作者:外城绅士
2021年6月，全国人大常委会通过了《中华人民共和国数据安全法》，该法将于2021年9月1日起施行，为数据安全提供了法律保障。随着《数据安全法》的颁布，数据合规、网络安全、大数据等话题引起了新一轮的公众讨论。我想当个人信息保护法正式颁布后，人们会对个人信息数据和个人隐私保护的法律问题有更全面的认识。
作为一个与时俱进的法律人，作为一个“好好学专业，年年高考”的勤奋代表，我想你们律师已经学习了很多数据合规相关的课程或讲座、沙龙等。比如我印象比较深的法培学院《企业数据合规七步曲》和2021数据安全与个人信息合规论坛:AI创新业务法务总监:数字经济时代企业数据合规之道。尤其是后者，让我看到了一个法律人对行业、企业、商业和技术、法律的深刻理解。
今天，我们还将讨论数据合规性。我们在说什么？怎么谈？作为一个投资机构的法务，我想从一个具体的项目来看数据合规。
案例:深圳市微众信用科技有限公司
我们先来看看交易所关于数据合规性的问询:
关于数据合规性的7个问题
问题7.1根据申报材料，发行人当期数据的收集主要包括客户备付金、向供应商采购和自行收集。
请发行人披露:客户自行提供、向供应商购买、自行收集信息的具体方式方法，三种方式的数据内容及差异，是否需要支付，是否需要授权等基本情况。
请说明:客户向发行人提供的数据来源及合法合规性，客户是否有权从事该类业务，是否符合相关行业主管部门的要求；发行人的客户是否间接或变相向发行人提供法律法规不要求披露的数据，或者客户无权获取或提供的数据；发行人及发行人的数据供应商从事数据服务是否需要取得相应的专项资质、许可或备案，以及当前数据服务业的相关主要监管规定；发行人目前是否从事数据交易，是否要求数据提供者说明数据来源并保留审计和交易记录等内部控制机制；结合《数据安全法》实施对发行人业务可能产生的影响，说明发行人的后续及合规措施；是否存在未取得相关资质和备案的风险；数据提供者从事该业务是否合法、正当；该等购买数据的来源是否合法合规，发行人是否有相应的机制确保供应商提供的数据合规；发行人的上述数据供应商是否曾因数据合规问题卷入诉讼或纠纷，发行人与上述数据供应商的数据采购合同中是否约定了相关的数据合规纠纷解决机制；发行人自行采集数据所采用的技术和内容是否合法合规，程序是否正当；是否存在利用特殊互联网手段收集法律法规规定不公开的社会信息，或者获取数据需要经过特别许可等前置程序的情况；发布者收集需要信息主体授权才能获得的信息等。获得授权的具体实现方式；是否存在因非法收集信息被主管部门处罚、信息主体投诉或诉讼等纠纷。
问题7.2根据招股说明书，发行人主要从事数据服务，向银行及其他金融机构提供企业征信服务。根据有关数据和征信的法律法规，发行人必须获得相关授权，才能收集和提供相关信息，并在法定和信息主体授权的范围内收集和使用。
请说明发行人目前是否使用盗版软件，发行人用于获取和处理相关数据的软件是否存在侵权风险；
发行人是否从事获取、加工、提供境外数据等涉外服务，如有，请说明是否符合征信和数据安全相关法律规定的涉外信息和数据安全的要求和程序，以及该类业务的合法合规性；发行人是否存在数据泄露、丢失等数据安全问题，是否受到投诉、处罚或诉讼等数据安全纠纷；发行人是否超出法律和信息主体授权的范围和目的向客户收集信息和提供数据，是否在法律、行政法规规定的范围内按照必要的限度原则收集和使用信息；报告期内发行人是否因数据合规问题受到处罚或监管；发行人对数据合规各方面采取的内部控制措施及相应的争议解决机制。
请发行人律师核查发行人数据的收集、处理、应用和提供是否符合《数据安全法》、《征信业管理条例》、《征信机构管理办法》等有关数据的法律法规及其他有关征信业务的法律法规，并发表明确意见，对上述7.1、7.2问题进行核查并发表明确意见。
要求发行人解决上述数据合规问题，以及国家对数据合规更严格的管理等。
情况，结合发行人的业务，对重大事项和风险揭示做出全面、综合、有针对性的提示。
从交易所的问询中可以看出，科创板对数据合规性的主要审核点主要包括:
I .数据收集、处理和使用过程中的合规性；
《中华人民共和国网络安全法》规定，网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公示收集、使用信息的规则，明示收集、使用信息的目的、方式和范围，并征得被收集人的同意。
网络经营者不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当按照法律、行政法规的规定和与用户的约定处理其保存的个人信息。
此外,《数据安全管理办法》、《个人信息安全规范》、《App违法违规收集和使用个人信息的自我评估指南》也规定了个人信息收集和使用的要求。
