用戶數(shù)據(jù)使用合規(guī)實務(wù)指南

1、用戶數(shù)據(jù)使用合規(guī)實務(wù)指南高杉LEGAL原創(chuàng) 2017-09-28 熊定中、向子瞭 高杉LEGAL高杉LEGAL專注于高品質(zhì)民商法實務(wù)文章的持續(xù)分享，投稿請寄：gaoshanLEGAL。高杉峻：本文是熊定中律師繼數(shù)據(jù)競爭與司法裁判、互聯(lián)網(wǎng)平臺對用戶數(shù)據(jù)的權(quán)利起點之后，互聯(lián)網(wǎng)數(shù)據(jù)系列文章的第三篇。這個領(lǐng)域的法律討論至關(guān)重要但又剛剛起步，衷心期待該領(lǐng)域更多的優(yōu)秀稿件。數(shù)據(jù)使用合規(guī)實務(wù)指南 作者熊定中（北京清律律師事務(wù)所主任、首席合伙人，微信：siberwaage）、向子瞭（北京清律律師事務(wù)所律師助理） *本文經(jīng)授權(quán)發(fā)布，僅代表作者觀點，不代表其供職機

2、構(gòu)及高杉LEGAL立場，且不作為針對任何個案的法律意見* 【特別提示】 1、本指南僅限于數(shù)據(jù)使用業(yè)務(wù)，并不涉及從用戶處進(jìn)行的數(shù)據(jù)收集業(yè)務(wù)。用戶數(shù)據(jù)收集業(yè)務(wù)需要另行起草合規(guī)指南，且大量數(shù)據(jù)商業(yè)化使用企業(yè)并不涉及直接從用戶處收集環(huán)節(jié)，可無需考慮該部分。 2、本文供數(shù)據(jù)合規(guī)相關(guān)法律專業(yè)人員研究使用，不建議非專業(yè)人士直接使用，亦不代表本文可不做調(diào)整直接適用于企業(yè)實際運營過程而無違法違規(guī)風(fēng)險。 一、個人信息相關(guān)法律制度及概念 鑒于中華人民共和國網(wǎng)絡(luò)安全法最高人民法院、最高人民檢察院關(guān)于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋于2017年6月1日

3、施行，配合之前已有的部分相關(guān)個人信息保護(hù)的法律法規(guī)，我國已形成了一套體系化的，從民事、行政及刑事全方位覆蓋的個人信息保護(hù)制度，個人和單位都需嚴(yán)格遵守，如有違反則各自會有相應(yīng)的法律責(zé)任需要承擔(dān)。 與此同時，國家對個人信息的認(rèn)識已從隱私權(quán)中獨立出來，現(xiàn)以概括加列舉的方式對個人信息的法律內(nèi)涵進(jìn)行了定義，具體而言個人信息是指以電子或者其他方式記錄的，能夠單獨或者與其他信息結(jié)合識別特定自然人身份或者反映特定自然人活動情況的各種信息。 二、個人信息數(shù)據(jù)分類 為了便于企業(yè)對實踐中的數(shù)據(jù)使用業(yè)務(wù)進(jìn)行審核，暫時可以把業(yè)務(wù)中可能接觸到的，所有跟個人屬性相關(guān)的數(shù)據(jù)分為特定、敏感和標(biāo)簽數(shù)

4、據(jù)三類，并根據(jù)收集、使用的數(shù)據(jù)類別不同，設(shè)計與業(yè)務(wù)相匹配的合規(guī)機制。 特定數(shù)據(jù)是指憑此數(shù)據(jù)就能識別到具體個人的數(shù)據(jù)，比如身份證號碼、指紋。敏感數(shù)據(jù)是指憑此數(shù)據(jù)一般公眾就可以確定其對應(yīng)的是一個具體的人或者數(shù)據(jù)本身隱私性非常強的數(shù)據(jù)，比如手機號碼、個人郵箱、征信報告，而標(biāo)簽數(shù)據(jù)是指僅憑此單一數(shù)據(jù)無法確定到個人，需要多個數(shù)據(jù)相互配合的數(shù)據(jù)，比如性別、年齡、興趣愛好。 除特定數(shù)據(jù)外，其他的數(shù)據(jù)所屬類別并非恒定，如個人行動軌跡，其既有很強的隱私性也無法單獨確定到個人，因此同時具備了敏感數(shù)據(jù)和標(biāo)簽數(shù)據(jù)的特征，需要根據(jù)實際情況靈活判斷。 三、合規(guī)及風(fēng)險防控要點 一般而

