引言：对于不同行业、不同业务模式的企业，其数据生命周期管理、面临的合规风险点、行业监管机关的关注重点往往截然不同，企业法务、数据合规律师所面临的挑战也有所不同。本文结合自身在燃气行业的实务经验和行业研究，简要介绍公共事业数据合规的特殊性。
来源 | 商业合规观察
一、公共事业数据合规的四大特殊性：
以燃气行业为例
燃气是居民生活和企业生产的必需品，燃气用户包括公司服务区域内的全体居民及企业，用户量和数据量巨大，数据利用价值较高。而如何基于存量数据进一步挖掘增值业务场景，是燃气公司较为关注的重要话题，其中，电商、保险板块的数据利用问题较为集中。
除了基于用户同意、合同履行所必需，以及人力资源管理所必需外，在燃气行业，还可能会基于履行法定义务处理个人信息，这是公共事业行业的一个特点。例如需要收集巡检人员、施工人员的个人信息，用于安全管理义务的履行。
合法的数据共享方案是传统业务向增值业务快速发展的前提
随着燃气行业数字化转型，如何利用好燃气业务收集的数据，深度挖掘客户需求，实现传统业务和增值业务的融合，需要合法的数据共享方案。相较互联网行业，传统燃气业务C端用户使用并不高频，虽然用户每天都在享受供气服务，但企业触达用户的场景、频率十分有限。如何把燃气传统业务与增值业务进行融合，实现数据共享，同时又可以避免频繁打扰客户，实现合法数据共享，需要对方案进行专门设计。
面临外部调取燃气行业数据的监管需求
燃气数据具备反映住所内人员居住情况、企业生产经营情况的功能，同时具有公共利益的属性，为此面临来自政府各部门基于履行法定职责，要求调取该行业数据的场景。自《数据安全法》《个人信息保护法》出台以来，燃气公司面临高频的数据调取需求，为此如何在符合上述法律法规的前提下，实现合法对外提供数据，是该行业面临的一个重要挑战。
二、公共事业数据合规工作的开展流程
组建数据合规团队：法律+技术团队共同协作
随着企业数字化转型，数据全生命周期管理离不开信息技术的帮助。当下数据合规融合了大量技术知识，法律问题与技术问题紧密相连，例如数据加密、权限管理等网络和数据安全措施是否满足法律法规、国标行标的要求，仅凭律师的一技之长难以精准判断。因此，对技术人员参与数据合规整改，对技术措施合规发表意见的需求愈发提高。特别是燃气公司掌握了大量数据（包括个人信息、重要数据等），对于数据传输、存储的安全有必要让技术人员进行检查，防止安全隐患。
开展尽职调查
（1）尽职调查的内容
对于燃气行业的数据合规尽职调查，应从业务流开始，包括用户开户、缴费、报修、安检、过户等业务的办理，再到管线施工、物资采购、日常巡线、安全监控、工程抢险等内部工作流程。通过了解上述场景所处理的数据类型、数据流转及对应的信息系统，继而形成基于业务流、工作流的数据流转全景图，方能保证尽调范围的全面性。
（2）尽职调查的主要方法
在燃气行业的尽职调查，具体方法包括访谈、材料阅读、系统体验、技术检测、现场走访调查等方法。其中，如果燃气公司数字化程度高，为此需要对其不同类型的系统进行体验和查阅。其中应该将涉及个人信息、重要数据的系统，作为重点体验对象。
在访谈对象上，往往涉及业务、研发、IT、客服、法务、行政等多个部门的人员参与。在访谈顺序上，建议以业务部门为先，其次再访谈技术部门，最后访谈高管、企业数字化团队管理人员，这样可以对公司数据合规现状有一个更加立体的理解，且可以在后面的访谈过程中，问得更深入，找到风险点。
此外，对燃气线下业务的实操情况进行现场走访调查，也可以有效发现一线合规风险。通过了解营业厅人员的业务办理流程、营销话术、上门安检人员执行工单的操作是否合规，可以提高尽调质量，及时发现更多隐蔽风险点。
输出整改方案及整改建议
对于整改方案的框架，目前市场上不同律所都有自己的逻辑。我们认为，应以客户为中心，考虑客户本身的习惯，可以采取word、ppt、excel表格等多种形式进行呈现。而在具体内容上，建议要突出高中低不同风险维度的数据合规风险点，并提供建设性意见，就后续具体落地整改时间表，做出清晰规划。
整改成果输出
