企业数据合规：基础实务与专题指南

　　本书内容翔实、逻辑严密、体系完备，分为基础篇、实务指引篇、专题篇三大部分。
　　基础篇对数据合规现有法律体系进行了系统梳理，对《数据安全法》《个人信息保护法》进行了重点解读；实务指引篇则围绕数据处理的各环节，涵盖了企业数据资产盘点、数据分类分级、以及数据处理的各环节等，为企业开展数据合规业务提供了方向和指引；专题篇分析了目前实务中出现问题较多的数据爬虫、人脸识别等数据应用场景以及算法治理等社会热点，并且分行业对金融行业、汽车行业等数据处理量巨大且监管相对集中的行业、相关企业应如何合法合规处理数据提供了思路和建议。

　　张宾
　　华中科技大学工学硕士。现为北京市盈科律师事务所合伙人，盈科网络数据安全合规中心副主任，盈科北京知识产权法律事务部（二部）副主任，拥有律师执业资格、专利代理师执业资格、中国证券投资基金从业资格，并担任北海仲裁委员会/北海国际仲裁院知识产权专业仲裁员，西交利物浦大学校外导师，中国交通运输协会法律工作委员会常务理事，国家知识产权创意产业试点园区智库专家，中国中小企业协会调解中心调解员。
　　张宾律师专注于TMT、科技互联网行业，为行业有关单位提供知识产权、网络数据、区块链、股权投融资等综合的企业法律服务。执业以来，服务过众多大型企事业单位。在网络数据合规领域，张宾律师自2017年起代理有关网络数据、区块链等诉讼案件及非诉合规业务，就网络数据社会热点接受过《人民法院报》采访，曾担任“盈科网络数据安全合规论坛”主持人、“数据合规沙龙”发起人等，并受邀为北京市贸促会、北京市电子商务协会、天津市贸促会、河北省贸促会、航天科工集团、中国电力发展促进会知识产权分会、国网智能电网研究院（原国家电网全球能源互联网研究院）、东南大学、苏州大学等开展过法律讲座，致力于打造中国专业的、有影响力的TMT科技网络法律师团队。

篇 基础篇
章企业数据合规概述
节　前言
　　　　一、Web3.与数据
　　　　二、信息时代数据保护大环境
　　　　三、企业面对数据安全问题的挑战
第二节　企业数据合规的内涵
　　　　一、企业开展数据合规的重要性
　　　　二、企业数据合规法律实务关注要点
　　　　三、企业数据合规实务内容
第二章数据保护相关法律体系
节　数据合规法律体系框架
第二节　法律
　　　　一、前言
　　　　二、《民法典》中涉及数据和个人信息的条款
　　　　三、《刑法》中涉及数据和个人信息的罪名
　　　　四、《网络安全法》中涉及数据和个人信息的条款
　　　　五、《电子商务法》中涉及数据和个人信息的条款
　　　　六、《消费者权益保护法》中涉及数据和个人信息的条款
第三节　行政法规
　　　　一、《关键信息基础设施安全保护条例》
　　　　二、《征信业管理条例》
第四节　司法解释
　　　　一、《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》
　　　　二、《关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》
第五节　部门规章及规范性文件
　　　　一、《网络安全审查办法》
　　　　二、《数据安全管理办法》（征求意见稿）
第六节　地方性法规及规范性文件
　　　　一、《深圳经济特区数据条例》
　　　　二、《上海市数据条例》
第七节　标准
　　　　一、《个人信息安全规范》的出台背景
　　　　二、重要内容
第三章《数据安全法》
节　立法目的、适用范围、重要概念
　　　　一、立法目的
　　　　二、适用范围
　　　　三、重要概念
第二节　监管体系、数据安全管制
　　　　一、监督管理体系
　　　　二、数据安全管制
第三节　数据分类分级及安全保护义务
　　　　一、数据分类分级