5、言，企業(yè)如需在提供服務(wù)的過程中對數(shù)據(jù)進(jìn)行處理，就會有接收、保管和提供三個階段，以下分別就各階段的注意要點進(jìn)行介紹。 1.數(shù)據(jù)接收 不考慮企業(yè)自行進(jìn)行用戶數(shù)據(jù)收集行為（不在本指南范圍），企業(yè)接收的其他數(shù)據(jù)一般是由數(shù)據(jù)提供方提供。由于數(shù)據(jù)合規(guī)業(yè)務(wù)同時涉及刑事風(fēng)險防范，僅合同約定對方的合規(guī)性可能不足以防范此類風(fēng)險，需要在能否進(jìn)行數(shù)據(jù)接收上慎重審核，以判斷是否可以接受數(shù)據(jù)提供方的數(shù)據(jù)，尤其是在高標(biāo)的、大規(guī)模商業(yè)合作中，花費一定人力物力進(jìn)行小型“盡職調(diào)查”是較為穩(wěn)妥的做法。實際商業(yè)運營過程中，數(shù)據(jù)接收方可根據(jù)合作層級、規(guī)模來平衡合規(guī)風(fēng)險和成本，對如下列所述操作指引進(jìn)行選擇性適用。&#

6、160;1.1數(shù)據(jù)提供方資質(zhì) 考慮數(shù)據(jù)提供方是否有良好的商譽及較大的企業(yè)規(guī)模。一般而言大公司受到監(jiān)管機關(guān)關(guān)注的可能性大，也有足夠的資源完善其合規(guī)制度。與其合作，數(shù)據(jù)接收方的合規(guī)工作可以視情況適當(dāng)從簡。 1.2數(shù)據(jù)提供方的數(shù)據(jù)收集 1.2.1數(shù)據(jù)提供方的數(shù)據(jù)需有合法來源，首先核實對方與被收集人的用戶協(xié)議或有關(guān)個人隱私條款的模板（下稱“協(xié)議”）內(nèi)容是否“合理”（作為數(shù)據(jù)接收方，無需對提供方進(jìn)行嚴(yán)謹(jǐn)合規(guī)，法務(wù)人員從普通常識角度判斷即可），也即核實數(shù)據(jù)提供方所提供的數(shù)據(jù)，是否是按照在其與被收集人的協(xié)議約定而進(jìn)行的收集、使用與共享。 1.2.1.1數(shù)據(jù)收集的范圍&

7、#160;被收集人是否明知該數(shù)據(jù)被數(shù)據(jù)提供方收集，例如協(xié)議并未涉及需要收集地理位置相關(guān)數(shù)據(jù)，但所提供的數(shù)據(jù)中卻含有該類數(shù)據(jù)，則合規(guī)性存疑。如果是收集敏感數(shù)據(jù)甚至是特定數(shù)據(jù)時，是否設(shè)有特殊的獲取同意方式，如在網(wǎng)站上單獨彈出窗口，需用戶主動勾選同意等。 1.2.1.2數(shù)據(jù)使用的方式 部分商業(yè)合作內(nèi)容，是數(shù)據(jù)提供方要求接收方企業(yè)提供一定的數(shù)據(jù)分析或數(shù)據(jù)交換等服務(wù)。此種情況下，數(shù)據(jù)接收方企業(yè)應(yīng)判斷此種服務(wù)是否與協(xié)議中已明確告知被收集人的服務(wù)內(nèi)容具有關(guān)聯(lián)關(guān)系。如協(xié)議中明確表明收集數(shù)據(jù)會被用于“向您提供您可能感興趣的廣告”，則數(shù)據(jù)接收方企業(yè)向數(shù)據(jù)收集方提供廣告投放分析服務(wù)就有其合理性。

