多維構(gòu)建數(shù)字企業(yè)涉?zhèn)€人信息刑事合規(guī)體系
吳沈括
編者按：這是“互聯(lián)網(wǎng)刑事司法重難點(diǎn)問(wèn)題研究”專(zhuān)欄的最后一期。從10月20日至12月8日，本專(zhuān)欄圍繞有關(guān)互聯(lián)網(wǎng)刑事司法重難點(diǎn)問(wèn)題的司法認(rèn)定問(wèn)題，從七個(gè)方面即網(wǎng)絡(luò)爬蟲(chóng)技術(shù)刑事合規(guī)風(fēng)險(xiǎn)、對(duì)網(wǎng)絡(luò)平臺(tái)犯罪的監(jiān)管、大數(shù)據(jù)個(gè)人信息司法保護(hù)等進(jìn)行了具體的闡釋和論證，為審判實(shí)務(wù)中如何準(zhǔn)確認(rèn)定網(wǎng)絡(luò)犯罪案件提供了具體的法律依據(jù)和前瞻性的思考方向。
2021年11月1日正式施行的《中華人民共和國(guó)個(gè)人信息保護(hù)法》從總則、個(gè)人信息處理規(guī)則、個(gè)人信息跨境提供的規(guī)則、個(gè)人在個(gè)人信息處理活動(dòng)中的權(quán)利、個(gè)人信息處理者的義務(wù)、履行個(gè)人信息保護(hù)職責(zé)的部門(mén)、法律責(zé)任以及附則等八個(gè)方面建構(gòu)了個(gè)人信息保護(hù)的制度體系。該法在條文設(shè)計(jì)上既吸收借鑒國(guó)際立法經(jīng)驗(yàn)，又回應(yīng)、關(guān)照中國(guó)實(shí)際，覆蓋全行業(yè)全部門(mén)以及個(gè)人信息流轉(zhuǎn)利用全生命周期，旨在實(shí)現(xiàn)保護(hù)個(gè)人信息權(quán)益、規(guī)范個(gè)人信息處理活動(dòng)和促進(jìn)個(gè)人信息合理利用的三重立法目的，為構(gòu)建多維企業(yè)涉?zhèn)€人信息刑事合規(guī)體系提供了明確的規(guī)范指引。
一、數(shù)字企業(yè)涉?zhèn)€人信息刑事合規(guī)現(xiàn)狀
當(dāng)下我國(guó)正邁入高質(zhì)量發(fā)展的歷史新階段，各地區(qū)各行業(yè)數(shù)字化轉(zhuǎn)型加速，數(shù)字經(jīng)濟(jì)、數(shù)字政府和數(shù)字社會(huì)發(fā)展迅速。伴隨以數(shù)據(jù)（個(gè)人信息）驅(qū)動(dòng)的各類(lèi)新型經(jīng)濟(jì)模式和商業(yè)應(yīng)用的發(fā)展，個(gè)人信息的價(jià)值日益凸顯，成為最重要的基礎(chǔ)元素。由此也滋生了對(duì)各類(lèi)數(shù)據(jù)、信息權(quán)益的侵犯行為，特別是公民個(gè)人信息被非法收集、泄露、濫用的違法犯罪案件相對(duì)處于高位，成為行政監(jiān)管和刑事司法的紅線區(qū)域。
毋庸置疑的是，近年來(lái)網(wǎng)絡(luò)空間和數(shù)字場(chǎng)景已經(jīng)成為各類(lèi)侵害公民個(gè)人信息違法犯罪的首要領(lǐng)域，而數(shù)字企業(yè)作為個(gè)人信息收集和處理的主體，往往因?yàn)槲茨芗皶r(shí)把握明晰的法律規(guī)則邊界、建立健全扎實(shí)的合規(guī)風(fēng)控體系，在個(gè)人信息相關(guān)的技術(shù)產(chǎn)品服務(wù)研發(fā)、業(yè)務(wù)運(yùn)營(yíng)推廣、內(nèi)部人事組織以及商業(yè)伙伴管理等方面容易違反刑事法律或者牽涉其中，觸發(fā)個(gè)人和單位刑事責(zé)任風(fēng)險(xiǎn)，也是目前刑事司法高度專(zhuān)注的重點(diǎn)領(lǐng)域。就刑事司法現(xiàn)狀而言，呈現(xiàn)三大主要特征：一是刑事處罰案件與行政處罰案件同步增長(zhǎng)，二是單位犯罪案件與自然人犯罪案件同步增長(zhǎng)，三是各類(lèi)個(gè)人信息關(guān)聯(lián)犯罪案件交織同步增長(zhǎng)。
