用户数据使用合规实务指南.docVIP

用户数据使用合规实务指南｜高杉LEGAL 原创2017-09-28熊定中、向子瞭 HYPERLINK /s?__biz=MjM5ODA5NzYzNg==mid=2652118471idx=1sn=3ae4298739d46d88f938fa9a42b76b02chksm=bd2f5a4c8a58d35a401d340d7ee1defac0d467aafaa9c94369e55a6fdb0a7d2e82b26e8d39cbmpshare=1scene=23srcid=0929K8ICaUU58vEkLTKOBI39 \l # 「高杉LEGAL」专注于高品质民商法实务文章的持续分享，投稿请寄： gaoshanLEGAL@163.com。 高杉峻：本文是熊定中律师继 HYPERLINK /s?__biz=MjM5ODA5NzYzNg==mid=2652118444idx=1sn=8d214284c91028b483cf43bb005104cfchksm=bd2f5a278a58d331603143b44ed00032bc37cf4032cca267091b3565ccfc323a23e4dca991fascene=21 \l wechat_redirect \t _blank 《数据竞争与司法裁判》、 HYPERLINK /s?__biz=MjM5ODA5NzYzNg==mid=2652118459idx=1sn=c260479a995026e0e95a16cc495916d5chksm=bd2f5a308a58d326cedef00cc6066fc4bb85aa870ba119e46173acc0d771cdf2d3a90800c33bscene=21 \l wechat_redirect \t _blank 《互联网平台对用户数据的权利起点》之后，互联网数据系列文章的第三篇。这个领域的法律讨论至关重要但又刚刚起步，衷心期待该领域更多的优秀稿件。 数据使用合规实务指南 ? 作者｜熊定中（北京清律律师事务所主任、首席合伙人，微信：siberwaage）、向子瞭（北京清律律师事务所律师助理） ? *本文经授权发布，仅代表作者观点，不代表其供职机构及「高杉LEGAL」立场，且不作为针对任何个案的法律意见* ? 【特别提示】 ? 1、本指南仅限于数据使用业务，并不涉及从用户处进行的数据收集业务。用户数据收集业务需要另行起草合规指南，且大量数据商业化使用企业并不涉及直接从用户处收集环节，可无需考虑该部分。 ? 2、本文供数据合规相关法律专业人员研究使用，不建议非专业人士直接使用，亦不代表本文可不做调整直接适用于企业实际运营过程而无违法违规风险。 ? 一、个人信息相关法律制度及概念 ? 鉴于《中华人民共和国网络安全法》《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》于2017年6月1日施行，配合之前已有的部分相关个人信息保护的法律法规，我国已形成了一套体系化的，从民事、行政及刑事全方位覆盖的个人信息保护制度，个人和单位都需严格遵守，如有违反则各自会有相应的法律责任需要承担。 ? 与此同时，国家对个人信息的认识已从隐私权中独立出来，现以概括加列举的方式对个人信息的法律内涵进行了定义，具体而言个人信息是指以电子或者其他方式记录的，能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。 ? 二、个人信息数据分类 ? 为了便于企业对实践中的数据使用业务进行审核，暂时可以把业务中可能接触到的，所有跟个人属性相关的数据分为特定、敏感和标签数据三类，并根据收集、使用的数据类别不同，设计与业务相匹配的合规机制。 ? 特定数据是指凭此数据就能识别到具体个人的数据，比如身份证号码、指纹。敏感数据是指凭此数据一般公众就可以确定其对应的是一个具体的人或者数据本身隐私性非常强的数据，比如手机号码、个人邮箱、征信报告，而标签数据是指仅凭此单一数据无法确定到个人，需要多个数据相互配合的数据，比如性别、年龄、兴趣爱好。 ? 除特定数据外，其他的数据所属类别并非恒定，如个人行动轨迹，其既有很强的隐私性也无法单独确定到个人，因此同时具备了敏感数据和标签数据的特征，需要根据实际情况灵活判断。 ? 三、合规及风险防控要点 ? 一般而言，企业如需在提供服务的过程中对数据进行处理，就会有接收、保管和提供三个阶段，以下分别就各阶段的注意要点进行介绍。 ? 1.数据接收 ? 不考虑企业自行进行用户数据收集行为（不在本指南范围），企业接收的其他数据一般是由数据提供方提供。由于数据合规业务同时涉及刑事风险防范，仅合同约定对方的合规性可能不足以防范此类风险，需要在能否进行数据接收上慎重审核，以判断是否可以接受数据提供方的数据，尤