数据保护合规体系研究.pdf

· 法学专论 · 数据保护合规体系研究 毛逸潇 摘要：数据保护合规是企业为防控数据合规风险所建立的一种专项治理机制，由数据合规政策和 数据合规管理流程两大要素构成。数据保护领域的合规风险包括违反合规政策性条款的数据滥用 类风险，以及违反合规流程性条款的管理失职类风险。打造数据保护合规体系需要遵循有效数据 合规、行政合规与刑事合规一体化建设、对外合规与对内合规相分离、全流程数据合规、数据合 规技术等基本原则。面对实践中数据保护合规的纸面化和针对性、体系性、专业性不足等问题， 企业需要围绕数据保护合规政策和合规管理流程两个层面完善数据保护合规体系，强化数据保护 合规政策与员工手册、合规组织、防范体系、监控体系、应对体系的建设。 关键词：数据保护合规　合规风险　合规政策　合规管理流程　全流程数据合规 中图分类号：D920.4　文献标识码：A　文章编号：1004-9428（2022）02-0084-17 数字经济时代的数据合规治理是社会治理的重要组成部分，数据保护合规迅速发展成为 专项合规管理体系的重中之重。一方面，以欧盟《通用数据保护条例》和美国《加州消费者 隐私法案》为代表，世界各国持续推进综合性数据保护立法进程，不仅为企业创设了严格的 合规义务及罚则，而且通过数据访问地、业务关联者等长臂管辖规则拓宽本国法案的域外效 力，争抢国际大数据话语权。另一方面，各国的数据保护执法机构动作频繁，对违反数据处 理规则和合规管理失职的违法行为作出严厉处罚，不断刷新执法金额最高纪录，并在多起案 件中通过达成和解协议要求涉案企业进行合规整改、加强数据保护合规体系建设。面对日趋 严峻的立法和执法态势，数据保护合规成为企业合规治理的刚性需求，为企业应对数据合规 风险提供了最佳实践。 随着“数字中国”国家大数据战略的稳步推进，国内数据保护立法取得飞跃式发展。 2017 年《网络安全法》与 2021 年通过的《数据安全法》《个人信息保护法》共同构成我国 作者简介：毛逸潇，北京大学法学院博士研究生。 *　 本文为 2021 年度国家社科基金重大项目“数字经济的刑事安全风险防范体系建构研究”（21ZD209）的阶段性 成果。 84 国家检察官学院学报　2022年第2期 数据保护合规体系研究 数据保护领域的行政监管法律体系，其中不仅规定了覆盖数据全生命周期的数据处理基本规 则，而且设置专章规定企业数据合规管理义务，这种预防性监管方式标志着数据领域全行业 强制合规制度的确立。与此同时，国家网信办、市场监管总局等数据保护监管部门的执法力 度大大增加，大量违法违规收集使用个人信息的应用程序被责令下架并立即开展合规整改； 〔1〕 刑事执法部门更是侦办了数万起侵犯公民个人信息犯罪案件， 帮助信息网络犯罪活动罪也 〔2〕 呈现井喷式增长。 除了关于数据处理规则和合规管理义务的强制性法律规定及其严厉的执 法机制，我国还建立了以合规出罪为特征的数据合规激励机制。一方面，数据保护合规体系 〔3〕 的建立可以作为无罪抗辩事由，切割企业与高管、员工和第三方的责任； 另一方面，以检 察机关推动的改革为依托，数据保护合规整改可以换取检察机关的不起诉决定或者宽缓量刑 建议，南京市首例合规不起诉案件即为某企业涉嫌侵犯公民个人信息案，雨花台区检察院经 过对涉案企业积极落实合规整改情况的验收和听证，最终作出不起诉决定。〔4〕 国内外数据保护法律制度和执法实践的迅猛发展也为学术研究提出一系列理论问题。第 一是数据保护合规体系的性质与范围问题。数据保护合规是否等同于企业遵守数据保护法律 条款的规定，涉及到企业合规的基本性质；而数据保护法律中的合规条款是否仅指合规管理 义务条款，则是数据保护合规体系的范围问题。第二是数据保护领域合规风险的识别问题。 数据保护合规的直接目的在于防控合规风险，准确识别企业面临的数