成功CEO的临门一脚：数据合规管理

本书分为两个部分： 第一部分：拟IPO企业数据合规50问。 无论企业处于哪个发展阶段，这50问都非常贴合企业的需要。50问就像是体检表的各项内容，无论你是处于青中年还是老年，体检表都适用。唯一不同的是，体检结果的差异对于体检者的紧迫性完全不同，这也取决于CEO临门一脚的目标。 把上市审核机构对拟上市企业的“灵魂拷问”，拆解到企业数据处理生命周期的各个阶段，形成数据合规50问。CEO可以清晰地看到，数据合规在上市视角下的基本要求和应有的标准动作。 特别提示：由于数据合规50问涉及数据处理全生命周期，并对数据合规问题提出有针对性的合规解决方案，因此，本书第一部分内容是对后续内容提纲挈领的总览，其中提及的数据合规解决方案的部分内容将在本书第二部分展开论述。 第二部分：数据合规管理实操指引 CEO关心的80%的数据合规管理，可以在这里找到答案。第二部分由八章构成，前六章，“5W+H”，解决数据合规“引爆点”，第七章以案例应用的形态，帮助CEO理解数据合规管理如何在行业中应用，第八章围绕数据合规的“热点”专题展开讨论。

高亚平，德恒上海律师事务所合伙人、数据与合规业务部负责人，深耕新经济、大数据与互联网行业法律服务，擅长创新业务领域的合规体系模型构建、互联网与数据业务合规、新经济平台业务合规、算法合规、数据出境等细分领域，担任多家头部新经济平台与大数据公司合规法律顾问。 周梦，德恒上海律师事务所高级律师，聚焦投融资与上市审核视角下数据与个人信息合规管理体系建设，擅长IPO数据合规、互联网与数据业务合规、数据出境合规、个人信息保护等领域。 纪倩，德恒上海律师事务所律师，聚焦数据爬取合规、数据出境合规、个人信息保护、互联网平台合规体系构建、境内外上市业务合规等领域。 徐晶，德恒上海律师事务所律师，聚焦新经济平台数据合规治理及个人信息保护、网络安全、算法/个性化推荐合规等领域。