8、也即需明確協(xié)議中是否對數(shù)據(jù)的使用規(guī)則進(jìn)行了完整、清晰的說明，提供的服務(wù)不能超出協(xié)議中使用規(guī)則聲稱的直接或合理關(guān)聯(lián)范圍。 1.2.1.3與第三方共享數(shù)據(jù)的程度 即使數(shù)據(jù)的收集和使用符合以上兩點要求，因數(shù)據(jù)接收方企業(yè)對被收集人而言是第三方，且數(shù)據(jù)被收集后原則上不進(jìn)行共享，基于此數(shù)據(jù)接收企業(yè)還需要考察自身是否滿足協(xié)議中針對數(shù)據(jù)共享情形設(shè)定的條件。一般而言，數(shù)據(jù)提供方會將數(shù)據(jù)與“供應(yīng)商或合作伙伴”進(jìn)行共享，數(shù)據(jù)接收企業(yè)就需要依據(jù)數(shù)據(jù)提供方與數(shù)據(jù)接收企業(yè)簽訂的服務(wù)合同進(jìn)行判斷，雙方的關(guān)系是否符合該定義，并根據(jù)實際情況在服務(wù)合同中進(jìn)行調(diào)整，以維護(hù)數(shù)據(jù)接收企業(yè)權(quán)益。進(jìn)一步需要核實，協(xié)議中

9、是否詳細(xì)說明了共享的目的，且數(shù)據(jù)接收企業(yè)提供的服務(wù)是否在該共享目的范圍內(nèi)，例如數(shù)據(jù)提供方作為線上商城服務(wù)提供商，其在協(xié)議中明確告知被收集人，其會收集姓名、地址及聯(lián)系電話用于配送商品，并提供給簽約的運輸合作伙伴，則運輸公司從數(shù)據(jù)提供方獲取被收集人的姓名、地址及聯(lián)系電話就在協(xié)議共享目的的范圍內(nèi)，屬于合法共享。 1.2.2其次可以與對方簽訂保證協(xié)議，保證其向第三方提供數(shù)據(jù)是已合法獲得被收集人授權(quán)的行為，一般而言，注重合規(guī)的公司也會要求數(shù)據(jù)接收方企業(yè)簽署與數(shù)據(jù)相關(guān)的保密或使用協(xié)議，以延續(xù)其對被收集人的做出的承諾（例如淘寶和支付寶均在隱私規(guī)則中明確承諾將會要求共享數(shù)據(jù)的第三方企業(yè)簽署數(shù)據(jù)保護(hù)協(xié)

10、定）。但請注意，一旦查證屬實發(fā)生了侵犯個人信息的行為，以上協(xié)議無法免除數(shù)據(jù)接收方企業(yè)的行政甚至刑事責(zé)任，對于民事責(zé)任，數(shù)據(jù)接收方企業(yè)也僅僅是能通過違約責(zé)任將最終損害賠償責(zé)任轉(zhuǎn)嫁至第三方，但應(yīng)當(dāng)先行承擔(dān)對于被侵權(quán)方的賠償責(zé)任。 1.3數(shù)據(jù)接收范圍及形式 根據(jù)業(yè)務(wù)實際需要，僅接收必要的數(shù)據(jù)，而不是對方可以提供的所有數(shù)據(jù)，嚴(yán)格遵循最小夠用原則。同時還需要注意針對特定數(shù)據(jù)不要明碼接收，敏感數(shù)據(jù)及標(biāo)簽數(shù)據(jù)需保證全部接收后無法達(dá)到確定個人的效果，否則必須減少接收的數(shù)據(jù)類型。 1.4單項業(yè)務(wù)風(fēng)險評估 即使?jié)M足以上3項要求，或數(shù)據(jù)接收企業(yè)已聘請專業(yè)人員針對單項業(yè)務(wù)進(jìn)行了

11、嚴(yán)格的風(fēng)險評估，認(rèn)為可以接收特定數(shù)據(jù)、能確定到具體個人的敏感數(shù)據(jù)或標(biāo)簽數(shù)據(jù)，仍需考量到如果數(shù)據(jù)提供方被行政機關(guān)甚至司法機關(guān)判定為非法收集、使用或共享被收集人提供的數(shù)據(jù)，是否能夠承擔(dān)相應(yīng)的法律后果，包括但不限于賠償損失、暫停相關(guān)業(yè)務(wù)、停業(yè)整頓、吊銷營業(yè)執(zhí)照、對直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員定罪處罰，并對單位判處罰金。 2.數(shù)據(jù)管理 2.1儲存地點及時限 2.1.1針對在中國境內(nèi)（注：不含港澳臺）收集或處理過的數(shù)據(jù)，必須要儲存在境內(nèi)。 2.1.2如非必要，數(shù)據(jù)儲存不要超出因業(yè)務(wù)需要的時間，以免承擔(dān)過多的管理責(zé)任。同時在接到數(shù)據(jù)提供方提出刪除數(shù)據(jù)的要求時

