企业数据合规利用实操培训

20XX/XX/XX企业数据合规利用实操培训汇报人:XXXCONTENTS目录01

培训开篇介绍02

数据合规基础认知03

常见数据合规风险场景04

企业数据合规实操规范05

明确数据合规违规红线06

企业合规保障机制培训开篇介绍01培训的背景与目标

数据合规监管趋严近年来多国出台数据保护法规，国内《数据安全法》等落地，企业违规面临高额罚款，比如滴滴被罚80.26亿元。

明确企业实操需求多数企业缺乏系统的数据合规流程，本次培训聚焦实操，帮助企业搭建适配自身业务的合规框架。

提升相关人员能力帮助企业法务、数据运营人员掌握合规核查方法，能独立完成日常数据处理全流程的合规审查工作。培训内容整体框架01数据合规基础法规要点梳理梳理《数据安全法》《个人信息保护法》核心要求，明确企业合规的基础红线。02企业数据全生命周期合规流程拆解数据收集、存储、使用、传输全流程，讲解各环节对应的合规操作规范。03常见数据合规风险场景应对结合滴滴数据合规行政处罚案例，讲解不同风险场景的应对与整改方案。04企业合规体系搭建实操指导讲解企业内部合规制度、组织架构搭建步骤，帮助落地合规管理工作。数据合规基础认知02法律合规要求遵循企业处理数据需符合相关法律法规、监管规定，违反会面临处罚，比如滴滴被罚80.26亿元。企业经营风险防控通过规范数据处理流程防控风险，例如瑞幸咖啡早期因数据不合规整改后实现合规经营。商业伦理道德践行企业收集用户数据需诚实守信，携程酒店因过度收集用户信息整改，符合伦理要求。数据合规的核心定义企业数据合规的意义

降低企业监管风险欧盟GDPR可对违规企业处全球年营业额4%的罚款，合规能帮助企业避免这类高额监管处罚。

维护企业品牌声誉Facebook因剑桥分析数据泄露事件遭遇用户信任危机，合规能帮助企业稳定公众对品牌的信任。

支撑企业业务开展企业开展跨境业务必须符合当地数据监管要求，合规是保障业务顺利落地拓展的必要前提。常见数据合规风险场景03数据收集环节违规场景

未告知收集目的违规收集部分APP违规过度收集用户通讯录、位置信息，不告知收集用途，侵犯用户知情权与隐私权。

超范围收集超出业务需求的数据很多外卖APP超范围收集用户相册、麦克风权限，远超出配送业务的正常需求。

未经用户同意收集个人信息不少商场通过公共WiFi私自收集连接用户的个人信息，未征得用户的明确同意。

第三方嵌入违规收集用户数据部分网站嵌入第三方广告SDK，SDK私自收集用户信息，网站未尽合规审核义务。数据存储环节风险场景

存储介质不合规部分企业将核心用户数据存储在境外未备案服务器，违反国内数据出境合规监管要求。

存储权限管理混乱不少企业未设置分级存储权限，基层员工也可随意调取敏感用户数据，易引发泄露。

过期数据未及时清理许多企业长期留存已超过法定存储期限的用户数据，违反数据最小化留存要求。违规向第三方提供用户数据许多APP违规将收集的用户个人信息共享给第三方广告平台，用于精准投放牟利，违反合规要求。未获用户授权共享敏感数据部分医疗机构未经患者同意，将患者医疗健康敏感数据共享给合作药企，属于典型违规场景。超出约定范围使用共享数据某招聘平台超出用户授权范围，将共享的简历数据用于商业推荐，触碰数据合规红线。数据使用共享违规场景数据出境传输风险场景

