用戶數(shù)據(jù)使用合規(guī)實(shí)務(wù)指南

1、用戶數(shù)據(jù)使用合規(guī)實(shí)務(wù)指南高杉LEGAL原創(chuàng) 2017-09-28 熊定中、向子瞭 高杉LEGAL高杉LEGAL專注于高品質(zhì)民商法實(shí)務(wù)文章的持續(xù)分享，投稿請(qǐng)寄：gaoshanLEGAL。高杉峻：本文是熊定中律師繼數(shù)據(jù)競(jìng)爭(zhēng)與司法裁判、互聯(lián)網(wǎng)平臺(tái)對(duì)用戶數(shù)據(jù)的權(quán)利起點(diǎn)之后，互聯(lián)網(wǎng)數(shù)據(jù)系列文章的第三篇。這個(gè)領(lǐng)域的法律討論至關(guān)重要但又剛剛起步，衷心期待該領(lǐng)域更多的優(yōu)秀稿件。數(shù)據(jù)使用合規(guī)實(shí)務(wù)指南 作者熊定中（北京清律律師事務(wù)所主任、首席合伙人，微信：siberwaage）、向子瞭（北京清律律師事務(wù)所律師助理） *本文經(jīng)授權(quán)發(fā)布，僅代表作者觀點(diǎn)，不代表其供職機(jī)

2、構(gòu)及高杉LEGAL立場(chǎng)，且不作為針對(duì)任何個(gè)案的法律意見(jiàn)* 【特別提示】 1、本指南僅限于數(shù)據(jù)使用業(yè)務(wù)，并不涉及從用戶處進(jìn)行的數(shù)據(jù)收集業(yè)務(wù)。用戶數(shù)據(jù)收集業(yè)務(wù)需要另行起草合規(guī)指南，且大量數(shù)據(jù)商業(yè)化使用企業(yè)并不涉及直接從用戶處收集環(huán)節(jié)，可無(wú)需考慮該部分。 2、本文供數(shù)據(jù)合規(guī)相關(guān)法律專業(yè)人員研究使用，不建議非專業(yè)人士直接使用，亦不代表本文可不做調(diào)整直接適用于企業(yè)實(shí)際運(yùn)營(yíng)過(guò)程而無(wú)違法違規(guī)風(fēng)險(xiǎn)。 一、個(gè)人信息相關(guān)法律制度及概念 鑒于中華人民共和國(guó)網(wǎng)絡(luò)安全法最高人民法院、最高人民檢察院關(guān)于辦理侵犯公民個(gè)人信息刑事案件適用法律若干問(wèn)題的解釋于2017年6月1日

3、施行，配合之前已有的部分相關(guān)個(gè)人信息保護(hù)的法律法規(guī)，我國(guó)已形成了一套體系化的，從民事、行政及刑事全方位覆蓋的個(gè)人信息保護(hù)制度，個(gè)人和單位都需嚴(yán)格遵守，如有違反則各自會(huì)有相應(yīng)的法律責(zé)任需要承擔(dān)。 與此同時(shí)，國(guó)家對(duì)個(gè)人信息的認(rèn)識(shí)已從隱私權(quán)中獨(dú)立出來(lái)，現(xiàn)以概括加列舉的方式對(duì)個(gè)人信息的法律內(nèi)涵進(jìn)行了定義，具體而言個(gè)人信息是指以電子或者其他方式記錄的，能夠單獨(dú)或者與其他信息結(jié)合識(shí)別特定自然人身份或者反映特定自然人活動(dòng)情況的各種信息。 二、個(gè)人信息數(shù)據(jù)分類 為了便于企業(yè)對(duì)實(shí)踐中的數(shù)據(jù)使用業(yè)務(wù)進(jìn)行審核，暫時(shí)可以把業(yè)務(wù)中可能接觸到的，所有跟個(gè)人屬性相關(guān)的數(shù)據(jù)分為特定、敏感和標(biāo)簽數(shù)