12、，請及時刪除或匿名化處理相關(guān)數(shù)據(jù)并留存好記錄，最后以正式的書面形式向?qū)Ψ交貜?fù)結(jié)果，留存?zhèn)洳椤?#160;2.2安全制度 不同類型的數(shù)據(jù)如果泄露或被不當(dāng)使用所造成的后果是不一樣的，如在刑法上針對非法獲取、出售或者提供公民行蹤軌跡信息、通信內(nèi)容、征信信息、財產(chǎn)信息與非法獲取、出售或者提供公民住宿信息、通信記錄、健康生理信息、交易信息的入罪數(shù)量標(biāo)準(zhǔn)就完全不一致，分別是50條和500條。因此需要根據(jù)數(shù)據(jù)與個人關(guān)聯(lián)的緊密程度設(shè)計相應(yīng)的安全保障體系，將有限的資源合理分配，做到風(fēng)險等級差異化管理。建議可以從以下方面著手，注意留存好書面材料以資證明。 2.2.1設(shè)立嚴(yán)格的數(shù)據(jù)使用和訪問制度

13、，通過控制數(shù)據(jù)訪問的權(quán)限和設(shè)定多重身份認(rèn)證技術(shù)保護(hù)個人信息，避免數(shù)據(jù)被違規(guī)使用。 2.2.2對工作人員處理數(shù)據(jù)的行為進(jìn)行系統(tǒng)監(jiān)控?？梢圆扇ｉT的數(shù)據(jù)和技術(shù)安全審計，設(shè)立日志審計和行為審計多項措施。 2.2.3建立數(shù)據(jù)安全專項部門或小組，負(fù)責(zé)安全應(yīng)急響應(yīng)并組織推進(jìn)和保障個人信息安全。 2.2.4舉辦安全和隱私保護(hù)培訓(xùn)課程，并做好培訓(xùn)記錄以供查驗。 2.2.5聘請外部獨立第三方對信息安全保障體系進(jìn)行評估，例如ISO27001認(rèn)證。 2.2.6一旦發(fā)生數(shù)據(jù)安全事件，及時向數(shù)據(jù)提供方及監(jiān)管部門報告，報告內(nèi)容應(yīng)包含安全事件的基本情況和可能的影響、已采取或

14、將要采取的處置措施、降低風(fēng)險的建議及補救措施。 3.數(shù)據(jù)提供 3.1數(shù)據(jù)接收方評估 此時的數(shù)據(jù)接收方指的是除數(shù)據(jù)提供方外的，為數(shù)據(jù)接收企業(yè)服務(wù)提供支持的第三方。 3.1.1首先根據(jù)數(shù)據(jù)接收企業(yè)與數(shù)據(jù)提供方簽訂的服務(wù)合同內(nèi)容判斷，是否需要告知數(shù)據(jù)提供方，數(shù)據(jù)接收企業(yè)還需要委托第三方參與對數(shù)據(jù)的處理。 3.1.2其次，分析數(shù)據(jù)接收方是否因自身所在行業(yè)領(lǐng)域的特殊性，天然持有個人信息的數(shù)據(jù)庫，可以將數(shù)據(jù)接收企業(yè)提供的數(shù)據(jù)與其自身數(shù)據(jù)庫匹配，如快遞；金融；電信；交通；賓館；購物等行業(yè)，與其進(jìn)行合作就需要以高度審慎的態(tài)度進(jìn)行評估，以免幫助對方補充完整用戶個