未进行安全评估出境我国《数据出境安全评估办法》规定，海量重要数据出境需申报评估，很多企业未合规评估就擅自传输。

向境外关联公司违规传输不少跨国企业未通过合规通道，私自将境内用户数据传输给境外总部，触碰合规红线。

出境未签订合规数据处理协议部分企业数据出境时，未与境外接收方签订符合我国法规要求的数据处理责任协议。员工个人行为风险场景

违规拷贝企业数据部分员工出于私用目的，违规将企业客户数据、研发数据拷贝至私人设备，易引发数据泄露。

弱口令使用习惯不少员工为了方便记忆，为工作账号设置简单弱口令，极易被破解，导致企业数据被盗用。

非授权渠道分享数据部分员工在未获得授权的情况下，将企业内部数据分享给外部合作方，违反数据合规要求。企业数据合规实操规范04数据收集阶段要求企业收集用户数据需明确告知用途，经用户主动授权同意，禁止通过偷拍、爬虫违规窃取数据。数据存储阶段要求企业需对敏感个人数据加密存储，定期更新安全密钥，防止外部黑客窃取泄露用户数据。数据使用阶段要求企业不得超范围使用已收集的用户数据，如需向第三方共享，需再次获得用户明确授权。数据销毁阶段要求企业不再留存用户数据时，需通过物理粉碎、永久擦除等方式彻底销毁，防止数据流出。数据全流程操作要求合规工具使用方法数据分类分级工具操作借助阿里云数据分级分类工具，可自动扫描识别敏感数据，完成合规标签标注。数据访问权限审计工具配置通过奇安信数据权限审计工具，可定期梳理访问权限，排查违规越权访问风险。合规风险监测工具部署部署腾讯安全数据合规监测工具，可实时预警数据外发行为，及时阻断违规传输。异常情况上报流程异常初步识别分级企业根据数据泄露、违规调用等风险严重程度，将异常情况划分为一般、重大、特大三个等级。上报路径及时限要求一般异常需24小时内报部门合规岗，重大及以上异常需1小时内直报企业合规管理委员会。上报信息材料规范上报需包含异常发生时间、涉及数据类型、影响范围，还需附初步处置记录和现场截图。用户数据收集流程合规性检查收集数据前是否获取用户明确授权，是否清晰告知收集用途，符合《个人信息保护法》要求。数据存储安全防护情况排查存储敏感数据的系统是否配置访问权限，是否定期备份加密，避免数据泄露风险。第三方数据合作合规性检查与第三方合作的数据传输流程是否签合规协议，是否对第三方做定期合规审计。过期数据销毁执行情况核查已过存储期限的用户数据是否按规范彻底销毁，避免违规留存产生合规风险。日常合规自查要点明确数据合规违规红线05刑事追责类违规行为侵犯公民个人信息罪违规出售、提供超过50条公民敏感个人信息，会触发刑法中侵犯公民个人信息罪的立案标准。拒不履行信息网络安全管理义务罪企业未履行数据安全管理义务，经监管部门责令整改仍不改正，会触发本罪追究刑事责任。非法获取计算机信息系统数据罪企业违规侵入竞争对手计算机系统窃取经营数据，构成本罪需承担相应刑事处罚。行政处罚类违规行为

未经同意收集个人信息某互联网平台未经用户同意违规收集浏览偏好信息，被监管部门依法处以五十万元罚款。

违规向境外提供重要数据某药企违规向境外机构传输境内临床试验数据，被相关部门处罚一百二十万元罚款。

未按要求完成数据安全整改某出行APP未落实数据安全整改要求，被监管部门责令暂停新用户注册并处罚款。企业内部追责类行为

越权访问敏感数据企业员工私自获取超出岗位权限的客户隐私数据，属于违规行为，会触发企业内部追责。

违规向外传递内部数据销售员工私自将企业内部的未公开产品研发数据传递给竞品公司，需被企业内部追责。

违规篡改业务数据财务人员为掩盖自身挪用公款的行为，私自篡改企业财务系统数据，应被企业追责。典型违规案例警示

过度收集用户个人信息某网约车平台因过度收集用户通讯录、地理位置信息，被监管部门处以超百万元罚款。

未经同意共享用户数据某零售企业将百万会员信息共享给第三方营销公司，违规获利后被立案处罚。

未按要求存储敏感数据某金融机构违规将用户银行卡信息存储在境外服务器，违反数据本地化存储要求被罚。企业合规保障机制06合规咨询与支持渠道外部专业律所咨询渠道

企业可对接合规律所获取专项服务，比如阿里常年聘请合规律所应对跨境数据合规问题。内部专职合规部门渠道

大型企业会设立独立合规部，比如华为内部合规团队随时响应各业务线的合规疑问。行业协会合规共享渠道

互联网企业可加入工信领域行业协会，获取协会更新的行业数据合规指引与