数据保护：合规指引与规则解析 [Data Protection： Compliance Guidelines and Rule Analysis]

刘新宇，法学博士，现为中伦律师事务所合伙人。

刘新宇律师擅长网络安全与数据保护、资产证券化与金融产品及相关争议解决。刘律师深刻理解网络安全与数据保护对现代商业的全方位影响，并能从企业运营战略的角度为客户提供该领域的“一站式”法律服务。
刘律师现任公安部第三研究所网络安全特聘讲师、全国律协网络与高新技术委员会委员、上海市信息网络安全管理协会理事、上海市金融信息行业协会理事、浦东新区社会信用促进中心监事、浦东新区投融资协会监事、华东政法大学特聘校外导师、复旦大学司法研究中心实务部门研究员。
凭借精湛的专业技能、广泛的客户认可和超卓的执业表现，刘新宇律师近年来先后荣获2019《亚洲法律杂志》“客户优选律师20强”、2019 LEGALBAND“中国10佳金融科技律师”、2020 the Legal 500 “Fintech领域领先律师”、2020 IFLR1000中国“领先律师”等荣誉。

本书作为数据保护实务指引，凝聚了作者在长期法律研究和实务工作中的所见、 所思、 所得，紧跟数据保护热点、 难点和重点。对数据合规相关问题的分析深入浅出，并从数据保护全生命周期的角度提出了具体的实务操作建议，具有较强的可行性，能够帮助读者在大数据时代，更好地应对新兴的数据合规挑战。本书的亮点还在于收录了作者对数据保护相关新规的解析，方便读者在近两年数据保护新规不断出台的情况下，第一时间掌握新规的要点、 难点，并为读者有效落实新规的要求提供了针对性的指导。

数据商业利用与个人信息保护之间存在的对立，无疑是数字社会发展中遇到的最大矛盾。合理的个人信息保护是数据商业交易不反噬个人私领域的基本保障和前提，而数据的自由流动与个人信息的正当使用则是数字社会健康发展的基础。这两者相辅相成、和谐发展方能带来数字社会的繁荣。如何平衡数据商业利用与个人信息保护之间的关系，最大效用地利用数据与信息，且能有效保护数据主体的最大权益，将是数据治理中的永恒核心议题。

在信息化趋势下，网络空间内安全威胁的范围不断扩大，具体表现形态也纷繁多样，网络安全形势愈发严峻。在此背景下的数据处理，尤其是其规模的不断扩大，也带来了更多的网络空间安全问题。如何通过高水平的立法应对网络安全威胁，保护关键信息基础设施和公民个人信息安全，维护国家利益和公民合法权益，进而推动我国网络空间国际治理能力的发展，亦成为在网络安全领域立法需回应的问题。

最近十年，“科技寡头”的快速扩张，时常会引发用户们对于自身的个人信息和数据是否能得到合理保护的担心，“支付宝年度账单事件”等与个人数据保护相关的事件和诉讼案件开始频繁涌现。这些与个人数据相关的议题，不断占据舆论热点。其中揭示的现实问题是：个人用户数据权利意识愈发强烈，企业的数据合规也愈发重要。这也使得企业个人数据的合规能力，正在和企业的商业信誉愈发紧密地捆绑在一起。在可见的未来，企业的数据合规将和企业名誉、利益甚至命运息息相关。甚至可以说，一个企业的信息合规能力，在未来会成为决定其综合实力的重要影响因素。

刘新宇博士等作者前瞻且深刻地认识到，在数据商业运用广泛铺开的21世纪，数据本身的开放性、共享性和无形性，决定了法律人不仅会在学理层面遇到信息权利建构等各方面的挑战，而且更会让信息控制者和法律从业者，在实务的数据交易和数据运用中面对各种棘手的难题。面对这些问题，不仅立法者需要跳出传统法律体系的框架，面对新情况即时调整规范；法律从业者和个人信息持有者，也需要即时适应数据权利保护不断流变的法律框架，把握规范发展的脉络，甚至做出具有前瞻性的合规调整。

本书作为数据保护实务指引，凝聚了作者在长期法律研究和实务工作中的所见、所思、所得，紧跟数据保护热点、难点和重点，对数据合规相关问题的分析深入浅出，并从数据保护全生命周期的角度提出了具体的实务操作建议，具有较强的可行性，能够帮助读者在大数据时代，更好地应对新兴的数据合规挑战。这本书的亮点还在于收录了作者对数据保护相关新规的解析，方便读者在近两年数据保护新规不断出台的情况下，第一时间掌握新规的要点、难点，并为读者有效落实新规的要求提供了针对性的指导。

