15、绕不过的坎：港股IPO的网络安全与数据合规问题
随着《网络安全法》《个人信息保护法》《数据安全法》等多部法律法规的出台，网络安全和数据合规的重要性日渐上升，越来越多的港股IPO项目聘请了境内数据合规顾问就发行人的网络安全和数据安全等问题发表意见。
就近期的观察而言，除了流量密集型的互联网领域企业（如Keep、粉笔教育、宜搜科技等），医疗健康领域企业（如太美医疗、一脉阳光）、新兴能源领域企业（如国鸿氢能、重塑股份、国富氢能）、工业制造领域企业（优必选、博雷顿），甚至餐饮领域企业（如绿茶）的发行人都聘请了数据合规顾问。
（粉笔教育招股书有关个人信息保护的披露内容）
招股书及其法律意见书是学习一个行业、了解一家公司的最好材料。今天就根据前述几家企业的数据合规法律意见书，提纲挈领式地学习网络数据安全的基本框架，以及如何简单判断一家公司的网络数据安全情况。
（优必选数据合规法律意见书）
先从某已上市互联网企业A的数据合规法律意见书开始学习（业内Band 1团队操刀的项目），其目录主要分为四部分，包括：（1）个人信息保护方面的合规性；（2）网络安全与数据安全方面的合规性；（3）发行人境内子公司网络安全数据和数据安全审查；以及（4）结论意见。
有关个人信息保护，企业A的数据合规律师将其拆分为流程管理和组织管理两个维度进行审查。个人信息流程管理包括：个人信息的收集、使用、委托第三方处理、向第三方提供及公开个人信息、传输、出境、存储和删除，以及用户行权及投诉举报、个人信息保护影响评估及算法审核、合规审计、教育培训等事项。
注：《个人信息保护法》第四条规定，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。
有关网络安全与数据安全，则是从相关责任部门与人员设置、制度保障、网络等级保护备案与认证、技术保护措施、数据安全合规性评估、内容安全性评估、数据处理权限及角色分工管理、合作方管理、应急预案与演练、投诉举报管理、教育培训等方面论述合规性。
有关网络安全审查和数据安全审查，则是落脚于《网络安全审查办法》《网络数据安全管理条例》《数据安全法》《关键信息基础设施安全保护条例》等相关法规，讨论企业A是否需要申报网络安全审查或数据安全审查。
《网络安全法》《个人信息保护法》《数据安全法》合称为中国网络数据保护的“三驾马车”。篇幅受限，下文仅着重介绍企业A数据合规法律意见书中有关个人信息收集、使用、 存储和删除、个人信息保护影响评估及算法审核、个人信息处理情况合规审计的内容。
企业A在其APP公示的《隐私政策》明确了收集用户个人信息的范围及用途，并相应描述了各项功能的目的、收集个人信息的类型、范围，以及接入的第三方SDK情况和用户权利实现方式等。当用户自愿选择勾选《隐私政策》同意框时，企业A才收集用户提供的个人信息。
注：《个人信息保护法》第十七条规定，个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：（一）个人信息处理者的名称或者姓名和联系方式；（二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；（三）个人行使本法规定权利的方式和程序；（四）法律、行政法规规定应当告知的其他事项。前款规定事项发生变更的，应当将变更部分告知个人。个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的，处理规则应当公开，并且便于查阅和保存。
企业A对个人信息和敏感个人信息进行分类管理，并明确只有在具有特定目的和充分必要性时，在采取严格保护措施的情形下，方可处理敏感个人信息。为改善产品或服务、向用户提供个性化服务，企业A会收集浏览行为、搜索行为、阅读行为、交易记录、订阅行为，并通过自动化算法模型预测用户的阅读偏好，以形成推荐内容。企业A的自动化算法模型主要采用内容相似性等推荐原理向用户提供个性化内容，目的是减少用户的选书时间为用户提供更好的选书体验。此外，企业A还会收集广告点击行为、广告下载行为，以向用户提供契合用户需求的广告信息。
注：《个人信息保护法》第二十八条规定，敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。
企业A明确了境内子公司存储个人信息的分级分类和安全要求，不同类别的数据采取不同的存储方式；个人信息的保存期限应当为实现目的所必要的最短时间。法律法规对于个人信息或数据的保存时间有最低时间要求的，个人信息或数据存储时间应当符合相关法律法规的规定。超出存储期限的，企业A将进行物理删除。企业的网络安全事件监测日志和用户行为日志存储时间均超过半年。
注：《网络安全法》第二十一条规定，国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：（一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；（二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；（四）采取数据分类、重要数据备份和加密等措施；（五）法律、行政法规规定的其他义务。
企业A明确了启动个人信息保护影响评估的前提条件、评估内容、负责部门、评估要求、报告保存时间，以及算法审核机制、算法合规审计频率、审计人员等。
注：《个人信息保护法》第五十五条规定，有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录：一是处理敏感个人信息；二是利用个人信息进行自动化决策；三是委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；四是向境外提供个人信息；五是其他对个人权益有重大影响的个人信息处理活动。
企业A还从算法违规、算法推荐服务规则、数据安全和个人信息保护、用户权益、未成年人权益等角度对产品推荐算法安全合规进行了审核，参与人员包括技术及产品运营部门的员工。
注：《互联网信息服务算法推荐管理规定》第八条规定，算法推荐服务提供者应当定期审核、评估、验证算法机制机理、模型、数据和应用结果等，不得设置诱导用户沉迷、过度消费等违反法律法规或者违背伦理道德的算法模型。
企业A每年开展一次关于用户个人信息以及网络数据安全相关的内部审计工作，并且会针对系统数据传出、存储情况进行定期抽检审计；审计内容主要包括数据收集、传输、存储以及数据使用情况是否符合数据安全规范。
注：《个人信息保护法》第五十四条规定，个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。
单就个人信息保护而言，企业A的合规成本难以想象。展开来说，企业需要先制定统领全局的《用户信息安全保护管理办法》和《用户个人信息保护以及网络数据安全规范执行细则》；其次，需要制定制定符合规范和业务需求的《隐私政策》；最后，还要定期出具《个人信息保护影响评估报告》《推荐引擎算法安全审查记录》以及《用户个人信息以及网络数据安全相关数据安全审计》等文件。
尽管港股IPO项目中数据合规律师的出现频率越来越高，成为许多新兴企业一道上市过程中无法绕开的坎。但是另一面，中国绝大数涉及个人信息处理的中小企业目前尚无数据合规意识，遑论成体系的数据合规制度。如果数据资产未来能成功盘活运作，数据合规有望成为一片蓝海。
| 
发表于