灵魂拷问：你的数据被合规使用了吗？

​企业内部有各种各样的数据，包括：

企业经营数据，如财务报表、现金流水、产品日激活人数和活跃人数； 企业决策所需数据，如行业统计报告；产品收集的各类数据，包括用户的注册信息、行为信息等； 企业在收集的各类数据基础上加工开发的数据，如用户画像、推荐算法模型、产品优化方向等。

数据合规管的是与用户相关的数据，具体边界并不清晰，而且用语都不同，有的人称之为用户数据，有的人称之为个人信息，大多数人称之为隐私。 数据合规工作的范围是什么？从信息技术的本质而言，个人信息是一个或几个字段，即数据。如“01010202,F,click,2021-04-21 9:26:00”，该行数据根据自定义的数据结构，含义为“ID是01010202，性别为女，在2021年4月21日9点26分发生了一次点击行为”。数据有自己的生命周期，如下图所示，从逻辑上可以简单分为数据收集、使用、存储、披露至销毁。

▲图1　数据全生命周期 使用“数据全生命周期”的框架，一方面符合数据的基本规律，另一方面可以帮助数据合规人员全面梳理企业处理个人信息的活动，进而分阶段评估和处置相应的个人信息保护风险。

数据合规工作的方方面面

管理体系

法律对企业在个人信息处理上的规定为企业按照所处理活动的风险等提供相应、适当、必要的组织措施和技术措施。组织措施则需要依靠管理体系来加以运转，如图2所示，简单来说包括个人信息保护的机构组织保障、对相关从业人员的培训与考核，以及相应的制度保障（将合规要求落实到公司内不同层级的规范文件中）、安全事件应急响应以及安全审计。 ▲图2 个人信息保护管理体系示意图

技术措施

适当必要的措施除了组织措施，还应当包括相应的技术措施。个人信息保护的技术措施范围比较广泛，既包括加密、脱敏等安全技术措施，也包括落实个人信息保护要求的产品设计技术措施。安全技术措施，如图3所示，包括数据识别、个人信息保护、接口安全管理、数据防泄露以及操作审计。关于落实个人信息保护要求的产品设计技术措施，根据各产品类型的差异，基于产品本身带来的风险而相应设计的合规控制措施包括差分隐私、联邦计算等。比如，阅读平台建议开启好友关系，可以互相分享读书记录和心得，而该功能对于部分希望读书是私密的用户来说是超出预期的，所以产品合规设计应为默认不开启。 ▲图3 个人信息保护技术措施示意图 如上所述，数据合规工作涉及多个方面，包括政策研究、合规评估、管理体系以及技术措施等，在企业内分工明晰的情况下，这些工作应由各自相关部门承担。

数据合规工作的利益相关方

（1）功能开发相关的利益相关方

以软件开发为例来阐释利益相关方，如图4所示，涉及数据合规的利益相关方如下。 ▲图4 软件功能开发中个人信息保护利益相关方示意图

（2）数据开发的相关利益相关方

在大数据时代，除了传统的软件开发，涉及更多的是数据利用，包括数据分析、数据挖掘、深度学习、算法推荐、用户画像等。数据开发的利益相关方涉及如下两类。 1）数据科学家部门，包括算法工程师、数据工程师，其主要职责是通过数据实现业务的需求。例如，在网约车服务中构建算法模型匹配用户和司机，完成最高效的派单，减少用户等待时间。完成这样的需求，需要大范围地分析包括个人信息在内的数据，包括用户集中打车地点、时间以及打车习惯等，构建相应的算法模型。数据科学家部门对数据的需求会比软件开发相关部门更强烈，但是因为深度学习等原因，很难解释个人信息和实现目的之间的关系。因此，数据合规人员需要与数据科学家密切合作，在保障个人信息保护的同时促进数据价值的发挥。 2）大数据平台部门，其主要职责是构建大数据平台，包括数据存储架构、元数据、数据分析引擎等基础技术架构。大数据平台可以在数据平台侧实现个人信息保护要求，比如数据发现和数据流图，为个人信息保护提供评估的基础材料，同时观察合规实施效果。

（3）管理体系和技术措施的利益相关方

如前所述，我们需要建立管理体系和安全技术措施来保障个人信息。信息安全管理体系和安全攻防等部门在个人信息保护工作出现前已经很成熟了，通常被称为信息安全部。 数据合规工作应当与信息安全部充分合作，在信息安全管理体系上增加个人信息保护，迭代为个人信息安全管理体系，同时持续落实和巩固安全技术措施，包括漏洞管理、数据防泄露等。 本文摘编于《数据合规：入门、实战与进阶》，经出版方授权发布。（书号：9787111705369）转载请保留文章出处。