隨著個(gè)人信息保護(hù)法、數(shù)據(jù)安全法等法律法規(guī)的全面施行，刑事司法中有關(guān)數(shù)字企業(yè)的個(gè)人信息保護(hù)注意義務(wù)和刑事合規(guī)要求將持續(xù)提升，更加注重在實(shí)質(zhì)層面判斷企業(yè)的業(yè)務(wù)模式與運(yùn)營(yíng)機(jī)制乃至內(nèi)外生態(tài)，強(qiáng)調(diào)企業(yè)守法合規(guī)經(jīng)營(yíng)，從而實(shí)現(xiàn)法律效果和社會(huì)效果的有機(jī)統(tǒng)一。
二、構(gòu)建多維度的數(shù)字企業(yè)涉?zhèn)€人信息刑事合規(guī)體系
基于現(xiàn)行法律法規(guī)和司法裁判實(shí)踐，數(shù)字企業(yè)圍繞涉?zhèn)€人信息刑事合規(guī)體系的建設(shè)應(yīng)當(dāng)包含三大基本要素：一是由法律制度下沉到流程實(shí)現(xiàn)，強(qiáng)調(diào)法規(guī)要求內(nèi)嵌到企業(yè)業(yè)務(wù)全流程，二是由業(yè)務(wù)責(zé)任上升到組織責(zé)任，強(qiáng)調(diào)企業(yè)各部門(mén)各條線的合規(guī)大協(xié)同，三是由法律遵從進(jìn)階到戰(zhàn)略風(fēng)控，強(qiáng)調(diào)企業(yè)的運(yùn)營(yíng)模式具備的正向價(jià)值。相應(yīng)地，著眼數(shù)據(jù)要素流轉(zhuǎn)利用的整體生態(tài)圖景，數(shù)字企業(yè)涉?zhèn)€人信息刑事風(fēng)險(xiǎn)的合規(guī)風(fēng)控工作需要注意以下三個(gè)方面的系統(tǒng)性融合：
其一，強(qiáng)化企業(yè)涉?zhèn)€人信息刑事風(fēng)險(xiǎn)的技術(shù)要素合規(guī)。重點(diǎn)核查相關(guān)的個(gè)人信息保護(hù)措施是否滿足法律規(guī)定，全面評(píng)判企業(yè)在個(gè)人信息的獲取、使用、共享、披露、提供等處理方面所采取的技術(shù)措施是否具有適當(dāng)性，尤其是在個(gè)人信息的收集方面，能夠記錄和驗(yàn)證是否得到了個(gè)人信息主體的充分授權(quán)同意或者具備其他合法性基礎(chǔ)。
此外，在個(gè)人信息流轉(zhuǎn)使用的過(guò)程中，委托、共享及轉(zhuǎn)讓?xiě)?yīng)當(dāng)注重獲得信息主體的授權(quán)與允許，在相應(yīng)的用戶協(xié)議中亦應(yīng)當(dāng)標(biāo)明共享目的、方式以及范圍等事項(xiàng)，以避免因共享不當(dāng)而衍生合規(guī)問(wèn)題。在委托第三方處理個(gè)人信息時(shí)，除了需要對(duì)受托人應(yīng)當(dāng)具有數(shù)據(jù)信息安全保護(hù)能力進(jìn)行全面評(píng)估之外，也應(yīng)當(dāng)注意委托處理的范圍限于與用戶主體約定的范圍。充分嚴(yán)格地配備信息流轉(zhuǎn)的相關(guān)技術(shù)措施，實(shí)現(xiàn)上述元素必要的留痕溯源以確保在流轉(zhuǎn)的過(guò)程杜絕被內(nèi)外部人員不法利用的可能。并且設(shè)計(jì)和部署兼具技術(shù)可行性和成本合理性的個(gè)人信息安全事件應(yīng)急處置機(jī)制，做到能夠第一時(shí)間啟動(dòng)安全應(yīng)急預(yù)案，聯(lián)合多部門(mén)、多主體共同處置，包括借助技術(shù)措施展開(kāi)內(nèi)部調(diào)查、完整記錄應(yīng)對(duì)處置操作、評(píng)估法律風(fēng)險(xiǎn)、向涉及的個(gè)人信息主體發(fā)送通知，并向有關(guān)主管部門(mén)報(bào)告，以防止個(gè)人信息安全后果的傳導(dǎo)和擴(kuò)散。
其二，強(qiáng)化企業(yè)涉?zhèn)€人信息刑事風(fēng)險(xiǎn)的組織管理合規(guī)。企業(yè)內(nèi)部個(gè)人信息保護(hù)的組織管理設(shè)計(jì)以及實(shí)務(wù)運(yùn)行情況，如組織架構(gòu)、監(jiān)督機(jī)制、風(fēng)險(xiǎn)管理、內(nèi)部控制等事項(xiàng)安排以及企業(yè)對(duì)于相關(guān)法律法規(guī)和執(zhí)法司法要求的理解落實(shí)程度等，是影響自身法律責(zé)任種類(lèi)與程度的重要因素。有必要依法建立高位階、跨部門(mén)、跨條線的個(gè)人信息保護(hù)機(jī)構(gòu)，由其統(tǒng)籌企業(yè)個(gè)人信息保護(hù)工作體系，負(fù)責(zé)安全應(yīng)急響應(yīng)并組織實(shí)現(xiàn)個(gè)人信息安全和保護(hù)的各項(xiàng)事務(wù)。