4、據(jù)三類，并根據(jù)收集、使用的數(shù)據(jù)類別不同，設(shè)計(jì)與業(yè)務(wù)相匹配的合規(guī)機(jī)制。 特定數(shù)據(jù)是指憑此數(shù)據(jù)就能識(shí)別到具體個(gè)人的數(shù)據(jù)，比如身份證號(hào)碼、指紋。敏感數(shù)據(jù)是指憑此數(shù)據(jù)一般公眾就可以確定其對(duì)應(yīng)的是一個(gè)具體的人或者數(shù)據(jù)本身隱私性非常強(qiáng)的數(shù)據(jù)，比如手機(jī)號(hào)碼、個(gè)人郵箱、征信報(bào)告，而標(biāo)簽數(shù)據(jù)是指僅憑此單一數(shù)據(jù)無(wú)法確定到個(gè)人，需要多個(gè)數(shù)據(jù)相互配合的數(shù)據(jù)，比如性別、年齡、興趣愛(ài)好。 除特定數(shù)據(jù)外，其他的數(shù)據(jù)所屬類別并非恒定，如個(gè)人行動(dòng)軌跡，其既有很強(qiáng)的隱私性也無(wú)法單獨(dú)確定到個(gè)人，因此同時(shí)具備了敏感數(shù)據(jù)和標(biāo)簽數(shù)據(jù)的特征，需要根據(jù)實(shí)際情況靈活判斷。 三、合規(guī)及風(fēng)險(xiǎn)防控要點(diǎn) 一般而

5、言，企業(yè)如需在提供服務(wù)的過(guò)程中對(duì)數(shù)據(jù)進(jìn)行處理，就會(huì)有接收、保管和提供三個(gè)階段，以下分別就各階段的注意要點(diǎn)進(jìn)行介紹。 1.數(shù)據(jù)接收 不考慮企業(yè)自行進(jìn)行用戶數(shù)據(jù)收集行為（不在本指南范圍），企業(yè)接收的其他數(shù)據(jù)一般是由數(shù)據(jù)提供方提供。由于數(shù)據(jù)合規(guī)業(yè)務(wù)同時(shí)涉及刑事風(fēng)險(xiǎn)防范，僅合同約定對(duì)方的合規(guī)性可能不足以防范此類風(fēng)險(xiǎn)，需要在能否進(jìn)行數(shù)據(jù)接收上慎重審核，以判斷是否可以接受數(shù)據(jù)提供方的數(shù)據(jù)，尤其是在高標(biāo)的、大規(guī)模商業(yè)合作中，花費(fèi)一定人力物力進(jìn)行小型“盡職調(diào)查”是較為穩(wěn)妥的做法。實(shí)際商業(yè)運(yùn)營(yíng)過(guò)程中，數(shù)據(jù)接收方可根據(jù)合作層級(jí)、規(guī)模來(lái)平衡合規(guī)風(fēng)險(xiǎn)和成本，對(duì)如下列所述操作指引進(jìn)行選擇性適用。&#

6、160;1.1數(shù)據(jù)提供方資質(zhì) 考慮數(shù)據(jù)提供方是否有良好的商譽(yù)及較大的企業(yè)規(guī)模。一般而言大公司受到監(jiān)管機(jī)關(guān)關(guān)注的可能性大，也有足夠的資源完善其合規(guī)制度。與其合作，數(shù)據(jù)接收方的合規(guī)工作可以視情況適當(dāng)從簡(jiǎn)。 1.2數(shù)據(jù)提供方的數(shù)據(jù)收集 1.2.1數(shù)據(jù)提供方的數(shù)據(jù)需有合法來(lái)源，首先核實(shí)對(duì)方與被收集人的用戶協(xié)議或有關(guān)個(gè)人隱私條款的模板（下稱“協(xié)議”）內(nèi)容是否“合理”（作為數(shù)據(jù)接收方，無(wú)需對(duì)提供方進(jìn)行嚴(yán)謹(jǐn)合規(guī)，法務(wù)人員從普通常識(shí)角度判斷即可），也即核實(shí)數(shù)據(jù)提供方所提供的數(shù)據(jù)，是否是按照在其與被收集人的協(xié)議約定而進(jìn)行的收集、使用與共享。 1.2.1.1數(shù)據(jù)收集的范圍&

