企业经营中的数据安全合规与刑事风险提示

近日，许多互联网企业平台受到网络安全审查，例如滴滴、货满满、货车帮、BOSS直聘等知名网络平台，相关部门也对其作出了“下架”、“暂停新用户注册”等决定。由此，企业对收集公民个人信息的行为应当严格自查，严格规范公民个人信息收集方案，遵循最小必要原则。企业如果无法保证数据安全，就无法保证经营安全。

一、数据安全解读

在开展合规工作前，对于合规主体和数据性质应当明确以下基础问题：

1、关于关键信息基础设施运营者的认定。

2016年，《网络安全法》首次在我国法律体系内正式提出“关键信息基础设施”（critical information infrastructure,CII）这一概念，并对CII运营者的安全保护义务与措施、风控措施与应急机制以及相应的法律责任都予以了规定，但对CII的认定和保护范围尚不明确，导致相关条文长期“沉寂”。

直至今年，国务院于8月17日发布《关键信息基础设施安全保护条例》（以下简称《条例》），对CII安全保护的适用范围、监管主体、评估对象等做出界定，并为安全保护工作开展提供系统指引和工作遵循，实则对《网络安全法》中关于CII的16个条文的进一步细化，从规范体系上为《网络安全法》做了有力补充。

《条例》也让企业在CII安全保护方面的权利和责任得以合法化，企业如何在数据安全领域自我定位、自我审查，如何开展数据合规得到进一步明示。

根据《条例》第二条，CII是指“公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等”。

同时《条例》第二章提供了认定CII的规则指引，考虑因素在于：（1）对于本行业、本领域关键核心业务的重要程度；（2）一旦遭到破坏、丧失功能或者数据泄露可能带来的危害程度；（3）对其他行业和领域的关联性影响。

以滴滴为例，尽管滴滴事件发生时尚未有明确的CII运营者界定标准，但其作为国内最大的出行平台软件，其收集的信息包括地图、公民个人信息、道路信息等等，这些数据经过排列组合，可以分析得出重要信息，例如国家不予公开的地理位置信息，涉密部门员工的工作信息等等。从实质审查角度看，其掌握的数据若向境外泄露，则足以达到“严重危害国家安全、国计民生、公共利益”的程度。

需要注意的是，从《网络安全法》到《数据安全法》再到将于今年11月生效的《个人信息保护法》，再到国务院出台的关于“互联网+”的相关行政法规，都强调了关键信息基础设施运营者在我国境内收集和产生的个人信息应当存储于境内，跨境则都需经安全评估等法律程序。

同样从滴滴事件可以看出，数据跨境交流与网络安全、数据安全乃至国家安全都存在关联，如滴滴这样的行业龙头企业尚会“马前失蹄”，足见我国不少企业对网络数据安全保护意识匮乏，亟需转变经营理念、重视数据合规。

2.“重要数据”的界定

2017年国家网信办关于《个人信息和重要数据出境安全评估办法（征求意见稿）》第十三条第四款规定，“重要数据，是指与国家安全、经济发展，以及社会公共利益密切相关的数据，具体范围参照国家有关标准和重要数据识别指南。”

结合《数据安全法》第二十一条规定，“国家建立分类分级保护制度”，“国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护”。“各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的数据进行重点保护。”

从上述条文内容来看，“重要数据”的界定应当主要依赖形式标准，也就是由国家、地区、部门、行业、领域的权威机构制作具体目录，表现为各种标准、识别指南等文件。尽管目前数据分级体系的形式标准尚未全面建立，但滴滴事件的出现，意味着当前企业的合规经营一定程度上需要自行衡量何为重要数据。

具体而言，开展数据合规工作，应当注意以下几个方面：

1）、互联网企业、上市公司应当注重双重合规

双重合规是顺应时代的举措，仅根据国内或国外法律进行合规，对企业的发展会产生阻碍。中国的企业处于数字化和全球化的时代，面临国际化的双重合规要求。

7月6日，国务院办公厅发布《依法从严打击证券违法活动的意见》，专门提出了加强跨境监管的合作，包括完善数据安全，数据的跨境流动，设备信息的管理，完善这些法律法规。所以对于经营企业而言，保障数据安全的合规更加紧迫。在美上市的中国企业除了要符合在美上市的相关规定外，也应根据我国的法律规定进行合规，并且在两者冲突时，优先考虑国内的合规性。中外立法和执法趋势不仅与国家的发展状况有关，更与国际关系，国际形势有关，在中美国家关系紧张的形势之下，我国企业应当趋利避害，审时度势，合理规范经营行为。