　　　　二、数据安全保护义务
第四节　数据存储与出境、执法及司法配合义务、报批义务、数据交易
　　　　一、数据本地化存储与出境
　　　　二、执法、司法活动中数据处理者的配合义务
　　　　三、向外国司法或者执法机构提供数据的报批义务
　　　　四、数据交易
第四章《个人信息保护法》
节　立法目的、适用范围及重要概念
　　　　一、立法目的
　　　　二、适用范围
第二节　个人信息处理的基本原则
　　　　一、合法、正当、必要、诚信原则
　　　　二、目的明确和小必要原则
　　　　三、公开透明原则
　　　　四、质量及安全保障原则
第三节　个人信息处理的具体规则
　　　　一、个人信息处理具体规则的一般规定
　　　　二、敏感个人信息的处理规则
　　　　三、国家机关处理个人信息的特别规定
第四节　个人信息处理活动中个人的九大权利
　　　　一、知情权
　　　　二、决定权
　　　　三、查阅权、复制权、可携带权
　　　　四、更正权、补正权
　　　　五、删除权
　　　　六、要求解释、说明权
第五节　个人信息处理者的义务
　　　　一、个人信息处理者的安全管理要求
　　　　二、人员设置要求
　　　　三、合规审计义务
　　　　四、个人信息保护影响评估制度
　　　　五、发生安全事件时处理者采取补救措施和通知的义务
　　　　六、大型互联网平台的个人信息保护义务
　　　　七、受托人的个人信息保护义务
第六节　监督管理体系
　　　　一、关于顶层设计条款的说明
　　　　二、各监管部门具体分工
　　　　三、监管部门的监管职责及监管手段
　　　　四、投诉举报反馈通道
第二篇 实务指引篇
第五章数据资产盘点
节　数据资产盘点的相关概念和定义
　　　　一、数据资产、数据资产管理及数据治理
　　　　二、数据资产盘点
第二节　数据资产盘点原则和步骤
　　　　一、盘点原则
　　　　二、数据资产盘点八大步骤
第六章数据分类分级制度
节　数据分类分级制度概述
　　　　一、数据分类分级制度的主要规定及重点解析
　　　　二、数据分类分级的含义及其意义
　　　　三、数据分类分级原则
　　　　四、《数据安全法》体现了我国数据分类分级实施路径的思路转变
第二节　数据分类分级框架
　　　　一、数据分类框架
　　　　二、数据分级框架
第三节　数据分类方法
　　　　一、数据分类流程
　　　　二、个人信息识别与分类
　　　　三、公共数据识别与分类
　　　　四、公共传播信息识别与分类
第四节　数据分级方法
　　　　一、数据分级要素
　　　　二、基本分级规则
　　　　三、一般数据分级规则
　　　　四、定级方法
第五节　数据分类分级实施流程
第六节　个人金融信息分级示例
　　　　一、《个人金融信息保护技术规范》对个人金融信息的分级
　　　　二、个人金融信息安全级别对应关系
第七章重要数据保护制度
节　重要数据概述
　　　　一、重要数据概念的提出与发展
　　　　二、重要数据的定义
　　　　三、重要数据识别的基本原则
　　　　四、重要数据的识别
　　　　五、相关法律责任
第二节　重要数据处理者的安全保护义务
第三节　重要数据处理者组织机构的设置
　　　　一、相关规定
　　　　二、相关分析
第四节　重要数据风险评估制度
　　　　一、相关规定
　　　　二、相关分析
　　　　三、重要数据安全风险评估方法
第八章数据的收集
节　数据处理原则总结
第二节　数据收集相关法律规定
第三节　数据收集技术介绍
第四节　数据收集具体场景问题解析
　　　　一、能源行业数据收集具体场景——以某省能源局能源管理中心平台为例
　　　　二、保险行业数据收集具体场景
第九章数据的存储
节　数据存储的合规要点
　　　　一、境内存储
　　　　二、存储期限
　　　　三、个人信息存储的要求
第二节　数据存储合规建议