7、#160;被收集人是否明知該數(shù)據(jù)被數(shù)據(jù)提供方收集，例如協(xié)議并未涉及需要收集地理位置相關(guān)數(shù)據(jù)，但所提供的數(shù)據(jù)中卻含有該類數(shù)據(jù)，則合規(guī)性存疑。如果是收集敏感數(shù)據(jù)甚至是特定數(shù)據(jù)時(shí)，是否設(shè)有特殊的獲取同意方式，如在網(wǎng)站上單獨(dú)彈出窗口，需用戶主動(dòng)勾選同意等。 1.2.1.2數(shù)據(jù)使用的方式 部分商業(yè)合作內(nèi)容，是數(shù)據(jù)提供方要求接收方企業(yè)提供一定的數(shù)據(jù)分析或數(shù)據(jù)交換等服務(wù)。此種情況下，數(shù)據(jù)接收方企業(yè)應(yīng)判斷此種服務(wù)是否與協(xié)議中已明確告知被收集人的服務(wù)內(nèi)容具有關(guān)聯(lián)關(guān)系。如協(xié)議中明確表明收集數(shù)據(jù)會(huì)被用于“向您提供您可能感興趣的廣告”，則數(shù)據(jù)接收方企業(yè)向數(shù)據(jù)收集方提供廣告投放分析服務(wù)就有其合理性。

8、也即需明確協(xié)議中是否對(duì)數(shù)據(jù)的使用規(guī)則進(jìn)行了完整、清晰的說(shuō)明，提供的服務(wù)不能超出協(xié)議中使用規(guī)則聲稱的直接或合理關(guān)聯(lián)范圍。 1.2.1.3與第三方共享數(shù)據(jù)的程度 即使數(shù)據(jù)的收集和使用符合以上兩點(diǎn)要求，因數(shù)據(jù)接收方企業(yè)對(duì)被收集人而言是第三方，且數(shù)據(jù)被收集后原則上不進(jìn)行共享，基于此數(shù)據(jù)接收企業(yè)還需要考察自身是否滿足協(xié)議中針對(duì)數(shù)據(jù)共享情形設(shè)定的條件。一般而言，數(shù)據(jù)提供方會(huì)將數(shù)據(jù)與“供應(yīng)商或合作伙伴”進(jìn)行共享，數(shù)據(jù)接收企業(yè)就需要依據(jù)數(shù)據(jù)提供方與數(shù)據(jù)接收企業(yè)簽訂的服務(wù)合同進(jìn)行判斷，雙方的關(guān)系是否符合該定義，并根據(jù)實(shí)際情況在服務(wù)合同中進(jìn)行調(diào)整，以維護(hù)數(shù)據(jù)接收企業(yè)權(quán)益。進(jìn)一步需要核實(shí)，協(xié)議中

9、是否詳細(xì)說(shuō)明了共享的目的，且數(shù)據(jù)接收企業(yè)提供的服務(wù)是否在該共享目的范圍內(nèi)，例如數(shù)據(jù)提供方作為線上商城服務(wù)提供商，其在協(xié)議中明確告知被收集人，其會(huì)收集姓名、地址及聯(lián)系電話用于配送商品，并提供給簽約的運(yùn)輸合作伙伴，則運(yùn)輸公司從數(shù)據(jù)提供方獲取被收集人的姓名、地址及聯(lián)系電話就在協(xié)議共享目的的范圍內(nèi)，屬于合法共享。 1.2.2其次可以與對(duì)方簽訂保證協(xié)議，保證其向第三方提供數(shù)據(jù)是已合法獲得被收集人授權(quán)的行為，一般而言，注重合規(guī)的公司也會(huì)要求數(shù)據(jù)接收方企業(yè)簽署與數(shù)據(jù)相關(guān)的保密或使用協(xié)議，以延續(xù)其對(duì)被收集人的做出的承諾（例如淘寶和支付寶均在隱私規(guī)則中明確承諾將會(huì)要求共享數(shù)據(jù)的第三方企業(yè)簽署數(shù)據(jù)保護(hù)協(xié)