目录 开　篇　一轴全息：数据合规立法 CEO TIPS 010 第一部分 拟IPO企事业数据合规50问 第一章 013 数据合规基础10问CEO TIPS 035 第二章 036 IPO数据合规核心40问 第一节　数据收集合规6问 037 第二节　数据使用合规12问 048 第三节　数据共享合规5问 063 第四节　数据存储合规3问 070 第五节　境外上市/数据出境合规7问 074 第六节　数据安全保障合规7问 082 CEO TIPS 096 第二部分　数据合规管理实操指引 第一章 099 CEO必知：为什么必须马上行动（Why） 第一节　全球2022年数据合规处罚案例可视化分析 099 引言 099 一、 全球数据合规处罚典型案例可视化分析 099 二、2022年全球数据合规十大处罚典型案例 101 三、结语 104 第二节　滴滴数据合规“八宗罪”的全案分析 105 一、“八宗罪”：滴滴公司数据违法行为有哪些 105 二、“沼泽地”：互联网平台常见的数据违规行为 106 三、“合规路”：互联网平台如何打造数据安全体系 108 CEO TIPS 110 第二章 111 CEO必知：个人信息的边界是什么（What） 一、个人信息判定难：以IP属地为例 111 二、IP属地是否属于个人信息？ 112 三、隐私保护与数据效用的平衡木——个人信息保护影响评估 114 四、结语 115 CEO TIPS 116 第三章 117 CEO必知：谁——数据谁处理、谁保障、谁监管（Who） 第一节　谁在背后收集个人信息？ 117 引言 117 一、各大平台《隐私政策》中关于“我们”的表述 118 二、“我们”不明的合规风险 122 三、结论：《隐私政策》中的“我们”应该是谁？ 124 第二节　谁是个人信息保护负责人？ 125 一、重赏之下，必有勇夫？ 125 二、GDPR“DPO免责”PK《个人信息保护法》“双罚制” 126 三、安全1号位，权责剖析 127 四、结语 129 第三节　谁是个人信息保护的监管人？ 130 一、App侵犯个人信息权益后，谁来管？如何管？怎么罚？ 131 二、监管趋严，App运营者应如何应对？ 137 三、结语 138 CEO TIPS 139 第四章 140 CEO必知：合规死穴（Where） 第一节　个人信息收集使用主要侵权点的识别 140 一、App收集使用个人信息合规要点梳理 141 二、App个人信息采集侵权风险要点识别 144 三、结语 153 第二节　个人信息权益保护的特别机制：单独同意 153 一、什么是单独同意？ 154 二、哪些情形应单独同意？ 155 三、单独同意的例外情形 156 四、与个人同意有关的其他情形（默认同意及拒绝权） 156 五、个人信息迁移的优化路径 157 CEO TIPS 159 第五章 160 CEO必知：合规起点是何时（When） 第一节　保护的起点：个人信息保护影响评估 160 一、定义：什么是个人信息保护影响评估？ 161 二、必要性：为什么要做个人信息保护影响评估？ 161 三、个人信息保护影响评估的触发条件和责任主体 164 四、结语 168 第二节　个人信息保护影响评估“十情景”“五豁免” 168 一、强制评估“十情景” 169 二、豁免评估“五条件” 171 三、谁来做个人信息保护影响评估？ 172 CEO TIPS 173 第六章 174 CEO必知：数据合规管理资源如何配置（How） 第一节　《个人信息保护法》应对七步攻略 174 一、真的受《个人信息保护法》规制吗？——《个人信息保护法》的法律适用 176 二、真的知晓违规处理个人信息的罚则吗？——5000万元或5%最高罚则 177 三、真的享有处理个人信息的合法性基础吗？——处理个人信息的依据 177 四、真的知晓怎么合规处理个人信息吗？——处理个人信息的一般原则 178 五、真的依法保障了个人的法定权益吗？——个人信息主体的权利 179 六、跨境提供了个人信息吗？——跨境传输的合规要点 179 七、真的准备好“自证清白”了吗？——举证责任倒置的应对 180 八、结语 181 第二节　个人信息边界判定的合规路径设计 181 一、IP属地 ≠ IP地址 183 二、合法性基础分析 185 三、完善合规之法 186 第三节　实名认证与最小必要原则的冲突与融合 187 一、实名认证原则的前世今生 188 二、最小必要原则的细化解读 189 三、“拦”在实名认证前的最小必要原则 190 四、让“拦路虎”变成“顺风车” 191 五、结语 192 第四节　数据融合场景下的合规路径设计 193 一、集团内部数据融合场景下，各方的角色定位与责任厘清 195 二、《个人信息保护法》5%的顶格罚，落在谁头上？ 196 三、结语 197 第五节　“自证清白”的合规体系构建 198 一、《个人信息保护法》明确：个人信息权益受损，适用过错推定+举证责任倒置 199 二、从两起东航个人信息纠纷案例看平台与个人的举证责任分担 200 三、发生个人信息权益受损事件时，平台如何“自证清白”？ 202 四、结语 205 第六节　数据报送义务与责任边界 205 一、平台经营者数据及信息报送义务要点梳理 206 二、评述 209 第七节　行政执法部门数据处理的最小必要原则 211 一、关于信息种类和范围问题 212 二、关于信息收集的数量、频度问题 212 三、对于储存信息及其期限的必要性而言 213 四、结语 214 CEO TIPS 217 第七章 218 行业/领域的应用：灵活用工平台 第一节　灵活用工领域面临的主要数据合规问题 218 一、灵活用工平台的数据全生命周期解析 219 二、灵活用工平台主要面临的数据安全及合规问题 221 三、结语 223 第二节　灵活用工平台的数据合规解决方案 223 一、灵活用工平台数据合规路径与解法一——关键环节：开展个人信息保护影响评估 224 二、灵活用工平台数据合规路径与解法二——重要抓手：写好、用好《隐私政策》 225 三、结语 226 第三节　灵活用工平台数据合规与运营模式的冲突 226 一、违法处理个人信息，最高可罚5000万元或上一年度营业额的5% 227 二、进退两难：灵活用工平台“流水”=营业额？ 229 第四节　灵活用工平台如何打造数据合规体系——责任定位 232 一、自查评估：灵活用工平台如何收集处理数据？ 232 二、责任厘清：违背数据安全管理义务的法律责任有哪些? 233 三、小结 235 第五节　灵活用工平台如何打造数据合规体系——风险评估与数据制度 236 一、分析风险：个人信息保护影响评估 236 二、制度体系：建立全流程的数据安全管理制度 238 三、小结 243 第六节　灵活用工平台如何打造数据合规体系——责任人 244 一、法定要求：专人落实数据信息的管理保护义务 244 二、稳步升级：灵活用工平台如何设置责任人？ 248 三、具体职责：责任人的具体职责范围 250 四、结语 251 CEO TIPS 252 第八章 253 专题：数据合规商业热点 第一节　算法之治的启程——算法备案 253 一、域外算法备案发展现状 254 二、我国算法备案现状、问题及建议 256 三、结语：积极探索算法治理路径 258 第二节　个性化推荐实践与监管的冲突 259 一、个性化推荐，缘何成为“唐僧肉”？ 259 二、“由奢入俭难”，各大平台的割舍现状 260 三、各大平台“忍痛割爱”的法律动因 262 四、各大平台个性化推荐的法律评价 263 五、结语：“用之有度” 265 第三节　爬虫技术的合规风险分析 266 一、爬虫的定义 266 二、爬取个人信息常见侵权行为及法律风险梳理 267 三、爬取个人信息典型案例梳理 269 四、爬取个人信息技术合规法律建议 276 五、小结 277 第四节　爬虫在不正当竞争领域的显著风险 277 一、爬虫行为的反不正当竞争法规制 278 二、爬虫行为构成不正当竞争的判定维度 279 三、应用爬虫行为的风险提示及建议 283 第五节　爬虫在不正当竞争领域的微弱机会 284 一、不正当竞争下，被爬取方与爬取方的证明要点分析 285 二、爬虫双方各自的证明要点 289 三、被认定为不正当竞争的，赔偿额如何主张及认定？ 290 四、小结 291 第六节　爬虫责任与ISO37301 293 一、“风险指南”——爬虫技术刑事责任风险 294 二、“脱罪利器”——ISO37301认证工具 297 三、小结 304 第七节　“黑模式”究竟是什么？ 304 一、什么是“黑模式”？ 305 二、哪些属于“黑模式”？ 307 三、“黑模式”的危害 312 四、“黑模式”在域外是否受到监管？ 313 五、小结 318 第八节　“黑模式”进行时：平台的下一个数据合规风口 319 一、无处不在的“黑模式”？国内平台“黑模式”现状 319 二、“黑模式”监管进行时：国内立法及执法实践 324 三、“黑模式”未来已至：平台的下一个合规风口 327 四、结语 329 CEO TIPS 330 附录：本书相关法律法规 332