数据保护 《中国数据保护年度报告2018》正式发布

数据防御战准备好了吗？

2017年7月，东北大学毕业生李文星通过“BOSS直聘”求职，但因深陷传销而死亡，引起社会各界的高度关注，一度将企业主体的网络安全义务推到风口浪尖。

此时《中华人民共和国网络安全法》已实施一个多月，“BOSS直聘”显然未能履行网络安全管理中的用户信息审核和身份验证义务。

此案被列入《2018年中国数据保护年报》，成为44起涉及数据保护和网络安全的行政执法案件之一。

在4月12日举行的2018年中国数据保护研讨会上，远大律师事务所与莱克斯耐思律师事务所联合发布了《中国数据保护2018年年度报告》，历时一年的调研和撰写，邀请了中外知名企业的高级法律事务、数据运营官以及技术和合规领域的专业人士，就数据保护问题进行了深入探讨。思曼科技的智能团队全球有限责任公司和商业信息服务和风险管理的权威提供商华夏白盾主办了这次会议。

首先，对数据的关注已经开始

早在2014年数据问题还没有引起全民关注的时候，远大律师事务所就成立了远大数据中心，观察研究数据保护问题，为企业提供数据合规法律服务。元大在数据合规领域的布局还是比较有前瞻性的。

在采访中，刘晨光表示，远大在数据合规领域“不仅仅是一家律师事务所”。

“我们团队的律师不仅有法律背景，还有IT背景，可以为企业提供最需要的数据合规服务，通过技术和法律服务的结合提供真正的解决方案。”

这是一支既有创新意识又有创新能力的团队，这一点也得到《中国数据保护2018年年报》发布的印证。传统的研究报告往往只由问卷数据和简单分析组成。除了第一部分的问卷分析外，接下来的“监管机构概述”、“案例与争议参考”、“法律法规概述与分析”、“数据合规指引”四个章节，都是基于研究成果，但并不拘泥于研究，向读者展示了数据保护法律监管的现状，同时为他们提供了应对策略，体现了技术与法律的双重作用

在谈到这份报告的独特价值时，远大律师事务所合伙人孙波表示:“对数据合规性的需求将越来越大，但它将超越传统的法律服务，需要跨学科的合作。对数据的保护离不开对这类数据的生成、存储和传输技术的理解，但仍处于法人和技术人相互碰撞的阶段。除了希望能帮助读者了解我国数据保护的法律监管和应对措施外，我们的报告在撰写过程中也非常注重可读性和实用性，希望能成为跨专业交流的手册，搭建桥梁。”

报告从数据合规响应、网络安全基本义务和数据保护三个方面对数万家企业进行了问卷调查，形成了数十张专题统计图，工作由拥有强大数据资源库的《法制商报》完成。

2018年恰逢《法律商业新闻》创刊200周年。早在2009年，法商网就开始关注个人日常消费、金融行业等领域的个人信息保护。到目前为止，已经有近1000篇相关问题的分析文章。作为内容和技术解决方案的杰出提供商，LLP和远大律师事务所联合发布了世界上第一份年度报告《中国数据保护年度报告2018》，该报告基于中国市场的数据安全现状，提供了中国数据安全保护法律和实践的全景视角和分析。

“在日益完善的法律框架下，如何认清自身情况，了解数据合规的现实和未来，在红线内顺利开展相关业务运营，将成为企业无法回避的问题。所谓知己知彼，百战不殆。对自身和现实的研究，将有助于企业在法律法规不完善的情况下，了解数据收集和利用的规律，提前做出反应。也将有助于企业了解执法和司法审判的标准，更好地帮助企业在激烈的市场竞争中规避法律风险。”中国的内容总监徐芳说出了发表这篇报道的初衷。

第二，企业数据合规性危机无处不在

在元大律师事务所和联讯律师事务所联合进行的几个月的调查中，发现相当一部分企业已经开始积累数据合规义务意识，但一个相对普遍的问题是缺乏一个将法律合规与技术现实联系起来的启动和运行机制。同时，跨境数据合规实践已成为越来越多企业面临的难题。

远大律师事务所合伙人刘晨光、百度云解决方案架构与金融云总经理杨军就“数据保护面临的内外部风险”做了主题演讲。从中国特色的数据立法入手，刘晨光描述了当前数据保护面临的执法环境，包括网络安全监管“九龙治水”现象依然存在。数据的流动性和开放性可能导致我们目前无法预见的数据安全问题，“数据安全就是国家安全，信息化就是现代化”是刘晨光一直认同的观点。

