2021中国数据合规年度报告-环球律师事务所-2021.1.5-66页_4mb

致礼2022 成熟的数据合规年 - 总结

核心内容

2022年是中国数据合规与隐私保护走向成熟的年份，随着《数据安全法》《个人信息保护法》和《网络安全法》等法律体系的逐步完善，监管机构在执法、制度建设和技术标准方面都取得了显著进展。企业对数据合规的重视程度不断提升，合规实践从客户端产品向后台安全治理延伸，形成更加系统、全面的数据治理体系。

主要观点与关键信息

2021年终盘点

• 三大法律框架建立与完善：《网络安全法》《数据安全法》《个人信息保护法》共同构建了中国数据合规的基础法律框架。
• 法律法规层级效力呈体系：法律体系更加清晰，为企业的合规实践提供了更明确的指引。
• 顶层设计：从内部机构设置到制度体系构建，推动企业形成系统化的数据合规机制。
• App合规朝定期性检测方向深入：监管范围扩大，企业需定期对App、小程序和SDK进行合规自检。
• 数据全生命周期梳理：企业开始重视对数据资产的识别和全生命周期的管理。
• 后台安全合规并重：监管从客户端产品合规向后台安全合规延伸，推动企业建立更全面的数据治理体系。
• 数据分类分级管理：企业需对数据进行分类分级，并设置相应的访问权限。
• 风险评估机制逐步落地：个人信息保护影响评估（PIA）成为企业合规的重要工具。
• 网络安全等级保护制度落实：企业开始重视网络安全等级保护，引入第三方安全测试与认证。
• 人脸识别规制手段加强：行政监管与司法解释并行，明确人脸识别技术的合规要求。
• 个人主体权利实现机制：企业逐步在产品中实现用户的知情权、决定权、可携带权等权利。
• 汽车行业成为重点监管领域：智能网联汽车数据安全规则逐步完善，涉及数据采集、共享、出境等环节。
• 网络安全审查制度扩展：从关键信息基础设施运营者扩展到网络平台运营者，拟国外上市企业成为审查重点。
• 算法透明性要求提出：推荐性算法备案制度开始尝试，推动企业提升算法管理与可解释能力。
• 内部与外部审计结合：企业需建立内部合规审计机制，并可能委托外部机构进行合规审查。
• 数据共享与第三方提供机制健全：企业需明确数据共享规则，确保数据使用符合用户授权和合理预期。
• 特殊行业数据处理要求细化：金融、医疗、智能网联汽车等行业的数据合规要求进一步明确。
• 年度报告报送与备案流程成熟：企业需定期报送数据安全报告，并进行合规备案。
• 网络安全审查标准与流程更具可操作性：企业需评估数据处理活动对国家安全的影响，并履行申报义务。
• 企业算法管理和可解释能力提升：企业需建立健全算法管理制度，并提升算法透明度。
• 司法诉讼比例上升：个人信息保护公益诉讼成为监管的重要手段，推动企业合规意识提升。

2022趋势预测

• 重要数据识别标准与清单逐步确立：企业需识别自身数据是否属于重要数据，并履行相应合规义务。
• 数据出境安全审查与报批流程完善：企业需建立数据出境风险自评估机制，并根据评估结果申报安全审查。
• 关键信息基础设施认定边界更加明确：认定标准更加细化，企业需根据行业特点进行合规管理。
• 平台治理：从数据汇聚到反垄断规制：超大型平台需承担更多责任，包括算法规制、平等治理、数据安全等。
• 数据合规体系更加完善：企业需结合内部审计和外部审计，构建更完备的数据合规机制。
• 数据共享与向第三方提供规则机制健全：企业需明确数据共享规则，确保数据使用合法合规。
• 特殊行业数据处理要求更加细化：各行业主管部门在数据合规方面制定更清晰、科学的规则。
• 年度报告报送与备案流程更加成熟：企业需定期报送数据安全管理情况，并按要求进行备案。
• 网络安全审查标准与流程更具可操作性：企业需主动评估数据处理活动对国家安全的影响，并履行申报义务。
• 企业算法管理和可解释能力不断提升：企业需提升算法透明度，并建立相应的管理制度。
• 司法诉讼比例将大幅上升：个人信息保护公益诉讼将成为监管的重要手段，推动企业合规意识提升。

附录

• 2021监管与执法动态汇总：包含App通报、数据合规事件、人脸识别违规案例等。
• 合规工具与流程：如PIA工具、数据分类分级管理、网络安全等级保护等。
• 合规要求与义务：涵盖数据出境、重要数据识别、算法管理、年度报告报送等。

结论

2022年数据合规工作将更加注重制度建设、技术实施与监管实践的结合，企业需在合规体系建设、数据分类分级管理、算法透明性提升、数据出境安全评估、年度报告报送等方面做好充分准备，以应对日益严格的监管环境和不断变化的合规要求。