行業(yè)、企業(yè)數(shù)據(jù)治理能力的要求。企業(yè)作為數(shù)字經(jīng)濟浪潮中最主要的市場主體，應(yīng)當(dāng)重視企業(yè)數(shù) 據(jù)治理能力的提升，保障數(shù)據(jù)安全、發(fā)揮數(shù)據(jù)價值。而在眾多類型 的企業(yè)中，大型企業(yè)集團、控股公司所面臨的數(shù)據(jù)治理的機遇與挑 戰(zhàn)又尤為突出。本文將結(jié)合我們?yōu)榇笮推髽I(yè)集團、控股公司（統(tǒng)稱 企業(yè)集團）提供數(shù)據(jù)合規(guī)治理的相關(guān)服務(wù)經(jīng)驗，對企業(yè)集團進行數(shù)

2、 據(jù)治理的幾個問題進行分析，以期為相關(guān)方提供有益的參考。一、對企業(yè)集團進行數(shù)據(jù)治理的需求與目標(biāo)的理解推進企業(yè)集團數(shù)據(jù)治理工作、提升企業(yè)數(shù)據(jù)治理能力，是外部 環(huán)境和企業(yè)內(nèi)在需求的共同要求。1. 推進企業(yè)集團數(shù)據(jù)治理是外部環(huán)境的影響和要求從外部環(huán)境看，數(shù)據(jù)治理是列入十九屆四中全會提升治理能力 現(xiàn)代化的重要內(nèi)容。聯(lián)合國發(fā)布的2019年數(shù)字經(jīng)濟報告認為， 數(shù)字革命以前所未有的速度和規(guī)模改變了我們的生活和社會，帶來 巨大的機遇和嚴峻的挑戰(zhàn)，數(shù)據(jù)已從資產(chǎn)保護對象成為重要的經(jīng)濟 生產(chǎn)工具。與此同時，數(shù)字經(jīng)濟也帶來了新的風(fēng)險，包括網(wǎng)絡(luò)安全、便利 非法經(jīng)濟活動和挑戰(zhàn)隱私概念等。為應(yīng)對這些挑戰(zhàn)，近年來各國從 法律

3、層面對網(wǎng)絡(luò)安全、數(shù)據(jù)安全、個人信息和隱私保護予以監(jiān)管、 規(guī)制。我國自 2017年 6月 1日網(wǎng)絡(luò)安全法實施以來，已經(jīng)初步 形成了相關(guān)法律體系，即將于 2021年 1 月 1日起實施的民法典 也在人格權(quán)編中規(guī)定了隱私和個人信息保護專章。目前，個人信 息保護法和數(shù)據(jù)安全法也在加緊制定中。有關(guān)網(wǎng)絡(luò)和數(shù)據(jù)安全的監(jiān)管也進一步加強，全國范圍的網(wǎng)站安 全專項整治、APR!法違規(guī)收集個人信息專項治理、“凈網(wǎng) 2020” 等執(zhí)法行動，顯示出網(wǎng)絡(luò)與數(shù)據(jù)安全執(zhí)法常態(tài)化。外部環(huán)境變化、監(jiān)管要求趨嚴，對大型企業(yè)集團的數(shù)據(jù)治理能 力和數(shù)據(jù)合規(guī)水平提出了更高要求。2. 推進數(shù)據(jù)治理工作是企業(yè)集團內(nèi)部協(xié)同發(fā)展的內(nèi)在需求 從內(nèi)

4、部需求看，推進數(shù)據(jù)治理工作是企業(yè)集團內(nèi)部縱深發(fā)展以 及戰(zhàn)略轉(zhuǎn)型的需要。以對數(shù)據(jù)治理要求較高的金融行業(yè)為例。 2018 年，為指導(dǎo)銀行 業(yè)金融機構(gòu)加強數(shù)據(jù)治理，提高數(shù)據(jù)質(zhì)量，發(fā)揮數(shù)據(jù)價值，提升經(jīng) 營管理能力，中國銀行保險監(jiān)督管理委員會（“銀保監(jiān)會”）發(fā)布 銀行業(yè)金融機構(gòu)數(shù)據(jù)治理指引（銀保監(jiān)發(fā) 201822 號），對 銀行業(yè)金融機構(gòu)的數(shù)據(jù)治理體系建設(shè)提出具體要求。 2019 年，中國 人民銀行發(fā)布金融控股公司監(jiān)督管理試行辦法（征求意見 稿），明確提出，金融控股公司與其所控股機構(gòu)之間、其所控股 機構(gòu)之間可以共享客戶信息、銷售團隊、信息技術(shù)系統(tǒng)、運營后 臺、營業(yè)場所等資源，發(fā)揮協(xié)同效應(yīng)；金融控股公司可