15、人畫像。 3.1.3同時還需進(jìn)一步考察對方是否在其內(nèi)部設(shè)有數(shù)據(jù)隔離制度，能夠做到數(shù)據(jù)庫與數(shù)據(jù)庫之間無法關(guān)聯(lián)，這也是防止對方將接收的數(shù)據(jù)匹配到其已有的個人信息數(shù)據(jù)庫中，繼而完善了本不應(yīng)由其知曉的個人信息。 若數(shù)據(jù)接收企業(yè)是將服務(wù)產(chǎn)生的相關(guān)數(shù)據(jù)反饋給數(shù)據(jù)提供方，因是否可以提供相應(yīng)服務(wù)已在雙方簽訂服務(wù)合同前進(jìn)行了合規(guī)審查，請注意按照合同的約定嚴(yán)格執(zhí)行即可。 3.2數(shù)據(jù)提供范圍及形式 3.2.1注意根據(jù)數(shù)據(jù)提供方對數(shù)據(jù)接收企業(yè)的要求，與數(shù)據(jù)接收方進(jìn)行相應(yīng)的約定，嚴(yán)格限定違約責(zé)任。 3.2.2特定數(shù)據(jù)，需繼續(xù)保持非明碼狀態(tài)提供；敏感數(shù)據(jù)，在只有通過向外提

16、供此數(shù)據(jù)，才能順利進(jìn)行相關(guān)業(yè)務(wù)的時候提供；標(biāo)簽數(shù)據(jù)，需要判斷提供的種類數(shù)量是否足以讓對方完善或補足用戶個人畫像，并酌情刪減。 3.3數(shù)據(jù)出境 針對存在與跨國公司合作，需要向境外提供數(shù)據(jù)的情況，在現(xiàn)有的趨勢下，為了保護(hù)好數(shù)據(jù)接收企業(yè)自身利益，首先請先在內(nèi)部梳理好出境數(shù)據(jù)的性質(zhì)、數(shù)量、范圍、敏感程度，準(zhǔn)備數(shù)據(jù)出境的必要性分析，如確因服務(wù)所需而向境外傳輸?shù)?，需要核實?shù)據(jù)提供方與被收集人之間的協(xié)議是否就該情況作出過明確告知并征得同意，如未約定的，請務(wù)必要求數(shù)據(jù)提供方再次獲取被收集人明示同意后，再進(jìn)行處理，否則將存在違法風(fēng)險。因數(shù)據(jù)境外傳輸是需要向被收集人明確告知出境目的、接收方、安

17、全保障措施、安全風(fēng)險等情況并征得同意的前提下才可進(jìn)行，建議數(shù)據(jù)接收企業(yè)在與數(shù)據(jù)提供方簽訂服務(wù)協(xié)議時就進(jìn)行相應(yīng)的約定，以免因數(shù)據(jù)無法出境不能提供服務(wù)而承擔(dān)違約責(zé)任。同時也需要了解數(shù)據(jù)出境目的地的網(wǎng)絡(luò)安全狀況，確保與出境數(shù)據(jù)的境外接收方形成有效的聯(lián)動機制。最后，注意保持與行業(yè)主管或監(jiān)管部門進(jìn)行有效的溝通，并隨時關(guān)注規(guī)則變化。 四、結(jié)語 隨著國家對大數(shù)據(jù)產(chǎn)業(yè)關(guān)注的深入，針對個人信息甚至用戶信息的保護(hù)趨勢也是會越來越規(guī)范化，提前做好企業(yè)內(nèi)部制度的基礎(chǔ)建設(shè)，并隨時根據(jù)新政策新形勢調(diào)整，不僅有利于降低自身的法律風(fēng)險還可以增強客戶對企業(yè)的信任感。所以說即使通過收集、使用數(shù)據(jù)并提供相關(guān)服務(wù)能夠帶來可觀的回報，但請務(wù)必注意要把相關(guān)行為控制在合法合規(guī)的范圍內(nèi)，否則面臨的將會是商業(yè)上的損失甚至需承擔(dān)刑事責(zé)任。 【參考文件】1.中華人民共和國網(wǎng)絡(luò)安全法，主席令第五十三號，全國人民代表大會常務(wù)委員會。2.最高人民法院、最高人民檢察院關(guān)于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋，法釋201710號，最高人民法院、最高人民檢察院。3.個人信息和重要數(shù)據(jù)出境安全評估辦法（征求意見稿），國家互聯(lián)網(wǎng)信息辦公室。4.隱私條款專項評審工作指導(dǎo)意見，中央網(wǎng)