同時(shí)，應(yīng)當(dāng)做好企業(yè)內(nèi)外數(shù)據(jù)資產(chǎn)管理、嚴(yán)防個(gè)人信息泄露，企業(yè)需要制定詳盡的個(gè)人信息數(shù)據(jù)目錄和技術(shù)性流程，重點(diǎn)審查本企業(yè)經(jīng)營(yíng)活動(dòng)、商業(yè)模式、業(yè)務(wù)條線、產(chǎn)品服務(wù)、人員管理中所涉及的信息是否屬于個(gè)人信息或敏感個(gè)人信息及其種類(lèi)和級(jí)別。同時(shí)嚴(yán)格界定信息收集主體的權(quán)限管理和身份認(rèn)證，對(duì)所獲取的個(gè)人信息實(shí)時(shí)落實(shí)分類(lèi)分級(jí)保護(hù)，特別是通過(guò)控制數(shù)據(jù)訪問(wèn)的權(quán)限和設(shè)定多重身份驗(yàn)證技術(shù)保護(hù)個(gè)人信息，并對(duì)各級(jí)企業(yè)人員處理數(shù)據(jù)的行為進(jìn)行全流程管控，包括采用專(zhuān)門(mén)的數(shù)據(jù)和技術(shù)安全審計(jì)，設(shè)立日志審計(jì)和行為審計(jì)等各種措施。
其三，強(qiáng)化企業(yè)涉?zhèn)€人信息刑事風(fēng)險(xiǎn)的人力資源合規(guī)。一方面，企業(yè)人員特別是管理層，往往會(huì)在企業(yè)涉?zhèn)€人信息刑事案件中歸入法定責(zé)任主體，而且其行為容易引發(fā)全局性單位刑事責(zé)任，做好相關(guān)的法治宣傳培訓(xùn)工作，建立全面有效的人員監(jiān)督、業(yè)務(wù)操作的權(quán)限約束等機(jī)制，有助于最大限度減少由個(gè)人犯罪引發(fā)單位犯罪的情形。為此，企業(yè)應(yīng)當(dāng)持續(xù)改進(jìn)個(gè)人信息風(fēng)險(xiǎn)管理和內(nèi)部控制的實(shí)效性，通過(guò)有力的“定崗定人”和“定崗定責(zé)”確保各項(xiàng)風(fēng)險(xiǎn)管理和內(nèi)部控制措施的實(shí)際效果，進(jìn)而提升個(gè)人信息風(fēng)險(xiǎn)識(shí)別與評(píng)估、安全響應(yīng)與處置、業(yè)務(wù)考核獎(jiǎng)懲以及舉報(bào)投訴等諸多機(jī)制的實(shí)現(xiàn)水準(zhǔn)。
另一方面，企業(yè)需要落實(shí)個(gè)人信息相關(guān)的關(guān)鍵崗位和人員的高水平管理，在進(jìn)行充分背景調(diào)查的基礎(chǔ)上，簽署相應(yīng)的保密協(xié)議和業(yè)務(wù)守則，定期對(duì)該類(lèi)人員進(jìn)行專(zhuān)門(mén)的合規(guī)培訓(xùn)、安全教育以及設(shè)定技能考核等人員管理事項(xiàng)，同時(shí)就其業(yè)務(wù)操作情況和重要外部關(guān)系變動(dòng)形成及時(shí)、完整的檔案記錄，并主要通過(guò)該類(lèi)人員強(qiáng)化落實(shí)對(duì)外部數(shù)據(jù)合作方的全流程合規(guī)監(jiān)督與風(fēng)險(xiǎn)處置。作為重要的補(bǔ)充，企業(yè)還需要通過(guò)有序規(guī)劃和組織開(kāi)展有關(guān)個(gè)人信息保護(hù)和數(shù)據(jù)安全等核心事項(xiàng)的宣傳教育，不斷促進(jìn)和強(qiáng)化包括各級(jí)內(nèi)部員工、各類(lèi)外部伙伴等在內(nèi)的相關(guān)主體的守法自覺(jué)性和合規(guī)主動(dòng)性。
（作者系北京師范大學(xué)法學(xué)院博士生導(dǎo)師、中國(guó)互聯(lián)網(wǎng)協(xié)會(huì)研究中心副主任）
編輯：張怡時(shí)
京公網(wǎng)安備 11010502000576號(hào)