5、以在集團內(nèi) 部建立金融控股公司與其所控股機構(gòu)之間、其所控股機構(gòu)之間的協(xié) 同機制，對集團各項資源進行合理配置；在開展業(yè)務(wù)協(xié)同時，金融 控股公司、其所控股機構(gòu)應(yīng)當(dāng)依法以合同等形式明確風(fēng)險承擔(dān)主 體，防止風(fēng)險責(zé)任不清、交叉?zhèn)魅炯袄鏇_突?；诒O(jiān)管機構(gòu)對數(shù)據(jù)治理的要求，眾多金融企業(yè)、金融控股公 司將監(jiān)管機構(gòu)的要求與企業(yè)自身發(fā)展戰(zhàn)略融合，提出數(shù)據(jù)治理作為 企業(yè)現(xiàn)代化治理的一部分，開始考慮如何依法、有效地對不同業(yè)務(wù) 板塊和子企業(yè)的業(yè)務(wù)數(shù)據(jù)進行統(tǒng)一管理，在法律框架內(nèi)充分發(fā)揮集 團內(nèi)數(shù)據(jù)的協(xié)同效應(yīng)，以數(shù)據(jù)協(xié)同促進管理協(xié)同、業(yè)務(wù)協(xié)同，實現(xiàn) 企業(yè)集團內(nèi)部協(xié)同發(fā)展的發(fā)展目標(biāo)?？梢姡?眾多企業(yè)集團將外部要求與自身發(fā)展

6、戰(zhàn)略相結(jié)合，將數(shù) 據(jù)治理的內(nèi)化為企業(yè)的內(nèi)部發(fā)展需求。二、企業(yè)集團數(shù)據(jù)治理的核心問題難點與重點基于企業(yè)集團對數(shù)據(jù)治理的需求和目標(biāo)，我們對企業(yè)集團數(shù)據(jù) 治理的核心問題、重點、難點及解決思路歸納如下。1. 數(shù)據(jù)的法律屬性識別和分類企業(yè)集團內(nèi)部主體眾多、業(yè)務(wù)種類多樣，所涉及的數(shù)據(jù)類型也 是多種多樣的。其中可能包括各類客戶信息，也有其他各類業(yè)務(wù)數(shù) 據(jù)，這些數(shù)據(jù)可能具有受法律保護的個人信息、關(guān)鍵信息基礎(chǔ)設(shè)施運營者的重要數(shù)據(jù)、隱私、商業(yè)秘密、知識產(chǎn)權(quán)等各種不同的法律 屬性。例如， 從客戶層面看， 企業(yè)集團的客戶可能包括機構(gòu)客戶，也 可能包括個人客戶。機構(gòu)客戶信息可能是客戶的公開信息，但也可 能是客戶的商業(yè)秘

7、密；個人客戶信息可能屬于受法律保護的個人信 息，也可能屬于其他數(shù)據(jù)。從監(jiān)管層面看， 不同監(jiān)管機關(guān)對其行業(yè)內(nèi)數(shù)據(jù)可能有專門的界 定和行業(yè)監(jiān)管要求。例如，金融企業(yè)的客戶信息可能屬于中國人 民銀行關(guān)于銀行業(yè)金融機構(gòu)做好個人金融信息保護工作的通知 （銀發(fā) 201117 號）等規(guī)定的個人金融信息；醫(yī)療企業(yè)的數(shù)據(jù)可 能屬于人口健康信息管理辦法（試行）規(guī)定的人口健康信息， 或者人類遺傳資源管理條例規(guī)定的人類遺傳資源等。不同數(shù)據(jù)信息的法律屬性在監(jiān)管要求上的側(cè)重有所不同，由此 也將直接影響對這些數(shù)據(jù)的收集、使用、共享的方式。企業(yè)集團旗下往往有若干業(yè)務(wù)板塊、業(yè)務(wù)種類豐富，例如，某 大型金融控股集團旗下有金融業(yè)務(wù)板

