多維構建數(shù)字企業(yè)涉?zhèn)€人信息刑事合規(guī)體系
吳沈括
編者按：這是“互聯(lián)網(wǎng)刑事司法重難點問題研究”專欄的最后一期。從10月20日至12月8日，本專欄圍繞有關互聯(lián)網(wǎng)刑事司法重難點問題的司法認定問題，從七個方面即網(wǎng)絡爬蟲技術刑事合規(guī)風險、對網(wǎng)絡平臺犯罪的監(jiān)管、大數(shù)據(jù)個人信息司法保護等進行了具體的闡釋和論證，為審判實務中如何準確認定網(wǎng)絡犯罪案件提供了具體的法律依據(jù)和前瞻性的思考方向。
2021年11月1日正式施行的《中華人民共和國個人信息保護法》從總則、個人信息處理規(guī)則、個人信息跨境提供的規(guī)則、個人在個人信息處理活動中的權利、個人信息處理者的義務、履行個人信息保護職責的部門、法律責任以及附則等八個方面建構了個人信息保護的制度體系。該法在條文設計上既吸收借鑒國際立法經(jīng)驗，又回應、關照中國實際，覆蓋全行業(yè)全部門以及個人信息流轉利用全生命周期，旨在實現(xiàn)保護個人信息權益、規(guī)范個人信息處理活動和促進個人信息合理利用的三重立法目的，為構建多維企業(yè)涉?zhèn)€人信息刑事合規(guī)體系提供了明確的規(guī)范指引。
一、數(shù)字企業(yè)涉?zhèn)€人信息刑事合規(guī)現(xiàn)狀
當下我國正邁入高質量發(fā)展的歷史新階段，各地區(qū)各行業(yè)數(shù)字化轉型加速，數(shù)字經(jīng)濟、數(shù)字政府和數(shù)字社會發(fā)展迅速。伴隨以數(shù)據(jù)（個人信息）驅動的各類新型經(jīng)濟模式和商業(yè)應用的發(fā)展，個人信息的價值日益凸顯，成為最重要的基礎元素。由此也滋生了對各類數(shù)據(jù)、信息權益的侵犯行為，特別是公民個人信息被非法收集、泄露、濫用的違法犯罪案件相對處于高位，成為行政監(jiān)管和刑事司法的紅線區(qū)域。
毋庸置疑的是，近年來網(wǎng)絡空間和數(shù)字場景已經(jīng)成為各類侵害公民個人信息違法犯罪的首要領域，而數(shù)字企業(yè)作為個人信息收集和處理的主體，往往因為未能及時把握明晰的法律規(guī)則邊界、建立健全扎實的合規(guī)風控體系，在個人信息相關的技術產(chǎn)品服務研發(fā)、業(yè)務運營推廣、內(nèi)部人事組織以及商業(yè)伙伴管理等方面容易違反刑事法律或者牽涉其中，觸發(fā)個人和單位刑事責任風險，也是目前刑事司法高度專注的重點領域。就刑事司法現(xiàn)狀而言，呈現(xiàn)三大主要特征：一是刑事處罰案件與行政處罰案件同步增長，二是單位犯罪案件與自然人犯罪案件同步增長，三是各類個人信息關聯(lián)犯罪案件交織同步增長。
隨著個人信息保護法、數(shù)據(jù)安全法等法律法規(guī)的全面施行，刑事司法中有關數(shù)字企業(yè)的個人信息保護注意義務和刑事合規(guī)要求將持續(xù)提升，更加注重在實質層面判斷企業(yè)的業(yè)務模式與運營機制乃至內(nèi)外生態(tài)，強調企業(yè)守法合規(guī)經(jīng)營，從而實現(xiàn)法律效果和社會效果的有機統(tǒng)一。
二、構建多維度的數(shù)字企業(yè)涉?zhèn)€人信息刑事合規(guī)體系
基于現(xiàn)行法律法規(guī)和司法裁判實踐，數(shù)字企業(yè)圍繞涉?zhèn)€人信息刑事合規(guī)體系的建設應當包含三大基本要素：一是由法律制度下沉到流程實現(xiàn)，強調法規(guī)要求內(nèi)嵌到企業(yè)業(yè)務全流程，二是由業(yè)務責任上升到組織責任，強調企業(yè)各部門各條線的合規(guī)大協(xié)同，三是由法律遵從進階到戰(zhàn)略風控，強調企業(yè)的運營模式具備的正向價值。相應地，著眼數(shù)據(jù)要素流轉利用的整體生態(tài)圖景，數(shù)字企業(yè)涉?zhèn)€人信息刑事風險的合規(guī)風控工作需要注意以下三個方面的系統(tǒng)性融合：