10、定）。但請(qǐng)注意，一旦查證屬實(shí)發(fā)生了侵犯?jìng)€(gè)人信息的行為，以上協(xié)議無(wú)法免除數(shù)據(jù)接收方企業(yè)的行政甚至刑事責(zé)任，對(duì)于民事責(zé)任，數(shù)據(jù)接收方企業(yè)也僅僅是能通過(guò)違約責(zé)任將最終損害賠償責(zé)任轉(zhuǎn)嫁至第三方，但應(yīng)當(dāng)先行承擔(dān)對(duì)于被侵權(quán)方的賠償責(zé)任。 1.3數(shù)據(jù)接收范圍及形式 根據(jù)業(yè)務(wù)實(shí)際需要，僅接收必要的數(shù)據(jù)，而不是對(duì)方可以提供的所有數(shù)據(jù)，嚴(yán)格遵循最小夠用原則。同時(shí)還需要注意針對(duì)特定數(shù)據(jù)不要明碼接收，敏感數(shù)據(jù)及標(biāo)簽數(shù)據(jù)需保證全部接收后無(wú)法達(dá)到確定個(gè)人的效果，否則必須減少接收的數(shù)據(jù)類型。 1.4單項(xiàng)業(yè)務(wù)風(fēng)險(xiǎn)評(píng)估 即使?jié)M足以上3項(xiàng)要求，或數(shù)據(jù)接收企業(yè)已聘請(qǐng)專業(yè)人員針對(duì)單項(xiàng)業(yè)務(wù)進(jìn)行了

11、嚴(yán)格的風(fēng)險(xiǎn)評(píng)估，認(rèn)為可以接收特定數(shù)據(jù)、能確定到具體個(gè)人的敏感數(shù)據(jù)或標(biāo)簽數(shù)據(jù)，仍需考量到如果數(shù)據(jù)提供方被行政機(jī)關(guān)甚至司法機(jī)關(guān)判定為非法收集、使用或共享被收集人提供的數(shù)據(jù)，是否能夠承擔(dān)相應(yīng)的法律后果，包括但不限于賠償損失、暫停相關(guān)業(yè)務(wù)、停業(yè)整頓、吊銷營(yíng)業(yè)執(zhí)照、對(duì)直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員定罪處罰，并對(duì)單位判處罰金。 2.數(shù)據(jù)管理 2.1儲(chǔ)存地點(diǎn)及時(shí)限 2.1.1針對(duì)在中國(guó)境內(nèi)（注：不含港澳臺(tái)）收集或處理過(guò)的數(shù)據(jù)，必須要儲(chǔ)存在境內(nèi)。 2.1.2如非必要，數(shù)據(jù)儲(chǔ)存不要超出因業(yè)務(wù)需要的時(shí)間，以免承擔(dān)過(guò)多的管理責(zé)任。同時(shí)在接到數(shù)據(jù)提供方提出刪除數(shù)據(jù)的要求時(shí)

12、，請(qǐng)及時(shí)刪除或匿名化處理相關(guān)數(shù)據(jù)并留存好記錄，最后以正式的書(shū)面形式向?qū)Ψ交貜?fù)結(jié)果，留存?zhèn)洳椤?#160;2.2安全制度 不同類型的數(shù)據(jù)如果泄露或被不當(dāng)使用所造成的后果是不一樣的，如在刑法上針對(duì)非法獲取、出售或者提供公民行蹤軌跡信息、通信內(nèi)容、征信信息、財(cái)產(chǎn)信息與非法獲取、出售或者提供公民住宿信息、通信記錄、健康生理信息、交易信息的入罪數(shù)量標(biāo)準(zhǔn)就完全不一致，分別是50條和500條。因此需要根據(jù)數(shù)據(jù)與個(gè)人關(guān)聯(lián)的緊密程度設(shè)計(jì)相應(yīng)的安全保障體系，將有限的資源合理分配，做到風(fēng)險(xiǎn)等級(jí)差異化管理。建議可以從以下方面著手，注意留存好書(shū)面材料以資證明。 2.2.1設(shè)立嚴(yán)格的數(shù)據(jù)使用和訪問(wèn)制度