随着数据总量的增加和数据价值的凸显，与数据相关的纠纷和危机越来越多，全社会的个人信息保护意识开始觉醒，更多相关法律颁布实施，其中影响最大的是《中华人民共和国网络安全法》。

公安部第三研究所网络安全法研究中心主任黄道立在主旨发言中，从网络安全法的演进历程、现行制度、未来路径三个方面阐述了我国现行网络空的法制化问题。黄道里提到，《网络安全法》实施后，我国网络安全领域立法的滞后性有所缓解，但立法的实施和有效性还有待检验，结构性冲突和协调问题仍亟待解决。

三、网络运行安全和数据保护

《中国数据保护2018年度报告》显示，据不完全统计，2017年违反《网络安全法》中网络运行安全义务的行政处罚案件至少有20起，主要涉及不履行网络运行安全义务、不履行身份验证义务、不符合国家网络产品和服务标准强制性要求、从事或支持危害网络安全活动等违法行为。

在“网络运营安全与风险防控”主题讨论中，与百度云高级解决方案架构师曹就涉及不同数据合规问题的场景进行了现场模拟讨论，尤其是从个人信息保护、跨境数据传输等角度进行了模拟讨论，现场法务也积极参与讨论，引起了实际问题的共鸣和思想火花的不断碰撞。

具体到个人信息的保护，上海网通办公室政策法规司司长孙洁从个人信息的收集、存储、更正和删除等方面阐述了个人信息法律保护的现状。在解决方案方面，除了在技术应用层面加强安全检测和执法之外，孙洁还提出，可以在微观技术层面大力推广电子身份管理措施以及个人信息的读取和认证，从源头上减少个人信息的收集和存储。

思曼科技创始合伙人汪叔夜从企业角度介绍了数据采集、处理和监管的全过程。他指出，在当前形势下，数据和信息监管能力是企业竞争力的重要体现，是优秀企业成功的关键。

第四，GDPR来了！

欧盟发布的《通用数据保护条例(GDPR)》将于2018年5月25日正式实施。远大联盟律师事务所麦克德莫特威尔&埃梅里伦敦办事处合伙人阿什利·温顿通过视频介绍了不在欧洲的公司也会受到GDPR影响的四种情况:一是企业在欧洲有与信息处理相关的机构或组织；第二，接受商品或服务的人是欧洲的个人；第三，即使他们不向欧洲出售商品或提供服务，如果他们发现并跟踪欧洲个人的行为，也会受到限制；第四，他们与欧洲公司签订合同，被迫受GDPR约束。

GDPR的核心是对个人数据的收集和后续存储提供更高的透明度和控制。它的实现意味着什么？对国内企业的数据采集、处理、交易会有什么影响？如何建立企业评估不符合风险的标准？如果一家公司已经符合中国相关法律法规的合规要求，如何进一步改进以符合GDPR的合规要求...在孙波的主持下，远大律师事务所合伙人、远大数据中心负责人贾里德·纳尔逊(Jared T. Nelson)和微软大中华区合规总监李金玉就企业关注的热点问题发表了意见。

作为世界上最大的计算机软件提供商和领先的云服务提供商，微软很难估计存储和控制的数据量。自2016年GDPR条款公布以来，微软开展了有针对性的数据合规体系建设。早在2017年3月，微软就宣布满足GDPR合规要求，并进一步将GDPR合规要求写入微软云服务的业务合同中，作为向用户提供保护和帮助用户满足GDPR合规要求的承诺。李金玉分享说，企业可以从整体防范、关键问题应对、持续优化三个方面构建数据合规。同时，他还提出了具体经营行为风险评估的几个步骤。首先明确整理风险点，然后根据企业目前的管控措施明确风险等级；最后，结合风险后果和控制成本制定相应的策略。

在《GDPR》出版后的两年里，《法制商业新闻》一直关注着它。PSL信息法律实务是Lexis的国际法律实务产品，主要包括跟踪整理GDPR法律新闻原文和相关法规，从不同角度为GDPR相关法律和合规实务问题提供权威的法规解释和丰富的实践工具。

远大律师事务所基于多年来对合规法律服务的深刻理解，在数据合规领域准备了一批有针对性的法律服务产品，在现场展示中得到企业的高度认可。

“我们准备好了。”刘晨光和徐芳对企业数据合规的前景有着相同的期待，这种期待正在逐步实现。