随着企业内部调查、监管机构调查和刑事调查越来越全球化，跨境数据和隐私保护问题也变得越来越重要，特别是在全球都在加强数据保护的大趋势下。
为什么数据在调查中非常重要
对数据进行审查是大部分调查的核心环节，通常包括通过对大量数据的评估追踪资金流向、搜集证据、以及发现犯罪行为。企业需要正确地处理数据保护和隐私问题，以尽量降低证据可采性受到挑战、以及遭到大额处罚的风险。以欧盟《通用数据保护条例》（GDPR）为例，监管机构已经基于和GDPR相关的问题处以超过十几亿欧元的罚款。
因此，数据保护和隐私问题是任何调查中的重要部分。随着工作方式日趋全球化，特别是在新冠疫情期间越来越多的企业采用远程办公，调查中需要审阅的很多信息可能都是仅以电子形式存储。
审查电子数据对于发现和防范在疫情期间爆发式增长的金融犯罪非常重要。审查电子数据很多时候可能是侦察和收集关于犯罪行为如何发生、范围、以及涉案人员的唯一途径。例如，审查数据是反洗钱调查中追查资金流向和资产搜查不可缺少的环节。如果在企业发出了“数据保存通知”或者启动调查后，出现大量删除数据的情况，可能本身就是一个风险信号。
此外，数据分析和人工智能驱动工具，在协助识别可疑活动或交易的实时动态、从历史数据中发现违规情况、以及防范企业内部发生欺诈和其它不当行为等方面， 都被证明是有效的工具。
收集、审查和处理数据的关键考虑因素
调查的复杂性可能会随着业务的国际化而增加。虽然不当行为或网络事件可能在某一个法域发生，但与之相关的数据可能在多个其他地点被保存、收集或审查。由于可能涉及众多法域，在任何调查一开始就要谨慎考虑跨法域的法律规定，以及各个国家对公司处理、审查和收集数据的政策和流程是否有特别要求。而且，由于收集数据的过程中，很可能不可避免会触及个人和/或敏感信息，进一步带来包括转移数据在内的复杂性，对此需要加倍小心。
在某些法域，监管机构获得数据的权利可能受到其它因素的限制，例如保密义务、法律特权等。例如，在某些中东或北非国家，在收集、转移、处理或审阅个人数据之前，需要先获得员工的同意。在某些法域，员工已经给予的同意可以撤回。
就网络犯罪而言，企业可能在事件发生地或数据受到影响地负有事件管理或者报告义务。在针对网络犯罪和其它（潜在的）犯罪或监管调查中，以安全的方式进行数据管理对于保存证据非常重要。
数据安全法律也可能会对数据的转移施加限制。例如，中国法律就要求非经相关主管机关批准，中国境内的组织、个人不得向外国司法或者执法机构提供存储于中国境内的数据。相关规定为涉及中国的全球调查增加了复杂性。又如，某些中东国家的网络犯罪法律限制和政府机构有关的电子数据被披露。
《通用数据保护条例》下有关调查中数据隐私和保护的标准
调查中涉及的数据通常为个人数据，可能涉及相关的数据保护法律，例如《通用数据保护条例》。《通用数据保护条例》项下的标准是重要的参考标准，因为《通用数据保护条例》正在成为各地数据保护法律出台和修订的基准。
以确保企业在调查期间以合规的方式处理个人数据，《通用数据保护条例》作出了下列五大方面的规定：
范围和原则：企业应仅收集需要的个人数据。《通用数据保护条例》第5条规定了数据最小化、存储限制和用途限制等多项原则。为了在应对调查与保护数据主体权利之间取得适当的平衡，视情况而定，企业可以将个人或敏感数据进行涂黑处理后再进行披露，并制定适当的程序在调查结束后的适当时间销毁数据。
合法性依据：《通用数据保护条例》第6条规定，企业处理个人数据时应当获得合法性依据。一般而言，获得同意未必是好的合法性依据，因为这不但会拖慢调查速度，同时也会影响企业在调查中的抗辩和行动。相较而言，为合法利益而收集个人数据是更好的依据，因为在大部分情况下，调查对企业而言都是非常重要的。说明调查是为了保护企业合法利益的常见理由，包括发现犯罪行为、避免企业受到处罚以及防范名誉受损等。
协议：企业在很多调查中需要依赖外部服务提供方的支持。由于这些服务提供方根据企业的指示行事，因此属于“数据处理者”。在此情况下，企业应当与其签署数据处理协议。
透明度：在处理个人数据时，《通用数据保护条例》要求企业向数据主体发出隐私通知，以告知其数据的处理方式。通过发出隐私通知，以告知数据主体其数据的处理方式。企业需要注意该等通知是否发出。
文件记录：为遵守《通用数据保护条例》项下的文件记录义务，企业需要记录其在调查期间就数据和数据隐私所采取的措施。这一点非常重要，因为监管机构发起审计的潜在风险是切实存在的，特别是，数据隐私常常被作为调查对象以及潜在面临纪律或其它责任的个人用作一项武器。
结论
数据对于调查的成功非常关键。如果进行正确的处理，数据可以帮助企业发现和防范犯罪行为、配合监管机构的工作、并作为调查中的重要证据。企业应该在调查开始之前就为潜在的调查做好准备，例如审阅信息技术使用政策和隐私通知。在整个调查的各个阶段，都应考虑到相关国家的适用法律框架和数据隐私法律的影响，以避免因调查期间对数据的处理而遭到起诉/投诉或面临大额处罚。
往期回顾
 |
钟津瀚 合伙人，香港 john.choong@freshfields.com |
 |
柳昕 合伙人，香港/北京 xin.liu@freshfields.com |
|
Geoff Nicholas 合伙人，伦敦 geoff.nicholas@freshfields.com |
|
Kimberly Zelnick 合伙人，纽约 kimberly.zelnick@freshfields.com |
|
Norbert Nolte 合伙人，杜塞尔多夫 norbert.nolte@freshfields.com |
 |
彭玥园 (Pauline Peng) 资深律师*，香港 pauline.peng@freshfields.com |
THE END
 富而德成立于1743年，是国际律师事务所中的翘楚，也是历史最为悠久的顶级国际律所。本所拥有超过400位合伙人和超过3100名律师组成的网络，覆盖全球15个国家的27个重要商业中心。本所在大中华区及亚洲其他国家、欧洲、中东和美国均设有办事处，我们紧密合作为您提供领先业界的法律服务。 本文仅载列一般资料，并非旨在提供法律意见。 本文提供者为国际律师事务所富而德律师事务所有限责任合伙制机构（Freshfields Bruckhaus Deringer LLP）（一家根据英格兰及威尔士法律组建并受英国律师监管局规管的有限责任合伙制机构）（下称“英国有限责任合伙制机构”）以及在一系列司法管辖区以富而德律师事务所（Freshfields Bruckhaus Deringer）名义执业的英国有限责任合伙制机构的办事处和联属实体以及富而德律师事务所美国有限责任合伙制机构（Freshfields Bruckhaus Deringer US LLP）（在本文中合称“富而德”）。关于监管信息，请参阅网页www.freshfields.com/support/legalnotice。 |