8、塊和非金融業(yè)務(wù)板塊，金融業(yè) 務(wù)板塊包括銀行、保險、證券等多家子企業(yè)，非金融業(yè)務(wù)板塊包括 酒店、旅游、醫(yī)療健康等多家子企業(yè)。這類企業(yè)集團各業(yè)務(wù)板塊所 涉及的數(shù)據(jù)也是復(fù)雜多樣的。因此，識別不同數(shù)據(jù)的法律屬性，并 對其進行分類處理，是企業(yè)集團數(shù)據(jù)治理的難點和重點之一。2. 相關(guān)法律法規(guī)或監(jiān)管要求對特定數(shù)據(jù)共享、流轉(zhuǎn)、歸集的限 制企業(yè)集團對于成員單位進行數(shù)據(jù)歸集、共享時，還需要考慮相 關(guān)法律法規(guī)和規(guī)定的特殊監(jiān)管要求。例如，中國人民銀行早在中 國人民銀行關(guān)于銀行業(yè)金融機構(gòu)做好個人金融信息保護工作的通 知（銀發(fā) 201117 號）等規(guī)定中就對金融機構(gòu)向本機構(gòu)以外的 主體提供個人金融信息等有限制性規(guī)定。在進

9、行數(shù)據(jù)歸集、共享管 理時，需要結(jié)合相關(guān)行業(yè)的規(guī)定制定相應(yīng)的處理方案和策略。3. 客戶的授權(quán)問題對于客戶信息，無論是可能涉及商業(yè)秘密的對公客戶信息，還 是可能涉及個人信息的對私客戶信息，如在集團內(nèi)共享管理，均需 要取得客戶的明確授權(quán)同意。其中，對于增量客戶，可以通過新簽合同等方式取得其授權(quán)。 對于既有的存量客戶，取得其補充授權(quán)在現(xiàn)實中可能存在困難，為 此可以通過創(chuàng)設(shè)業(yè)務(wù)場景、激活客戶等方式在相應(yīng)業(yè)務(wù)場景和環(huán)節(jié) 中取得其授權(quán)。4. 數(shù)據(jù)存儲與跨境問題網(wǎng)絡(luò)安全法規(guī)定，國家對公共通信和信息服務(wù)、能源、交 通、水利、金融、公共服務(wù)、電子政務(wù)等重要行業(yè)和領(lǐng)域，以及其 他一旦遭到破壞、喪失功能或者數(shù)據(jù)泄露，

10、可能嚴重危害國家安 全、國計民生、公共利益的關(guān)鍵信息基礎(chǔ)設(shè)施，在網(wǎng)絡(luò)安全等級保 護制度的基礎(chǔ)上，實行重點保護。關(guān)鍵信息基礎(chǔ)設(shè)施的運營者在境 內(nèi)運營中收集和產(chǎn)生的個人信息和重要數(shù)據(jù)應(yīng)當(dāng)在境內(nèi)存儲，因業(yè) 務(wù)需要，確需向境外提供的，應(yīng)當(dāng)進行安全評估。數(shù)據(jù)跨境流動問 題作為一項重要的制度在數(shù)據(jù)安全法（草案）中也有體現(xiàn)。企業(yè)集團及 / 或其成員單位，特別是屬于關(guān)鍵信息基礎(chǔ)設(shè)施的運 營者的，對于集團內(nèi)業(yè)務(wù)涉及數(shù)據(jù)在境外落地或數(shù)據(jù)出境的，需要 謹慎對待所涉及的數(shù)據(jù)跨境問題。5. 數(shù)據(jù)管理平臺的搭建企業(yè)集團數(shù)據(jù)治理方案的落地，需要由統(tǒng)一數(shù)據(jù)管理平臺承載 實現(xiàn)。企業(yè)集團可以結(jié)合數(shù)據(jù)治理的目的、所涉及的數(shù)據(jù)類型確

11、定 數(shù)據(jù)管理平臺的功能，從技術(shù)上確定可行的平臺架設(shè)方案、安全保 障方案，并關(guān)注平臺的網(wǎng)絡(luò)安全等級保護標(biāo)準(zhǔn)、是否需要符合網(wǎng) 絡(luò)安全法對關(guān)鍵信息基礎(chǔ)設(shè)施及其運營者的要求，以及脫敏、加 密等技術(shù)措施是否符合密碼法等有關(guān)要求。6. 數(shù)據(jù)合規(guī)常規(guī)機制的搭建和運行企業(yè)集團數(shù)據(jù)治理需要通過一系列運行制度來實現(xiàn)日常管理。 企業(yè)集團可以通過設(shè)置數(shù)據(jù)合規(guī)工作機制，包括但不限于制定操作 規(guī)程、行為手冊，執(zhí)行數(shù)據(jù)合規(guī)論證機制、監(jiān)督檢查機制、考核與 培訓(xùn)機制等，落實數(shù)據(jù)治理工作，使得數(shù)據(jù)治理和合規(guī)工作常規(guī) 化、持續(xù)化。三、對企業(yè)集團數(shù)據(jù)治理工作的建議 針對上述難點、重點問題，對于企業(yè)集團數(shù)據(jù)治理我們有如下 建議。1.

