可见，数据合规既可“防范于未然”，降低企业数据安全事件的发生风险，在企业面临行政监管和民事指控时，能够提供其履行数据安全保护义务且不存在侵权行为的证据；还可“亡羊补牢”，在企业触犯法律红线时，给予其合规不起诉的机会。另外，数据合规对于企业的商业价值亦需得到重视。

然而，真正系统地部署落实全流程数据安全管理制度并不是一蹴而就的，而是需要让数据合规意识深入到全企业的每一个环节和每一位员工，做好每一个合规板块的细化，数据合规工作的开展永远不会太早。

三

数据合规的落实路径

在前述数据合规不起诉案中，检察建议书主要提出构建数据合规管理体系，提高数据合规风险识别、应对能力及稳健数据合规运行三项建议，这些建议可以为企业落实数据合规带来启发。

在第一阶段，企业需对全流程数据安全管理制度进行“顶层设计”。

企业首先需梳理自身数据资产，对业务和现有资源等情况进行评估，了解业务对于数据的需求，以及企业在数据处理各个环节中的不同风险。在前述评估结果的基础上，企业结合业务需求、监管要求、自身能力，确定企业数据安全目标，制定数据安全战略，并定期进行审查修订。

其次是数据安全岗位和人员设置。企业需建立或指定负责企业内部数据安全工作的部门、岗位和人员，该数安部门要保持与人力资源管理部门、IT部门、客服部门等部门的联动，防范员工管理、技术措施设置、乃至客服部门履行职责过程中存在的数据安全风险。

对于其他部门，建议企业根据岗位职责设置各级数据处理权限，按照最小必要、职权分离等原则，授予不同账户为完成各自承担任务所需的最小权限，在各账号间形成相互制约的关系。同时，明确数据权限授权审批流程，对数据权限申请和变更进行审核。此外，我们还建议企业与能够接触重要数据或个人信息的员工签订数据保护协议。

在第二阶段，企业需要建立贯穿数据生命全流程的各项基础制度，主要包括以下四个方面：

一是数据分类分级制度?！?#25968;据安全法》首次在法律层面上提出数据分类分级制度，该制度要求企业根据一定标准对自身数据资产进行梳理，有利于形成数据保护资源配置的最优解。

二是技术保障和风险监测制度。企业开展数据处理活动应当加强风险监测，发现数据安全缺陷、漏洞等风险时，应当立即采取补救措施。如企业可制定数据生命周期各阶段的数据访问和操作监控方案（如实时监控、定期批量监控等），对数据异常访问和操作进行告警，将高敏感数据以及特权账户对数据的访问和操作都纳入重点的监控范围。

三是安全事件应急制度。发生数据安全事件时，应当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告。企业除加强日常的风险监测外，还需制定数据安全事件应急预案并定期进行演练，以做到对数据安全事件的快速响应。

四是培训制度。企业应定期对员工进行培训，增强和提升员工的数据安全保护意识和保护能力，并考察员工能力与岗位职责的匹配程度。《网络数据安全管理条例（征求意见稿）》也提出了细化要求，重要数据处理者需制定安全培训计划，每年组织开展全员数据安全教育培训，数据安全相关的技术和管理人员每年教育培训时间不得少于20小时。

在第三阶段，企业需结合不同数据处理环节的特点和风险，从组织建设、制度流程、技术工具及人员能力四个方面制定各类更具针对性的制度。每个企业的数据处理需求和应用场景不同，企业在业务开展中及时引入数据合规法律顾问等专业第三方为企业设计定制化的数据合规方案亦有利于防患于未然。

四

结语

目前由《网络安全法》《数据安全法》及《个人信息保护法》引领的网络安全和数据合规法律体系顶层设计已经完成，合规要求和法律后果基本明确，《个人信息保护法》更是设置了“五千万元以下或者上一年度营业额百分之五以下罚款”的巨额法律责任?！?#32593;络数据安全保护条例（征求意见稿）》《数据出境安全评估办法（征求意见稿）》等等细化措施的接连出台，对企业而言，正是在数据全流程管理、数据保护体系建设与数据安全运营等方面加大力度的时机。企业可对照已发布的法律文件调整完善自身合规方案，在数字经济的浪潮中，发挥数据合规的风险防范作用，充分激发数据的创新价值。

来源：商业合规观

作者:吴丹君律师团队