多維構(gòu)建數(shù)字企業(yè)涉?zhèn)€人信息刑事合規(guī)體系
吳沈括
編者按：這是“互聯(lián)網(wǎng)刑事司法重難點(diǎn)問題研究”專欄的最后一期。從10月20日至12月8日，本專欄圍繞有關(guān)互聯(lián)網(wǎng)刑事司法重難點(diǎn)問題的司法認(rèn)定問題，從七個方面即網(wǎng)絡(luò)爬蟲技術(shù)刑事合規(guī)風(fēng)險、對網(wǎng)絡(luò)平臺犯罪的監(jiān)管、大數(shù)據(jù)個人信息司法保護(hù)等進(jìn)行了具體的闡釋和論證，為審判實(shí)務(wù)中如何準(zhǔn)確認(rèn)定網(wǎng)絡(luò)犯罪案件提供了具體的法律依據(jù)和前瞻性的思考方向。
2021年11月1日正式施行的《中華人民共和國個人信息保護(hù)法》從總則、個人信息處理規(guī)則、個人信息跨境提供的規(guī)則、個人在個人信息處理活動中的權(quán)利、個人信息處理者的義務(wù)、履行個人信息保護(hù)職責(zé)的部門、法律責(zé)任以及附則等八個方面建構(gòu)了個人信息保護(hù)的制度體系。該法在條文設(shè)計上既吸收借鑒國際立法經(jīng)驗(yàn)，又回應(yīng)、關(guān)照中國實(shí)際，覆蓋全行業(yè)全部門以及個人信息流轉(zhuǎn)利用全生命周期，旨在實(shí)現(xiàn)保護(hù)個人信息權(quán)益、規(guī)范個人信息處理活動和促進(jìn)個人信息合理利用的三重立法目的，為構(gòu)建多維企業(yè)涉?zhèn)€人信息刑事合規(guī)體系提供了明確的規(guī)范指引。
一、數(shù)字企業(yè)涉?zhèn)€人信息刑事合規(guī)現(xiàn)狀
當(dāng)下我國正邁入高質(zhì)量發(fā)展的歷史新階段，各地區(qū)各行業(yè)數(shù)字化轉(zhuǎn)型加速，數(shù)字經(jīng)濟(jì)、數(shù)字政府和數(shù)字社會發(fā)展迅速。伴隨以數(shù)據(jù)（個人信息）驅(qū)動的各類新型經(jīng)濟(jì)模式和商業(yè)應(yīng)用的發(fā)展，個人信息的價值日益凸顯，成為最重要的基礎(chǔ)元素。由此也滋生了對各類數(shù)據(jù)、信息權(quán)益的侵犯行為，特別是公民個人信息被非法收集、泄露、濫用的違法犯罪案件相對處于高位，成為行政監(jiān)管和刑事司法的紅線區(qū)域。
毋庸置疑的是，近年來網(wǎng)絡(luò)空間和數(shù)字場景已經(jīng)成為各類侵害公民個人信息違法犯罪的首要領(lǐng)域，而數(shù)字企業(yè)作為個人信息收集和處理的主體，往往因?yàn)槲茨芗皶r把握明晰的法律規(guī)則邊界、建立健全扎實(shí)的合規(guī)風(fēng)控體系，在個人信息相關(guān)的技術(shù)產(chǎn)品服務(wù)研發(fā)、業(yè)務(wù)運(yùn)營推廣、內(nèi)部人事組織以及商業(yè)伙伴管理等方面容易違反刑事法律或者牽涉其中，觸發(fā)個人和單位刑事責(zé)任風(fēng)險，也是目前刑事司法高度專注的重點(diǎn)領(lǐng)域。就刑事司法現(xiàn)狀而言，呈現(xiàn)三大主要特征：一是刑事處罰案件與行政處罰案件同步增長，二是單位犯罪案件與自然人犯罪案件同步增長，三是各類個人信息關(guān)聯(lián)犯罪案件交織同步增長。
隨著個人信息保護(hù)法、數(shù)據(jù)安全法等法律法規(guī)的全面施行，刑事司法中有關(guān)數(shù)字企業(yè)的個人信息保護(hù)注意義務(wù)和刑事合規(guī)要求將持續(xù)提升，更加注重在實(shí)質(zhì)層面判斷企業(yè)的業(yè)務(wù)模式與運(yùn)營機(jī)制乃至內(nèi)外生態(tài)，強(qiáng)調(diào)企業(yè)守法合規(guī)經(jīng)營，從而實(shí)現(xiàn)法律效果和社會效果的有機(jī)統(tǒng)一。