案例中，中介机构主要从以下几个方面说明企业在数据收集、处理和使用过程中的合规性:
01
公司现有业务涉及的数据收集方式、数据传输流程和授权流程；
02
根据公司的相关法律法规，有权收集相关数据的依据；
03
拿到公司监管机构的监管函，没有违规。
二。业务资质合规性
按照我国现行的互联网监管制度，开展互联网业务所需的资质大致可以分为两类，一类是工信部的电信业务资质，另一类是其他部委根据各自职能划分的行业资质。
1.根据《中华人民共和国电信条例》，国家按照电信业务分类，对电信业务实行许可制度。经营电信业务，必须取得国务院信息产业主管部门或者省、自治区、直辖市电信管理机构颁发的电信业务经营许可证。电信业务的具体划分详见《电信条例》所附的《电信业务目录》。企业要根据自己的业务分类来确定自己应该申请的资质。
2.除电信业务资质外，行业主管部门对各自监管领域的业务有不同的准入门槛。案例中，企业主要从事企业征信业务，征信行业的监管规定主要有《征信业管理条例》和《征信机构管理办法》。根据《征信业管理条例》第二十一条的规定，征信机构可以通过信息主体、业务交易对手、行业协会、政府有关部门依法公开的信息以及人民法院依法公布的判决、裁定等方式收集企业信息。法律法规没有对征信行业设置强制性的资质要求。
3.由于数据服务可能涉及多个行业，还需要根据企业的经营范围和主营业务来确定企业是否需要取得相关资质。常见的行业牌照或备案主要在互联网文化、金融、医疗等行业。
从中介的回应来看，主要是在以下几个方面来回答交易所的询问:
01
企业现有资质
02
根据法律法规，企业应取得哪些资质，以及企业需要取得的相关资质或证照的说明。
三。企业针对数据合规性的所有方面采取的内部控制措施
《数据安全法》第二十七条规定，应当按照法律法规的规定开展数据处理活动，建立健全全过程数据安全管理制度，组织数据安全教育和培训，采取相应的技术措施和其他必要措施，保障数据安全。利用互联网等信息网络开展数据处理活动时，应当依据网络安全等级保护制度履行上述数据安全保护义务。
重要数据处理者应当明确数据安全责任人和管理机构，落实数据安全保护责任。
《网络安全法》第四十二条第二款规定，网络运营者应当采取技术措施和其他必要措施，保障其收集的个人信息的安全，防止信息泄露、损毁和丢失。个人信息泄露、损毁、丢失时，应当立即采取补救措施，并及时告知用户，按照规定向有关主管部门报告。
根据《数据安全法》、《网络安全法》等相关法律法规，结合案例中的企业，企业在数据合规方面需要加强的内部控制有:
01
加强网络安全等级保护评估，建立严格的网络安全保障和数据合规制度。
02
强化企业数据内控体系，建立完善的数据风险识别机制。网络合规内控体系不仅限于加强对介质、设备、机器环境、数据存储和处理等方面的管理。，并对信息系统运行、数据库访问、机器备份、用户认证等进行记录。
03
规范数据业务运营流程管理，定期开展数据合规和信息安全教育培训，重点关注数据安全和信息安全，强化相关系统的用户管理、监控和审计机制，完善业务运营流程，确保数据安全底线。
04
加强组织体系和人员管理。制定个人信息保护合规政策和员工手册，实行合规承诺制，与员工签订保密协议，通过制度规范和约束员工行为。
四。《数据安全法》等法律的颁布对企业业务的影响
在科创板审核中，监管机构关注新法律法规对企业的影响。企业应当将涉及的经营行为与新的法律法规进行比较，确定相关条款是否适用，以确保企业的业务符合法律法规的规定。
《数据安全法》的实施，将有助于规范数据产业的发展，保障数据的有序使用，保障数据交易等行为的合法合规，保障数据产业的正常发展，帮助企业合法合规地收集数据；同时，《数据安全法》也对数据行为的合法合规性提出了更高的要求，使得公司不断加大人力物力投入，提升自身信息安全技术水平，完善信息安全体系建设。
动词 （verb的缩写）数据安全合规性
在大数据、云服务等行业的企业IPO过程中，数据安全问题是监管机构重点关注的问题。保护企业数据安全和个人隐私；机器在后期的有效性；是否发生过数据泄露事件；是否存在侵权风险、诉讼等纠纷是监管部门反馈的问题。
从回函来看，企业主要从以下几个方面进行说明:
01
企业建立的系统安全和信息安全等级；
02
企业票据保护的具体手段和措施；
03
制定具体的制度和技术工具等。；
除了以上五点，科技创新板的属性、先进技术、核心技术、主营业务收入也是监管机构频繁问询的，值得网络安全、大数据企业关注。
数据经济时代，随着大数据、人工智能等技术的蓬勃发展，大数据日益成为推动全社会各行业快速发展的新型资源。为了跟上经济实践的快速发展，学习和研究相应的立法、司法和监管问题，是我国法律服务人员的一项紧迫任务。只有这样，我们才能进步，才能与企业和法治共同成长。