　　　　一、充分披露
　　　　二、制定合格的隐私政策
　　　　三、采取有效加密和去标识化、匿名化
　　　　四、实施有效的控制措施
　　　　五、保留完整的审计日志
　　　　六、保留完整且客观的时间表
　　　　七、违规通知
第三节　数据存储安全实践
　　　　一、对数据安全的威胁
　　　　二、数据存储安全原则
　　　　三、如何保护数据存储资产
　　　　四、数据存储安全控制措施
第四节　关于云存储
　　　　一、云存储服务水平协议的重要性
　　　　二、多个云备份数据的合规性
第十章数据传输及跨境
节　数据传输及跨境的法律体系及应用场景
　　　　一、数据跨境的法律体系
　　　　二、数据跨境的应用场景
第二节　数据跨境的分类及不同分类项下的跨境合规要求
　　　　一、数据跨境的分类
　　　　二、不能自由出境的数据的不同合规要求
第三节　数据跨境特殊行业概述
　　　　一、医疗行业
　　　　二、汽车行业
　　　　三、金融行业
第四节　我国数据跨境的试点建设
第五节　全球数据跨境规范概述
　　　　一、欧盟
　　　　二、日本
　　　　三、美国
　　　　四、俄罗斯
　　　　五、新加坡
　　　　六、印度
　　　　七、部分国际组织
第六节　企业数据跨境传输挑战和应对
　　　　一、哪些企业将会面对挑战
　　　　二、企业数据跨境传输将会面对哪些挑战
　　　　三、企业数据跨境传输如何应对
第十一章数据的访问、导出、复制、加工及对外提供
节　数据的访问
　　　　一、法律规范
　　　　二、合规指引
第二节　数据导出、复制、加工
　　　　一、法律规范
　　　　二、合规指引
第三节　数据对外提供
　　　　一、法律规范
　　　　二、合规指引
第十二章儿童个人信息保护
节　相关法律概念
　　　　一、个人信息
　　　　二、敏感个人信息
　　　　三、儿童个人信息
第二节　《儿童个人信息网络保护规定》亮点解读
　　　　一、监护人同意制度
　　　　二、网络运营者特殊保护义务
　　　　三、明确信息主体享有的各项权能
第三节　儿童个人信息处理的合规指引
　　　　一、处理原则
　　　　二、收集
　　　　三、存储
　　　　四、使用
　　　　五、传输
　　　　六、删除
　　　　七、其他注意事项
第三篇 专题篇
第十三章人脸识别场景数据合规
节　人脸识别技术与人脸信息
　　　　一、人脸识别技术的内涵
　　　　二、人脸信息的内涵及特征
第二节　人脸识别技术运用的主要场景
第三节　人脸识别技术商用场景的法律风险研判
　　　　一、民事责任
　　　　二、行政责任
　　　　三、刑事责任
第四节　对于人脸识别商用场景的合规建议
　　　　一、密切关注行业立法与监管态势
　　　　二、信息收集环节之关键——获得用户的单独同意
　　　　三、信息存储环节之关键——采用安全措施存储
　　　　四、信息使用环节之关键——主动删除规则
　　　　五、依法进行个人信息保护影响评估
　　　　六、全面建设数据安全合规体系
第十四章“网络爬虫”的合规研究
节　网络爬虫及相关概念
　　　　一、网络爬虫
　　　　二、Robots
　　　　三、互联网搜索引擎服务自律公约
第二节　网络爬虫出现的背景及影响
　　　　一、商业背景
　　　　二、技术背景
　　　　三、网络爬虫的影响
第三节　爬虫问题的法律分析
　　　　一、法律法规依据
　　　　二、爬虫引发的纠纷
第四节　合规指引
　　　　一、收集数据方
　　　　二、被爬取数据方
　　　　三、企业被诉不正当竞争的应诉思路
第十五章算法治理及自动化决策
节　算法治理的相关概念
　　　　一、大数据杀熟
　　　　二、信息茧房
　　　　三、应用算法推荐技术
　　　　四、自动化决策
　　　　五、用户画像
　　　　六、个性化推荐或者定向推送
第二节　自动化决策