企业寻求律师进行数据合规整改的目的，旨在希望可以输出一套满足法律要求的、可落地的整改方案，包括协议、制度、流程方案等。但不同行业，不同企业的数字化程度不同，数据合规律师也要结合企业实际情况，输出符合企业现有阶段的数据合规落地方案。例如PIA报告，是纸质版，还是电子版，PIA的具体制作，是简单的纸质化审批，还是智能化解决；具体是线上进行，还是线下进行，都要结合企业情况考虑进来。再比如，对于数据合规制度的搭建，企业之前有无成熟运营的体系，还是完全没有。数据合规制度是嵌入到现有制度，还是完全起草一套新的体系，我们认为也要结合公司实际制度运营情况，组织架构情况，领导偏好等进行通盘考虑，不要想当然地输出一套方案给企业。
小结
（1）尽调对象，应注意合规推广的有效性考量
由于各地子公司管理层对集团规章制度的理解不同，对于业务流程、规则的内化与执行可能存在一定差异性。因此，有必要选取业务场景较为丰富、数字化程度较高、用户数量较多的代表性、试点性企业进行尽职调查，以点带面解决合规可复制性需求。
（2）注意合规整改优先级的判断
对于全面的数据合规整改，发现的问题总是事无巨细，基于资源的限制，公司难以在较短的合规整改服务期内完成全部事项整改，因此有必要对整改事项划分优先级。例如对监管执法或通报的重点、面临高额罚款、涉及刑事红线等可能影响到主营业务经营和公司收益的风险事项，应当及时优先进行整改。
（3）注意经济成本与合规效果、行业最佳实践之间的平衡
对于一些数据合规整改合规义务履行，企业如果要严格按照法律最高要求执行合规措施，可能会带来的高额的合规金钱及时间成本。例如定制的信息系统增加一个隐私保护模块，可能需要上千万的支出。为此数据合规律师在输出方案的时候，要对工具的品牌，成本，客户友好度等方面都要有所了解。输出的整改方案和建议，要兼顾商业化的需求，不可盲目提出一些不切实际的整改建议。
三、从公共事业到其他行业数据合规的
“经验迁移”
我们认为，虽然行业的数据合规具有特殊性，但是仍然有一些共性的经验。从公共事业上的数据合规经验，可以复制迁移到其他行业。我们认为有三点值得关注：
懂战略、抓场景
数据量巨大，意味着富矿。为此所有行业中，具备数据量巨大的企业，均会有增值业务场景开发的需求，为此数据合规律师、法务人员，需要理解企业数字化战略和新业务场景的开发，及早介入，全面介入，重点开展评估。
紧密跟踪行业最佳实践，为自身行业数据合规工作提供指导
不同行业的头部企业在数据合规的积极性并不保持同频一致。目前市场上互联网、金融板块的数据合规的头部行业最佳实践已经逐步形成（当然并无终点），当我们所在行业并无行业最佳实践可供参考的时候，其他行业的最佳实践，仍然可供参考。
充分利用好智能化工具，提高合规效率
随着数字经济的发展，越来越多新类型的公司出现，其中包括提供隐私智能化管理工具的公司。对于如何高效检测APP，如何赋能法务草拟隐私政策，如何搭建好PIA系统等，数据合规律师和法务可以结合自身预算、行业特点和工具的优点进行选择。
【免责声明】以上信息仅供分享交流，不构成任何形式的法律意见或建议
星辰大海，永不止步
中国信息通信研究院知识产权与创新发展中心致力于以合规为企业创造价值，用合规营造公平竞争环境的理念，深度参与“ISO 37301合规管理体系要求和使用指南”、“GB/T 35770合规管理体系指南”等企业合规管理标准的制定、修订和应用落地，牵头制定《信息通信及互联网行业企业合规管理体系 指南》、《信息通信及互联网行业企业合规师国家职业技术技能标准》团体标准，助力互联网企业应树立诚实守信的企业形象，防范重大经营风险，培育合规专项人才，促进企业高质量发展，实现互联网企业诚信、公平、创新、持续、合规经营，推动中国社会现代化和数字经济高效率发展。
同时，知识产权与创新发展中心与多家企业和律师事务所积极接洽，开展系列调研培训和咨询，在推动企业合规管理体系认证、合规管理体系有效性评估、培育企业合规人才培育、促进行业合规管理方面取得了良好的社会效益和经济效益。
联系人：qianyue@caict.ac.cn