2）、集团企业、关联企业的数据合规工作应当标准化、系统化、制度化

由于现在很多企业有多家子公司、分公司，企业内部结构复杂，同一集团内部持有的数据可能分类结果上不一致，从而很难实现集团内合规层面的一致性。

首先，建立数据安全治理体系，应当委派高管牵头负责数据安全治理工作，根据《数据安全法》等法规的监管要求开展自身数据分类分级工作，对企业数据实施分类分级管理，分类分级结果与数据存储、权限、脱敏、开发等措施挂钩，实现体系管理。

其次，企业应该定期开展风险评估和数据安全成熟度评估，并通过实网攻防以及安全应急响应演练，及时改进存在的风险，一旦发生安全事件后能及时响应，做出最合适的反应措施，从而把损失降低到最小。

最后，企业还应建立健全全流程数据安全管理制度，组织开展数据安全教育培训，增强员工数据安全意识，提高企业自身数据安全能力。

企业合规并非一次性工程，需要长期的坚持和培训。企业在进行了一阶段的合规工作后，应当重视合规机制的构建。《数据安全法》第22条规定的数据安全风险评估、报告、信息共享和监测的预警机制，很多企业已经开始进行构建，即在开展业务的时候，进行数据安全或者网络安全的风险评估。

比如评估系统的脆弱性，一旦遭受攻击或者是意外事件，可能遭受危害的程度，可以采取什么样的技术措施，或者应急措施。企业应当建立数据安全的风险评估报告、信息共享和监测预警机制。只有这样，才能保证企业良好持续经营。

3）、中小企业应当注意合规成本的必要性

对于境内的中小企业而言，合规成本是不得不考虑的问题。如果成立合规管理部门成本太高，中小企业至少也应该设立“合规官”这一岗位，由专职且相对独立的人员对企业的主要业务行为和重点风险领域进行合规整改，保证企业的主营商业模式和重点业务领域合法合规，把钱花在刀刃上。

数据安全风险的防控，不仅是法律问题，也是技术问题，需要结合企业自身的盈利模式具体分析。企业并非为了合规而合规，其根本目的仍在于保障企业有持续稳定的盈利空间，这需要多方的共同参与，包括企业经营者、企业法务、合规官、律师团队等多重视角。

对于大部分境内的中小企业而言，数据安全风险主要体现在对个人信息的收集和处理上，风险点在于过度收集、多次分享、超权限利用等行为。

多数情况下，只要能揭示企业经营的数据安全风险点，合规整改是存在较大空间且不必然减损主营业务的。换言之，在当前阶段，树立数据安全风险意识和合规意识，了解相关法律规定，听取专业人员的意见，就足以防控境内中小企业面临的大多数数据安全风险。

二、刑事风险解读

针对企业在获取个人、政府机构或其他企业的相关信息数据时，需要特别注意其中的刑事风险点，避免企业或企业经营者陷入刑事风险并承担相应的刑事责任。

其一，与信息获取行为相关的刑事风险。企业如果存在非法获取公民个人信息的行为，则涉嫌构成侵犯公民个人信息罪。如果企业通过非法手段接入政府或医疗机构信息系统获取公民的个人信息，则涉嫌构成非法获取计算机信息系统数据罪，如果获取的是相关行业的秘密信息等，则涉嫌构成侵犯商业秘密罪。

其二，与信息处理行为相关的刑事风险。企业如果违反数据安全保护义务，且拒不改正或者造成大量数据泄露等严重后果的，涉嫌构成拒不履行信息网络安全管理义务罪。

《数据安全法》第三十四条规定，法律、行政法规规定提供数据处理相关服务应当取得行政许可的，服务提供者应当依法取得许可。因此，如未获得在线数据处理行业许可证，违反准入许可制度从事相关经营活动的，则涉嫌构成《刑法》第二百二十五条的非法经营罪。

【作者简介】

梁雅丽，京都律师事务所高级合伙人、律师，京都刑事辩护研究中心主任，西北政法大学刑事辩护研究院副院长，人民法治研究院刑事辩护研究中心主任。执业二十余年，成功承办过多起重大有影响的刑事案件及民商事疑难复杂案件，并被国内多家媒体报道。擅长刑事和民商事交叉领域及刑事和行政交叉领域法律业务，致力于企业合规经营研究和法律风险防控，先后为多家大型企业、政府部门、事业单位及外商投资企业提供了出色的法律顾问服务。在企业风险的法律预防和控制、企业改制、资产重组等方面积累了丰富的执业实践经验。所获荣誉奖项包括：《方圆律政》2014年度刑辩律师，《中国企业报》2017助力金融风险防范人物，《中国商报》2019年“商事法治建设年度典范人物”，《中国商报》2020年商事法治建设特别贡献奖。

唐宛茁，梁雅丽律师助理，北京大学法学学士，北京大学刑法学专业法学硕士。2019年加入京都律师事务所，工作期间已协助梁雅丽律师办理多起重大职务犯罪、经济犯罪等刑事案件以及企业家涉刑案件。