　　　　一、自动化决策的法律特征及其法律风险
　　　　二、《个人信息保护法》关于“自动化决策”的相关规定
　　　　三、利用个人信息进行自动化决策应遵循透明度原则
　　　　四、利用个人信息进行自动化决策应遵循公平合理原则
　　　　五、为个人提供不针对个人特征的选项或者为个人提供便捷的拒绝方式
　　　　六、个人用户享有的请求说明权和拒绝权
　　　　七、自动化决策具体应用分析
　　　　八、进行自动化决策的个人信息处理者具体合规操作
第三节　算法推荐技术
　　　　一、《算法规定》的适用范围及规制对象
　　　　二、算法推荐服务的监管
　　　　三、对算法推荐服务提供者实施分级分类管理
　　　　四、算法推荐服务应遵循公开透明原则，以保障用户知情权、选择权
第四节　企业算法治理的合规性建议
　　　　一、关注数据来源合法合规
　　　　二、评估将数据用于自动化决策、用户画像、个性化推荐的必要性
　　　　三、事前进行个人信息安全影响评估并留存相关记录
　　　　四、制定相关规则制度、将合规要求纳入产品设计环节
　　　　五、建立畅通权利响应渠道，并确保能够响应权利请求
第十六章数据合规中的刑事合规
节　刑事合规司法实践
　　　　一、刑事合规概述
　　　　二、我国企业合规刑事抗辩案
　　　　三、我国刑事合规制度的发展
　　　　四、企业合规在刑事案件处理中的几种结果
　　　　五、我国刑事合规激励机制的发展方向
　　　　六、刑事合规适用的罪名范围
　　　　七、涉企犯罪适用刑事合规激励机制的条件
第二节　适用刑事合规激励机制的程序
　　　　一、人民检察院主动提出或应企业、个人申请而适用刑事合规
　　　　二、企业出具《企业合规承诺书》
　　　　三、由第三方组织介入开展调查、评估、监督
　　　　四、企业出具整改方案或计划
　　　　五、第三方组织审查合规计划
　　　　六、企业根据整改方案自行整改
　　　　七、第三方组织进行检查、评估、考核
　　　　八、人民检察院召开公开听证会
　　　　九、对涉案企业作出从宽处理决定
第三节　数据处理中的刑事法律风险
　　　　一、通过计算机信息系统处理数据的刑事风险
　　　　二、数据收集、使用中的刑事风险
　　　　三、未尽数据保护义务的刑事风险
第四节　数据相关罪名解析
　　　　一、非法获取计算机信息系统数据罪
　　　　二、侵犯罪
　　　　三、拒不履行信息网络安全管理义务罪
第十七章数据要素交易
节　数据要素交易发展现状
　　　　一、国外数据要素交易情况及特点
　　　　二、国内数据要素交易的发展历程
　　　　三、国内的数据要素交易模式及特征
　　　　四、国内数据要素市场交易存在的问题及挑战
第二节　数据要素交易主要内容
　　　　一、数据交易基础——数据资产
　　　　二、数据资产估值和定价
　　　　三、数据定价模式探索
　　　　四、数据确权
　　　　五、数据要素交易的商品形态
第三节　数据要素交易主体及流程
　　　　一、数据要素交易的相关主体
　　　　二、数据要素交易流程
第四节　数据要素交易的合规
　　　　一、数据产品合规
　　　　二、交易主体合规
　　　　三、交易过程合规
第十八章公共数据
节　认识公共数据
　　　　一、公共数据定义
　　　　二、公共数据范围
　　　　三、公共数据权责
第二节　公共数据流通
　　　　一、公共数据共享
　　　　二、公共数据开放
　　　　三、公共数据开发利用
第三节　公共数据安全及合规
　　　　一、公共数据安全及合规政策
　　　　二、公共数据安全及合规技术
　　　　三、公共数据安全及合规建议
第十九章汽车行业数据合规
节　汽车行业数据合规监管框架
　　　　一、国家产业政策与行业发展战略
　　　　二、法律
　　　　三、行政法规
　　　　四、部门规章与规范性文件
　　　　五、地方性法规与规范性文件