12、數(shù)據(jù)治理頂層設(shè)計、確定工作“底線”“紅線”企業(yè)集團內(nèi)部成員單位業(yè)態(tài)豐富，上市公司、非上市公司、跨 境企業(yè)等多種企業(yè)形態(tài)混合，這些復(fù)雜多樣的現(xiàn)實情況增加了企業(yè) 集團數(shù)據(jù)治理的難度。為此，需要對集團內(nèi)數(shù)據(jù)治理工作進行全局 把控、頂層設(shè)計，明確集團數(shù)據(jù)共享合規(guī)的法律框架與商業(yè)邏輯， 以及集團各企業(yè)間的數(shù)據(jù)共享合法合規(guī)基本原則。在工作安排上，可以分以下步驟操作：? 首先，對集團內(nèi)企業(yè)數(shù)據(jù)治理情況進行盡職調(diào)查，通過審閱 資料、訪談等方式，了解企業(yè)數(shù)據(jù)治理現(xiàn)狀、需求、難點和痛點。? 與此同時，對需要遵守的相關(guān)法律規(guī)定和監(jiān)管要求進行統(tǒng)一 梳理，識別有關(guān)數(shù)據(jù)共享、流轉(zhuǎn)、歸集有限制的要求，進行充分法 律研判，明

13、確從集團層面進行數(shù)據(jù)歸集不得觸碰的“紅線”“底 線”。? 基于盡職調(diào)查和法律研究，形成集團數(shù)據(jù)治理盡職調(diào)查報 告，并根據(jù)調(diào)查分析情況，結(jié)合企業(yè)集團數(shù)據(jù)管理要求，完成數(shù)據(jù) 治理合法合規(guī)的頂層設(shè)計。對此，可以通過制定全集團的數(shù)據(jù)治理頂層設(shè)計方案、數(shù)據(jù)治 理基本規(guī)章制度等工作文件體現(xiàn)。該等文件內(nèi)容應(yīng)當(dāng)涵蓋集團內(nèi)數(shù) 據(jù)共享合法合規(guī)基本原則、規(guī)則、紅線和底線，數(shù)據(jù)共享的管理體 制設(shè)計，集團、數(shù)據(jù)承接主體、平臺及程序運營主體、其他子公司 等不同主體的角色認定、權(quán)利義務(wù)及相互關(guān)系等。? 進而，基于歸集數(shù)據(jù)的目的以及法律和監(jiān)管要求，對集團內(nèi) 數(shù)據(jù)進行梳理和分類。對于相關(guān)法律法規(guī)和監(jiān)管要求明確限制其共享、流轉(zhuǎn)、

14、歸集的 數(shù)據(jù)，將其單獨歸為一類進行剝離。對于法律規(guī)定和監(jiān)管要求未作 限制的數(shù)據(jù)，根據(jù)實際需要確定對哪些數(shù)據(jù)進行歸集和共享，哪些 數(shù)據(jù)無需歸集和共享。對需要歸集的數(shù)據(jù)進行細化分類，確定對不 同數(shù)據(jù)的不同需求尺度，并相應(yīng)明確對各類數(shù)據(jù)進行加工、處理 （例如脫敏、加密）的方式。2. 根據(jù)數(shù)據(jù)治理需求確定數(shù)據(jù)范圍、進行數(shù)據(jù)分級分類 企業(yè)集團在確定數(shù)據(jù)范圍時，需要從縱向上考慮監(jiān)管報送、內(nèi) 部管理、商業(yè)信息三類需求，從橫向上融合財務(wù)、人力、風(fēng)控等集 團各職能部門的需求，結(jié)合盡職調(diào)查情況，梳理明確需要進行數(shù)據(jù) 治理、共享的數(shù)據(jù)內(nèi)容，進行數(shù)據(jù)分級、分類。對此， 可以通過梳理數(shù)據(jù)需求清單，制定數(shù)據(jù)分類、分級、去

