CDO如何应对个人信息保护法.docVIP

CDO如何应对个人信息保护法 2021年8月 备考数据治理的认证，飒姐有幸与数据圈里的朋友们有了交集。《个人信息保护法》出台后，对于公司首席数据官（以下简称CDO）而言，面临着新的挑战。 ? 　　数字化转型，是市场主体的内在需求也是社会外在要求，是不可逆转的趋势。CDO们虽说对于数据合规的政策也有了解，但普遍对于本次新法的出台没有get到法律关键点。今天飒姐与大家简单聊聊几个实实在在的应对之法。 ? 　　一、新法之后，必有新司法解释框定新边界 ? 　　法律出台之后，对于既有的个人信息及数据保护的法律框架有影响。尤其对于最硬核的刑法第253条之一侵犯公民个人信息罪而言，可能会直接扩大“犯罪圈”。 ? 　　举例说明：14岁以下少年儿童的个人信息为敏感信息，而现有2017年《最高法最高检关于办理公民个人信息刑事案件适用法律若干问题的解释》里对于“情节严重”的认定，实际上是按照个人信息的具体性质做了区分，行踪轨迹、通信、征信、财产信息50条以上即可入罪，而住宿信息、生理信息却需要500条，其他个人信息甚至需要5000条才能入罪。为保护少年儿童的身心健康，飒姐认为14岁以下少年儿童的个人信息的入刑标准将划入与行踪轨迹同等重要的信息中来。 ? 　　因此，CDO在甄别C端用户时，就要协调业务部门和IT部门，对于青少年的个人信息特别处理。飒姐提醒：在视频、游戏、直播等行业，少年儿童过早触网，倘若已经点击“青少年模式”就务必切换数据保护的级别，切勿粗心大意，造成行政违法，甚至为企业带来刑事风险。 ? 　　有个常识普及一下，我国单位犯罪是双罚制，不仅处罚单位而且处罚直接负责的人员，CDO在数据类刑事案件中首当其冲。 ? 　　二、两年内是否收到行政处罚 ? 　　对于行政处罚，一些初创公司的CEO并不重视，飒姐的EMBA同学经常喊的口号是：先跑起来，大不了罚款关门。然而，数据治理不是这样。 ? 　　行政处罚但凡有一次，再有非法购买、收受公民个人信息的，则直接构成刑事犯罪。 ? 　　因此，CDO最重要的工作变成了：尽全力减少行政处罚。而《个人信息保护法》第五章“个人信息处理者的义务”规定了二十几项具体的义务，我们将法条附在文末，请读者直接参考。同时，行政处罚的罚款金额和其他处罚情况，则归于第七章法律责任，同样，我们也会附后供查。请记住，2年内如果有行政处罚，企业就不能再犯一点数据方面的红线了，否则刑法就在那里，不偏不倚。 ? 　　三、为合法经营活动而非法购买、收受数据 ? 　　从司法解释到司法实践，对于合法经营活动例如AI、银行业等有意无意购买“不干净”数据，相对比较宽容。 ? 　　但随着创业风险变化，“合法性”的认定标准也在迭代甚至是多次变动，直接影响“为合法经营活动而非法购买、收受数据”之范围。 ? 　　为合法经营活动，而非法购买、收受个人信息的定罪要求更高，在获利金额上是非法活动要求金额的10倍。适用更高标准必须满足三个条件：一是为了合法活动，企业必须拿出证据（自证清白）；二是仅限于普通的个人信息，不能包括影响人身、财产安全的敏感信息；三是信息没有再流出扩散，仅限企业内部使用。 ? 　　四、“过失”也可能构成犯罪 ? 　　非法获取、出售或者提供公民个人信息，具备下列情形之一的，应当认定为刑法第二百五十三条之一规定的“情节严重”： ? 　　（1）出售或者提供行踪轨迹信息，被他人用于犯罪； ? 　　（2）知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的； ? 　　...... ? 　　请注意，“被他人用于犯罪”也就是说，无论企业或个人是何心态，故意还是过失甚至是无过失，只要其出售、提供的行踪轨迹被犯罪分子利用用于犯罪行为，则企业或个人即“情节严重”可入刑。 ? 　　另一个就是广受诟病的“知道或者应当知道”，前者知道就是明知；后者“应当知道”其实就是“事实上不知道”。来判断是否应当知道时，一般会综合判断，一个基本的考察点就是行为人之前的学历工作背景。倘若是数据圈的老人，有多年数据从业经验，对于一些潜规则和行规是心知肚明的，因此，就有可能猜出某人购买数据的目的就是为了“电信诈骗”等。当然，有些学者有不同的观点，但司法解释已经如是规定了，我们守法者只能遵守。 ? 　　五、写在最后 ? 　　首席数据官CDO是数字化转型中的主力军。对于数据相关法律法规，应当积极研读，了解法律规定，知道法律赋予的义务和权利。 ? 　　以上只是飒姐的几点思考，一家之言，不作为决策的法律依据，恳请与自家法务细细商议后再定。遵守前文承诺，将新法规定的公司义务的原文附上，供参考。 ? 　　附《中华人民共和国个人信息保护法》部分条文： ? 　　第五章 个人信息处理者的义务 ? 　　第五十一条个人信息处理者应当根据