其一，強化企業(yè)涉?zhèn)€人信息刑事風險的技術要素合規(guī)。重點核查相關的個人信息保護措施是否滿足法律規(guī)定，全面評判企業(yè)在個人信息的獲取、使用、共享、披露、提供等處理方面所采取的技術措施是否具有適當性，尤其是在個人信息的收集方面，能夠記錄和驗證是否得到了個人信息主體的充分授權同意或者具備其他合法性基礎。
此外，在個人信息流轉使用的過程中，委托、共享及轉讓應當注重獲得信息主體的授權與允許，在相應的用戶協(xié)議中亦應當標明共享目的、方式以及范圍等事項，以避免因共享不當而衍生合規(guī)問題。在委托第三方處理個人信息時，除了需要對受托人應當具有數(shù)據(jù)信息安全保護能力進行全面評估之外，也應當注意委托處理的范圍限于與用戶主體約定的范圍。充分嚴格地配備信息流轉的相關技術措施，實現(xiàn)上述元素必要的留痕溯源以確保在流轉的過程杜絕被內(nèi)外部人員不法利用的可能。并且設計和部署兼具技術可行性和成本合理性的個人信息安全事件應急處置機制，做到能夠第一時間啟動安全應急預案，聯(lián)合多部門、多主體共同處置，包括借助技術措施展開內(nèi)部調查、完整記錄應對處置操作、評估法律風險、向涉及的個人信息主體發(fā)送通知，并向有關主管部門報告，以防止個人信息安全后果的傳導和擴散。
其二，強化企業(yè)涉?zhèn)€人信息刑事風險的組織管理合規(guī)。企業(yè)內(nèi)部個人信息保護的組織管理設計以及實務運行情況，如組織架構、監(jiān)督機制、風險管理、內(nèi)部控制等事項安排以及企業(yè)對于相關法律法規(guī)和執(zhí)法司法要求的理解落實程度等，是影響自身法律責任種類與程度的重要因素。有必要依法建立高位階、跨部門、跨條線的個人信息保護機構，由其統(tǒng)籌企業(yè)個人信息保護工作體系，負責安全應急響應并組織實現(xiàn)個人信息安全和保護的各項事務。
同時，應當做好企業(yè)內(nèi)外數(shù)據(jù)資產(chǎn)管理、嚴防個人信息泄露，企業(yè)需要制定詳盡的個人信息數(shù)據(jù)目錄和技術性流程，重點審查本企業(yè)經(jīng)營活動、商業(yè)模式、業(yè)務條線、產(chǎn)品服務、人員管理中所涉及的信息是否屬于個人信息或敏感個人信息及其種類和級別。同時嚴格界定信息收集主體的權限管理和身份認證，對所獲取的個人信息實時落實分類分級保護，特別是通過控制數(shù)據(jù)訪問的權限和設定多重身份驗證技術保護個人信息，并對各級企業(yè)人員處理數(shù)據(jù)的行為進行全流程管控，包括采用專門的數(shù)據(jù)和技術安全審計，設立日志審計和行為審計等各種措施。
其三，強化企業(yè)涉?zhèn)€人信息刑事風險的人力資源合規(guī)。一方面，企業(yè)人員特別是管理層，往往會在企業(yè)涉?zhèn)€人信息刑事案件中歸入法定責任主體，而且其行為容易引發(fā)全局性單位刑事責任，做好相關的法治宣傳培訓工作，建立全面有效的人員監(jiān)督、業(yè)務操作的權限約束等機制，有助于最大限度減少由個人犯罪引發(fā)單位犯罪的情形。為此，企業(yè)應當持續(xù)改進個人信息風險管理和內(nèi)部控制的實效性，通過有力的“定崗定人”和“定崗定責”確保各項風險管理和內(nèi)部控制措施的實際效果，進而提升個人信息風險識別與評估、安全響應與處置、業(yè)務考核獎懲以及舉報投訴等諸多機制的實現(xiàn)水準。
另一方面，企業(yè)需要落實個人信息相關的關鍵崗位和人員的高水平管理，在進行充分背景調查的基礎上，簽署相應的保密協(xié)議和業(yè)務守則，定期對該類人員進行專門的合規(guī)培訓、安全教育以及設定技能考核等人員管理事項，同時就其業(yè)務操作情況和重要外部關系變動形成及時、完整的檔案記錄，并主要通過該類人員強化落實對外部數(shù)據(jù)合作方的全流程合規(guī)監(jiān)督與風險處置。作為重要的補充，企業(yè)還需要通過有序規(guī)劃和組織開展有關個人信息保護和數(shù)據(jù)安全等核心事項的宣傳教育，不斷促進和強化包括各級內(nèi)部員工、各類外部伙伴等在內(nèi)的相關主體的守法自覺性和合規(guī)主動性。
（作者系北京師范大學法學院博士生導師、中國互聯(lián)網(wǎng)協(xié)會研究中心副主任）
編輯：張怡時
京公網(wǎng)安備 11010502000576號