13、，通過(guò)控制數(shù)據(jù)訪問(wèn)的權(quán)限和設(shè)定多重身份認(rèn)證技術(shù)保護(hù)個(gè)人信息，避免數(shù)據(jù)被違規(guī)使用。 2.2.2對(duì)工作人員處理數(shù)據(jù)的行為進(jìn)行系統(tǒng)監(jiān)控?？梢圆扇ｉT的數(shù)據(jù)和技術(shù)安全審計(jì)，設(shè)立日志審計(jì)和行為審計(jì)多項(xiàng)措施。 2.2.3建立數(shù)據(jù)安全專項(xiàng)部門或小組，負(fù)責(zé)安全應(yīng)急響應(yīng)并組織推進(jìn)和保障個(gè)人信息安全。 2.2.4舉辦安全和隱私保護(hù)培訓(xùn)課程，并做好培訓(xùn)記錄以供查驗(yàn)。 2.2.5聘請(qǐng)外部獨(dú)立第三方對(duì)信息安全保障體系進(jìn)行評(píng)估，例如ISO27001認(rèn)證。 2.2.6一旦發(fā)生數(shù)據(jù)安全事件，及時(shí)向數(shù)據(jù)提供方及監(jiān)管部門報(bào)告，報(bào)告內(nèi)容應(yīng)包含安全事件的基本情況和可能的影響、已采取或

14、將要采取的處置措施、降低風(fēng)險(xiǎn)的建議及補(bǔ)救措施。 3.數(shù)據(jù)提供 3.1數(shù)據(jù)接收方評(píng)估 此時(shí)的數(shù)據(jù)接收方指的是除數(shù)據(jù)提供方外的，為數(shù)據(jù)接收企業(yè)服務(wù)提供支持的第三方。 3.1.1首先根據(jù)數(shù)據(jù)接收企業(yè)與數(shù)據(jù)提供方簽訂的服務(wù)合同內(nèi)容判斷，是否需要告知數(shù)據(jù)提供方，數(shù)據(jù)接收企業(yè)還需要委托第三方參與對(duì)數(shù)據(jù)的處理。 3.1.2其次，分析數(shù)據(jù)接收方是否因自身所在行業(yè)領(lǐng)域的特殊性，天然持有個(gè)人信息的數(shù)據(jù)庫(kù)，可以將數(shù)據(jù)接收企業(yè)提供的數(shù)據(jù)與其自身數(shù)據(jù)庫(kù)匹配，如快遞；金融；電信；交通；賓館；購(gòu)物等行業(yè)，與其進(jìn)行合作就需要以高度審慎的態(tài)度進(jìn)行評(píng)估，以免幫助對(duì)方補(bǔ)充完整用戶個(gè)

15、人畫(huà)像。 3.1.3同時(shí)還需進(jìn)一步考察對(duì)方是否在其內(nèi)部設(shè)有數(shù)據(jù)隔離制度，能夠做到數(shù)據(jù)庫(kù)與數(shù)據(jù)庫(kù)之間無(wú)法關(guān)聯(lián)，這也是防止對(duì)方將接收的數(shù)據(jù)匹配到其已有的個(gè)人信息數(shù)據(jù)庫(kù)中，繼而完善了本不應(yīng)由其知曉的個(gè)人信息。 若數(shù)據(jù)接收企業(yè)是將服務(wù)產(chǎn)生的相關(guān)數(shù)據(jù)反饋給數(shù)據(jù)提供方，因是否可以提供相應(yīng)服務(wù)已在雙方簽訂服務(wù)合同前進(jìn)行了合規(guī)審查，請(qǐng)注意按照合同的約定嚴(yán)格執(zhí)行即可。 3.2數(shù)據(jù)提供范圍及形式 3.2.1注意根據(jù)數(shù)據(jù)提供方對(duì)數(shù)據(jù)接收企業(yè)的要求，與數(shù)據(jù)接收方進(jìn)行相應(yīng)的約定，嚴(yán)格限定違約責(zé)任。 3.2.2特定數(shù)據(jù)，需繼續(xù)保持非明碼狀態(tài)提供；敏感數(shù)據(jù)，在只有通過(guò)向外提