　　　　六、国家与行业标准
第二节　汽车行业数据合规的重要概念
　　　　一、汽车
　　　　二、汽车数据
　　　　三、汽车数据处理和汽车数据处理者
第三节　汽车数据处理的原则
　　　　一、合法、正当、小必要和等级保护原则
　　　　二、“车内处理”原则，除非确有必要企业不得向车外提供
　　　　三、默认不收集原则，除非驾驶人自主设定,每次驾驶时默认设定为不收集状态
　　　　四、精度范围适用原则，根据所提供功能服务对数据精度的要求确定摄像头、雷达等的覆盖范围、分辨率
　　　　五、脱敏处理原则，尽可能进行匿名化、去标识化等处理
第四节　汽车数据处理者的合规义务
　　　　一、处理个人信息的合规义务
　　　　二、处理重要数据的合规义务
　　　　三、重要数据处理的内部责任体系
第五节　汽车数据安全监管部门及处罚
　　　　一、汽车数据安全监管部门
　　　　二、法律责任
第六节　关于智能网联汽车的规定
　　　　一、智能网联汽车监管体系
　　　　二、智能网联汽车的定义
　　　　三、智能网联汽车数据
　　　　四、智能网联汽车合规重点
　　　　五、智能网联汽车数据合规建议
第二十章金融行业数据合规
节　金融行业数据合规的法律规范
　　　　一、涉及金融业数据的规定与标准列举
　　　　二、对重要规定与标准的简要说明
第二节　金融数据合规的各重要概念
　　　　一、金融数据与个人金融信息
　　　　二、金融业机构
　　　　三、金融数据与个人金融信息的生命周期
第三节　金融数据分类分级
　　　　一、金融数据，按照数据安全定级
　　　　二、个人金融信息，按照敏感程度分级
　　　　三、个人金融信息需经双重定级
第四节　金融数据合规建议
　　　　一、原则：坚守底线思维
　　　　二、关于数据的分类定级合规建议
　　　　三、围绕金融数据生命周期的合规建议
　　　　四、完善数据保护制度与数据安全组织建设
　　　　五、完善个人便捷行使救济权的制度
　　　　六、金融科技升级与合规
　　　　七、建立透明的信息公开制度
　　　　八、金融数据跨境合规要求

　　本书内容翔实、逻辑严密、体系完备，分为基础篇、实务指引篇、专题篇三大部分。
　　基础篇对数据合规现有法律体系进行了系统梳理，对《数据安全法》《个人信息保护法》进行了重点解读；实务指引篇则围绕数据处理的各环节，涵盖了企业数据资产盘点、数据分类分级、以及数据处理的各环节等，为企业开展数据合规业务提供了方向和指引；专题篇分析了目前实务中出现问题较多的数据爬虫、人脸识别等数据应用场景以及算法治理等社会热点，并且分行业对金融行业、汽车行业等数据处理量巨大且监管相对集中的行业、相关企业应如何合法合规处理数据提供了思路和建议。

　　张宾
　　华中科技大学工学硕士。现为北京市盈科律师事务所合伙人，盈科网络数据安全合规中心副主任，盈科北京知识产权法律事务部（二部）副主任，拥有律师执业资格、专利代理师执业资格、中国证券投资基金从业资格，并担任北海仲裁委员会/北海国际仲裁院知识产权专业仲裁员，西交利物浦大学校外导师，中国交通运输协会法律工作委员会常务理事，国家知识产权创意产业试点园区智库专家，中国中小企业协会调解中心调解员。
　　张宾律师专注于TMT、科技互联网行业，为行业有关单位提供知识产权、网络数据、区块链、股权投融资等综合的企业法律服务。执业以来，服务过众多大型企事业单位。在网络数据合规领域，张宾律师自2017年起代理有关网络数据、区块链等诉讼案件及非诉合规业务，就网络数据社会热点接受过《人民法院报》采访，曾担任“盈科网络数据安全合规论坛”主持人、“数据合规沙龙”发起人等，并受邀为北京市贸促会、北京市电子商务协会、天津市贸促会、河北省贸促会、航天科工集团、中国电力发展促进会知识产权分会、国网智能电网研究院（原国