二、構(gòu)建多維度的數(shù)字企業(yè)涉?zhèn)€人信息刑事合規(guī)體系
基于現(xiàn)行法律法規(guī)和司法裁判實(shí)踐，數(shù)字企業(yè)圍繞涉?zhèn)€人信息刑事合規(guī)體系的建設(shè)應(yīng)當(dāng)包含三大基本要素：一是由法律制度下沉到流程實(shí)現(xiàn)，強(qiáng)調(diào)法規(guī)要求內(nèi)嵌到企業(yè)業(yè)務(wù)全流程，二是由業(yè)務(wù)責(zé)任上升到組織責(zé)任，強(qiáng)調(diào)企業(yè)各部門各條線的合規(guī)大協(xié)同，三是由法律遵從進(jìn)階到戰(zhàn)略風(fēng)控，強(qiáng)調(diào)企業(yè)的運(yùn)營模式具備的正向價值。相應(yīng)地，著眼數(shù)據(jù)要素流轉(zhuǎn)利用的整體生態(tài)圖景，數(shù)字企業(yè)涉?zhèn)€人信息刑事風(fēng)險的合規(guī)風(fēng)控工作需要注意以下三個方面的系統(tǒng)性融合：
其一，強(qiáng)化企業(yè)涉?zhèn)€人信息刑事風(fēng)險的技術(shù)要素合規(guī)。重點(diǎn)核查相關(guān)的個人信息保護(hù)措施是否滿足法律規(guī)定，全面評判企業(yè)在個人信息的獲取、使用、共享、披露、提供等處理方面所采取的技術(shù)措施是否具有適當(dāng)性，尤其是在個人信息的收集方面，能夠記錄和驗(yàn)證是否得到了個人信息主體的充分授權(quán)同意或者具備其他合法性基礎(chǔ)。
此外，在個人信息流轉(zhuǎn)使用的過程中，委托、共享及轉(zhuǎn)讓應(yīng)當(dāng)注重獲得信息主體的授權(quán)與允許，在相應(yīng)的用戶協(xié)議中亦應(yīng)當(dāng)標(biāo)明共享目的、方式以及范圍等事項(xiàng)，以避免因共享不當(dāng)而衍生合規(guī)問題。在委托第三方處理個人信息時，除了需要對受托人應(yīng)當(dāng)具有數(shù)據(jù)信息安全保護(hù)能力進(jìn)行全面評估之外，也應(yīng)當(dāng)注意委托處理的范圍限于與用戶主體約定的范圍。充分嚴(yán)格地配備信息流轉(zhuǎn)的相關(guān)技術(shù)措施，實(shí)現(xiàn)上述元素必要的留痕溯源以確保在流轉(zhuǎn)的過程杜絕被內(nèi)外部人員不法利用的可能。并且設(shè)計和部署兼具技術(shù)可行性和成本合理性的個人信息安全事件應(yīng)急處置機(jī)制，做到能夠第一時間啟動安全應(yīng)急預(yù)案，聯(lián)合多部門、多主體共同處置，包括借助技術(shù)措施展開內(nèi)部調(diào)查、完整記錄應(yīng)對處置操作、評估法律風(fēng)險、向涉及的個人信息主體發(fā)送通知，并向有關(guān)主管部門報告，以防止個人信息安全后果的傳導(dǎo)和擴(kuò)散。
其二，強(qiáng)化企業(yè)涉?zhèn)€人信息刑事風(fēng)險的組織管理合規(guī)。企業(yè)內(nèi)部個人信息保護(hù)的組織管理設(shè)計以及實(shí)務(wù)運(yùn)行情況，如組織架構(gòu)、監(jiān)督機(jī)制、風(fēng)險管理、內(nèi)部控制等事項(xiàng)安排以及企業(yè)對于相關(guān)法律法規(guī)和執(zhí)法司法要求的理解落實(shí)程度等，是影響自身法律責(zé)任種類與程度的重要因素。有必要依法建立高位階、跨部門、跨條線的個人信息保護(hù)機(jī)構(gòu)，由其統(tǒng)籌企業(yè)個人信息保護(hù)工作體系，負(fù)責(zé)安全應(yīng)急響應(yīng)并組織實(shí)現(xiàn)個人信息安全和保護(hù)的各項(xiàng)事務(wù)。
