数据服务合规研究及展望.pdf

信息安全 Information Security 数据服务合规研究及展望 中国工商银行软件开发中心 夏知渊 汪星辰 在大数据时代下，各行业存储和处理的数据量日益 一、境内外数据保护法律现状及趋势 增长，愈来愈多的政府、企业以及个人开始重视数据的 严格定义、正确产生、授权采集、合规计算、安全存储 境内外数据保护法律日趋严苛，主要体现为如下四 和高效分析。“合规”是指经营活动与法律、规则和准 个方面。 则相一致，法律为顶层设计要求，架构和技术手段是方 1. 立法保障范围逐渐全面 法途径。 目前，各国的数据保护条例分为专用的数据保护法 自1973年全球首部个人信息保障法律在瑞典设立 律和分散在本国其他法律法规及部门规章相关条款中的 以来，数据安全底线逐渐明晰，各国开始探索相关法律 数据保护要求（由于各国的不同行业、组织、企业均繁 约束，但约束强度和维度参差不齐。业界公认史上最严 杂地订立有范围局限的数据安全规章制度，本文仅针对 苛的欧盟《通用数据保护条例》（GDPR）2018年出台后， 国家级数据保护法律法规，不再深入各行各业相关条例， 各个国家、地区和组织也陆续出台了强度不一的数据保 也不讨论分散在非数据保护专项法中的数据保护条款）。 护法律法规，对信息系统的数据安全和隐私保护做出强 虽然各国的制定思路和策略不同，但是相关法律的要素 制性约束，处罚力度也大幅增加。 基本一致，立法保障在国家和地区适用范围方面也日趋 随着金融机构全球化、集团化的推进，技术服务、 全面，企业需要加强对新设法律法规或增强条款的合规 数据服务将延伸到不同国家和地区。为了确保数据服务 分析，及时安排相关改造，防范合规风险。 推广和业务场景拓展整体工作的合规性，需要对不同国 立法国家和地区方面，我国已出台《中华人民共和 家和地区及行业的法律、法规、政策等进行研究，评估 国个人信息保护法（草案）》和《中华人民共和国数据 各企业在全球不同国家和地区开展服务所受到的限制和 安全法（草案）》，本文调研的国家和地区中，目前陆 影响，确保境内外金融业务相关的数据服务能够合法、 续已有28个（欧盟整体计数为1）设立了专门的数据保 合规推进。 护法律，而沙特阿拉伯、科威特、老挝、柬埔寨、越南、 2021 . 06 中国金融电脑 65 Copyright©博看网 . All Rights Reserved. 信息安全 INFORMATION SECURITY 缅甸6国暂无专用数据保护法律。此外，美国和阿联酋 关于数据跨境传输，大多数国家和地区规定：数据 作为联邦国家，国家层面暂无强约束性的数据保护法律， 接收国的法律、监管机构能有效地保护数据所有者的权 但各州、各地区可以自己立法进行本地化约束。 利，并有充分的司法救济权力；数据接收国必须受立法 适用范围方面，一般由辖区范围、保护对象范围、 国家和地区的认可。一些国际化组织设立了专用性的数 应用场景范围和数据处理行为范围构成。辖区范围方面， 据保护法律，一般含有缔约国间数据传输免认证的制度， 美国、澳大利亚等国家的相关法规管辖范围均为本国/ 表示相关国家的数据保护法律强度一致。 州领土，欧盟、俄罗斯、新加坡、马来西亚等国家的相 4. 数据保护执法机构逐步普及 关法律经过多轮修订，目前已不受领土限制，所有为公 伴随着各国家和地区数据保护法律的出台，相关执 民服务或境内发生的数据操作均适用。保护对象范围一 法机构大多完成了专设化，监