本书的几位作者均是在数据保护领域深耕多年的专家，熟悉各类数据商业应用的场景，对数据合规有着充分而深刻的理解。其中新宇跟我攻读博士期间便参与了跟我主持的国家社科基金重大课题“大数据时代个人数据保护与数据权利体系研究”相关的学术研究。其博士学位论文也是以《数据权利构建及其交易规则研究》为题，较为深入地研究了大数据时代下数据权属的认定、交易规则和数据权利构建等相关问题。可喜的是，他去年还在核心期刊上发表了《大数据时代数据权属分析及其体系构建》一文，指出目前以用户为中心的个人信息“绝对保护”框架，已经无法有效地调整经营者和用户之间的复杂关系；而现代社会正愈发倾向于一种动态化的双向保护方式，以平衡个人信息权益与经营者数据资产权益。可以看出，他在执业之余，一直在数据法律领域坚持学习与研究。

本书作者尽管付出了艰辛努力，但对相关法律规章的解读还可更为细致些，对于案例的分析还可更为全面些，对一些基本概念或术语的介绍还可更加深入些。但瑕不掩瑜，本书丰富而系统的法律规章梳理，全面而富有针对性的条文解读以及对于典型案例的分析等，无论是对于数据企业，还是对于相关法律从业者，都会带来一定助益；也相信这本书对于企业数据合规体系在未来的构建，能够带来实际帮助。感动于作者在繁忙的实务工作中，不忘学习与研究！更期待新宇博士无论在实践业务，还是在学理知识上，继续努力与进步！

彭诚信 上海交通大学凯原法学院副院长、教授

2020年6月于凯原法学院

第一部分我国数据保护现状概述

一、引言

二、数据保护立法现状

三、数据保护监管部门梳理

四、数据保护测评情况

五、数据保护专项整治情况

六、我国当前数据保护存在的问题

第二部分数据保护相关法律规范

一、法律、行政法规

二、其他规定

三、司法解释及其他规范性文件

四、国家标准

第三部分数据保护相关新规解读

一、《互联网个人信息安全保护指南》与《互联网个人信息安全保护指引（征求意见稿）》和《个人信息安全规范》对比解读

二、《网络安全标准实践指南—移动互联网应用程序（App）收集使用个人信息自评估指南（征求意见稿）》与《App自评估指南》和《App违法违规认定方法》逐条对比解读

三、《网络安全审查办法》正式版与征求意见稿逐条对比解读

四、《App违法违规认定方法》正式版与征求意见稿逐条对比解读

五、《数据安全管理办法（征求意见稿）》逐条解读

六、《个人信息出境办法（征求意见稿）》逐条解读

七、《儿童个人信息网络保护规定》逐条解读

八、《数据安全法（草案）》逐条解读

九、《个人信息安全规范（征求意见稿）》十大主要变化解读

十、《个人信息安全规范》正式版九大主要变化解读

第四部分数据保护相关执法、刑事案例和热点事件解析

一、数据保护相关执法案例解析

二、数据保护相关刑事案例解析

三、数据保护相关热点事件解析

第五部分数据保护合规指引

一、个人信息收集

二、个人信息存储

三、个人信息访问与使用

四、个人信息委托处理、共享、转让和公开披露

五、个人信息主体权利保护

六、个人信息出境

七、数据危机应对

第六部分儿童个人信息保护的额外要求

一、儿童的认定标准

二、专门文本与专人负责

三、监护人同意

四、对外提供儿童个人信息的安全评估要求

五、儿童个人信息保护的除外情形

六、不得制作、发布、传播侵害儿童个人信息安全的信息

第七部分个人信息保护组织管理要求

一、个人信息保护责任部门与人员

二、个人信息保护处理活动记录

三、员工个人信息保护管理和培训

四、个人信息安全影响评估

五、个人信息安全审计

第八部分爬虫使用合规指引

一、爬虫相关概念及其应用场景

二、爬虫治理盘点

三、爬虫相关法律责任梳理

四、爬虫使用合规指引

附录一数据保护2019年回顾——规范、整治、前行

规范篇

整治篇

一、专项整治行动盘点

二、行政处罚盘点

三、爬虫治理盘点

四、刑事犯罪盘点

前行篇

附录二《个人信息安全规范（征求意见稿）》（2019.10.22版）与《个人信息安全规范》正式版全文比对