同時，應(yīng)當(dāng)做好企業(yè)內(nèi)外數(shù)據(jù)資產(chǎn)管理、嚴(yán)防個人信息泄露，企業(yè)需要制定詳盡的個人信息數(shù)據(jù)目錄和技術(shù)性流程，重點(diǎn)審查本企業(yè)經(jīng)營活動、商業(yè)模式、業(yè)務(wù)條線、產(chǎn)品服務(wù)、人員管理中所涉及的信息是否屬于個人信息或敏感個人信息及其種類和級別。同時嚴(yán)格界定信息收集主體的權(quán)限管理和身份認(rèn)證，對所獲取的個人信息實(shí)時落實(shí)分類分級保護(hù)，特別是通過控制數(shù)據(jù)訪問的權(quán)限和設(shè)定多重身份驗(yàn)證技術(shù)保護(hù)個人信息，并對各級企業(yè)人員處理數(shù)據(jù)的行為進(jìn)行全流程管控，包括采用專門的數(shù)據(jù)和技術(shù)安全審計，設(shè)立日志審計和行為審計等各種措施。
其三，強(qiáng)化企業(yè)涉?zhèn)€人信息刑事風(fēng)險的人力資源合規(guī)。一方面，企業(yè)人員特別是管理層，往往會在企業(yè)涉?zhèn)€人信息刑事案件中歸入法定責(zé)任主體，而且其行為容易引發(fā)全局性單位刑事責(zé)任，做好相關(guān)的法治宣傳培訓(xùn)工作，建立全面有效的人員監(jiān)督、業(yè)務(wù)操作的權(quán)限約束等機(jī)制，有助于最大限度減少由個人犯罪引發(fā)單位犯罪的情形。為此，企業(yè)應(yīng)當(dāng)持續(xù)改進(jìn)個人信息風(fēng)險管理和內(nèi)部控制的實(shí)效性，通過有力的“定崗定人”和“定崗定責(zé)”確保各項(xiàng)風(fēng)險管理和內(nèi)部控制措施的實(shí)際效果，進(jìn)而提升個人信息風(fēng)險識別與評估、安全響應(yīng)與處置、業(yè)務(wù)考核獎懲以及舉報投訴等諸多機(jī)制的實(shí)現(xiàn)水準(zhǔn)。
另一方面，企業(yè)需要落實(shí)個人信息相關(guān)的關(guān)鍵崗位和人員的高水平管理，在進(jìn)行充分背景調(diào)查的基礎(chǔ)上，簽署相應(yīng)的保密協(xié)議和業(yè)務(wù)守則，定期對該類人員進(jìn)行專門的合規(guī)培訓(xùn)、安全教育以及設(shè)定技能考核等人員管理事項(xiàng)，同時就其業(yè)務(wù)操作情況和重要外部關(guān)系變動形成及時、完整的檔案記錄，并主要通過該類人員強(qiáng)化落實(shí)對外部數(shù)據(jù)合作方的全流程合規(guī)監(jiān)督與風(fēng)險處置。作為重要的補(bǔ)充，企業(yè)還需要通過有序規(guī)劃和組織開展有關(guān)個人信息保護(hù)和數(shù)據(jù)安全等核心事項(xiàng)的宣傳教育，不斷促進(jìn)和強(qiáng)化包括各級內(nèi)部員工、各類外部伙伴等在內(nèi)的相關(guān)主體的守法自覺性和合規(guī)主動性。
（作者系北京師范大學(xué)法學(xué)院博士生導(dǎo)師、中國互聯(lián)網(wǎng)協(xié)會研究中心副主任）
編輯：張怡時
京公網(wǎng)安備 11010502000576號