15、 標(biāo)識化等標(biāo)準(zhǔn)、要求、指南等實現(xiàn)。3. 制定并簽署數(shù)據(jù)共享協(xié)議數(shù)據(jù)的歸集和共享是從集團層面進行數(shù)據(jù)治理的必要環(huán)節(jié)。 例 如，集團內(nèi)數(shù)據(jù)治理實施主體（可能是集團內(nèi)部門或作為承接主體 的子企業(yè)）需要匯總各業(yè)務(wù)板塊、各級子企業(yè)的業(yè)務(wù)數(shù)據(jù)進行統(tǒng)一 管理、處理和開發(fā)、應(yīng)用。由于數(shù)據(jù)治理實施主體不是數(shù)據(jù)的直接 收集方或生產(chǎn)方，因此，需要由集團內(nèi)其他成員單位向數(shù)據(jù)治理實 施主體提供數(shù)據(jù)，由此可能產(chǎn)生數(shù)據(jù)在不同法人主體或法律主體之 間的歸集、共享、流轉(zhuǎn)。對于數(shù)據(jù)歸集和共享的安排，企業(yè)集團內(nèi)各主體需要簽署數(shù)據(jù) 共享協(xié)議。對此， 可以根據(jù)數(shù)據(jù)治理頂層設(shè)計方案，以及數(shù)據(jù)需求 清單等文件確定數(shù)據(jù)共享協(xié)議的主要內(nèi)容。4

16、. 制定并簽署數(shù)據(jù)收集相關(guān)法律文件根據(jù)數(shù)據(jù)治理頂層設(shè)計方案、數(shù)據(jù)需求清單以及集團內(nèi)主體已 簽署的數(shù)據(jù)共享協(xié)議，確定所需要取得客戶授權(quán)內(nèi)容、范圍，結(jié)合 盡職調(diào)查了解到的各企業(yè)業(yè)務(wù)概況、數(shù)據(jù)收集使用情況，確定需要 起草或修訂的企業(yè) / 業(yè)務(wù)用戶協(xié)議、隱私政策文件，制定或者修改、 完善該等法律文件。5. 各類業(yè)務(wù)場景下的數(shù)據(jù)治理合法合規(guī)性論證針對企業(yè)集團數(shù)據(jù)治理、數(shù)據(jù)共享中涉及的各類業(yè)務(wù)場景進行 合法合規(guī)性審查、論證，了解業(yè)務(wù)流程、數(shù)據(jù)收集使用要點、業(yè)務(wù) 平臺及其業(yè)務(wù)資質(zhì)、技術(shù)架構(gòu)等情況，據(jù)此出具專項診斷報告，分 析主要法律問題并提出解決方案建議。在確定合法合規(guī)的實施方案 后，協(xié)助完成合作協(xié)議、用戶

17、注冊協(xié)議、隱私政策、服務(wù)協(xié)議等業(yè) 務(wù)文件的制定或修訂。6. 就數(shù)據(jù)治理事項與監(jiān)管機構(gòu)持續(xù)溝通企業(yè)集團業(yè)務(wù)眾多，不同業(yè)務(wù)板塊對應(yīng)不同的監(jiān)管機構(gòu)。除根 據(jù)相關(guān)法律法規(guī)進行頂層設(shè)計、合規(guī)論證外，在數(shù)據(jù)治理的全過程 中，與監(jiān)管機構(gòu)的溝通也是必要的。特別是涉及跨行業(yè)數(shù)據(jù)歸集和 共享，或者創(chuàng)新性業(yè)務(wù)模式等情形的，建議積極與監(jiān)管機構(gòu)溝通以 使其知悉和認可企業(yè)的數(shù)據(jù)治理模式。7. 數(shù)據(jù)治理日常管理與培訓(xùn)數(shù)據(jù)治理是一項長期的工作，并且需要融入日常經(jīng)營管理活動 中。為此，需要持續(xù)地進行數(shù)據(jù)治理事項的日常監(jiān)督管理、合法合 規(guī)性研究、新法規(guī)追蹤，以及對員工進行相關(guān)培訓(xùn)和指導(dǎo)。對此， 可以通過制定數(shù)據(jù)治理具體規(guī)章制度、操作指引、手冊、培訓(xùn)課件 等進一步落實。以上分析和建議基于我們處理過的相關(guān)案例。 不同企業(yè)集團的 業(yè)務(wù)、規(guī)模、所處行業(yè)