16、供此數(shù)據(jù)，才能順利進(jìn)行相關(guān)業(yè)務(wù)的時(shí)候提供；標(biāo)簽數(shù)據(jù)，需要判斷提供的種類數(shù)量是否足以讓對(duì)方完善或補(bǔ)足用戶個(gè)人畫(huà)像，并酌情刪減。 3.3數(shù)據(jù)出境 針對(duì)存在與跨國(guó)公司合作，需要向境外提供數(shù)據(jù)的情況，在現(xiàn)有的趨勢(shì)下，為了保護(hù)好數(shù)據(jù)接收企業(yè)自身利益，首先請(qǐng)先在內(nèi)部梳理好出境數(shù)據(jù)的性質(zhì)、數(shù)量、范圍、敏感程度，準(zhǔn)備數(shù)據(jù)出境的必要性分析，如確因服務(wù)所需而向境外傳輸?shù)?，需要核?shí)數(shù)據(jù)提供方與被收集人之間的協(xié)議是否就該情況作出過(guò)明確告知并征得同意，如未約定的，請(qǐng)務(wù)必要求數(shù)據(jù)提供方再次獲取被收集人明示同意后，再進(jìn)行處理，否則將存在違法風(fēng)險(xiǎn)。因數(shù)據(jù)境外傳輸是需要向被收集人明確告知出境目的、接收方、安

17、全保障措施、安全風(fēng)險(xiǎn)等情況并征得同意的前提下才可進(jìn)行，建議數(shù)據(jù)接收企業(yè)在與數(shù)據(jù)提供方簽訂服務(wù)協(xié)議時(shí)就進(jìn)行相應(yīng)的約定，以免因數(shù)據(jù)無(wú)法出境不能提供服務(wù)而承擔(dān)違約責(zé)任。同時(shí)也需要了解數(shù)據(jù)出境目的地的網(wǎng)絡(luò)安全狀況，確保與出境數(shù)據(jù)的境外接收方形成有效的聯(lián)動(dòng)機(jī)制。最后，注意保持與行業(yè)主管或監(jiān)管部門進(jìn)行有效的溝通，并隨時(shí)關(guān)注規(guī)則變化。 四、結(jié)語(yǔ) 隨著國(guó)家對(duì)大數(shù)據(jù)產(chǎn)業(yè)關(guān)注的深入，針對(duì)個(gè)人信息甚至用戶信息的保護(hù)趨勢(shì)也是會(huì)越來(lái)越規(guī)范化，提前做好企業(yè)內(nèi)部制度的基礎(chǔ)建設(shè)，并隨時(shí)根據(jù)新政策新形勢(shì)調(diào)整，不僅有利于降低自身的法律風(fēng)險(xiǎn)還可以增強(qiáng)客戶對(duì)企業(yè)的信任感。所以說(shuō)即使通過(guò)收集、使用數(shù)據(jù)并提供相關(guān)服務(wù)能夠帶來(lái)可觀的回報(bào)，但請(qǐng)務(wù)必注意要把相關(guān)行為控制在合法合規(guī)的范圍內(nèi)，否則面臨的將會(huì)是商業(yè)上的損失甚至需承擔(dān)刑事責(zé)任。 【參考文件】1.中華人民共和國(guó)網(wǎng)絡(luò)安全法，主席令第五十三號(hào)，全國(guó)人民代表大會(huì)常務(wù)委員會(huì)。2.最高人民法院、最高人民檢察院關(guān)于辦理侵犯公民個(gè)人信息刑事案件適用法律若干問(wèn)題的解釋，法釋201710號(hào)，最高人民法院、最高人民檢察院。3.個(gè)人信息和重要數(shù)據(jù)出境安全評(píng)估辦法（征求意見(jiàn)稿），國(guó)家互聯(lián)網(wǎng)信息辦公室。4.隱私條款專項(xiàng)評(píng)審工作指導(dǎo)意見(jiàn)，中央網(wǎng)