随着国内及全球数字经济的发展，数据已然成为企业的重要资产。针对企业如何对数据进行有效管理，以实现在对数据资源开发利用的同时保障数据安全、满足合规要求，赢在IP法律服务团队力图通过解读有关法律法规具体要求、梳理企业数据管理面临的痛点和问题、归纳企业数据管理的方法论，为企业提供指引和参考，以期对企业的数据合规实践有所助益。
本系列内容将分多期发布。同时您可通过文末链接获取《企业数据合规白皮书》完整内容。
一、数据合规相关法律概览
详见数据合规指引（一）国内数据合规相关立法概览、数据合规指引（二）海外数据合规相关立法概览
二、《网络安全法》解读及合规指引
详见数据合规指引（三）《网络安全法》企业合规相关条款解读、数据合规指引（四）《网络安全法》企业合规相关条款解读
三、《数据安全法》解读及合规指引
3.1 宏观概览
详见数据合规指引（五）《数据安全法》企业合规相关条款解读
3.2 企业合规相关条款解读
详见数据合规指引（五）《数据安全法》企业合规相关条款解读
3.3 企业合规指引
《数据安全法》第四章专章规定了开展数据处理活动的安全保护义务，同时第六章规定了违反数据安全保护义务的法律责任，对各类违反数据安全法行为明确了责任承担，使得数据安全保护合规成为企业的法定义务，不履行数据安全保护职责将承担法律后果。结合《数据安全法》以及其他有关规定，为企业提供以下建议。
3.3.1 制定和落实数据安全保护制度
一旦发生数据公共安全事故，监管机构对事件进行调查时，企业为数据保护做了什么必然成为监管关注的重点。建立合规的数据安全保护机制一方面能有效防范数据安全事故的发生，也是企业发生数据安全事故后的免责或减轻责任的理由。是否有健全的数据安全保护管理机制是开展数据合规的前提和基础。本白皮书建议企业可从以下方面制定数据安全保护管理机制：
构建符合企业实际的数据安全管理组织架构，明确具体机构、人员的职责和要求。由企业主要负责人对数据安全负全面领导责任，为数据安全保护工作提供人力、财力、物力的资源保障。任命数据安全保护负责人和数据安全保护工作机构，数据安全保护负责人应由具有数据安全保护相关专业知识和管理经验的人员担任，参与企业数据处理活动有关的重要决策，并直接向企业主要负责人报告工作。
参照《信息安全技术 个人信息安全规范》要求，满足以下条件之一的企业，应设立专职的数据安全保护负责人和数据安全保护工作机构，负责数据安全工作：
（1）主要业务涉及个人信息处理，且从业人员规模大于200人；
（2）处理超过100万人的个人信息，或预计在12个月内处理超过100万人的个人信息；
应为数据安全保护负责人和数据安全保护工作机构提供必要的资源，保障其独立履行职责。
企业对数据进行分类分级保护，一方面为了符合《数据安全法》第二十一条的规定，另一方面也便于企业对重要数据采取更有针对性的安全保护措施，提高企业数据管理效率。
企业可以结合自身对数据的处理情况，考虑从数据内容角度出发，对数据类型细分；从不同业务对数据处理方式不同，从而所面临的风险不同，从而对不同业务涉及的数据进行划分；对企业所处理的数据形成从总到分的树形分类，对分类后的数据确定级别并采取不同级别的保护措施。
第一阶段：数据分类。根据数据内容、数据处理方式、可能面临的风险等实际情况，对数据进行分类。
第二阶段：数据定级。在数据分类基础上，对各个类别的数据，综合考虑其重要程度、数据泄露的风险以及泄露可能导致的后果等各个因素，进行数据定级。
第三阶段：分级保护。对不同类别的数据定级之后，宜对不同级别的数据采取不同程度的保护手段和措施，以实现对高级别的数据采取更有针对性的安全保护措施，提高企业数据保护管理效率。
企业数据安全保护制度是否能有效落实，很大程度依赖于企业对相关人员的管理，以及相关人员自身的数据保护意识。建议企业以下方面加强对从事数据处理岗位的人员的管理和培训。
（1）与从事数据处理岗位的相关人员签署保密协议，并要求相关人员在调离岗位或终止劳动合同时继续履行保密义务。对数据处理关键人员进行背景调查以了解其诚信状况等。
（2）明确数据处理岗位的安全职责，建立违反企业数据安全制度和发生安全事件的处罚机制。
（3）明确可能访问数据的外部服务人员应遵守的数据安全保护要求，与其签署相应协议，并采取必要的监督措施。
（4）对数据处理岗位的相关人员，进行上岗前培训、定期培训以及相关制度发生变化时的培训，并进行考核，确保相关人员熟练掌握数据保护制度和相关规程。
应急方案是数据合规体系必不可少的内容，企业应制定数据安全事件应急预案，并定期组织内部有关人员进行应急响应培训和应急演练，使其掌握应急处置策略和规程。应急响应策略应包含以下处置内容，以最大程度降低发生数据安全事件后带来的不利影响：
（1） 详细记录事件内容，包括但不限于：发现事件的人员、时间、地点，涉及的数据，发生事件的系统，可能影响到的其他系统，是否已联系相关执法机关或有关部门；
（2） 及时采取必要措施，控制事态发展以免造成更为不利的影响；
（3） 对事件可能造成的影响以及是否可能采取补救措施进行评估；
（4） 参照国家有关规定（如《国家网络安全事件应急预案》等）及时上报有关部门，报告内容包括但不限于：涉及的数据情况，事件可能造成的影响，已采取或将要采取的处置措施，事件处置相关人员的联系方式等；
（5） 数据泄露事件可能会给个人数据主体的合法权益造成严重危害的，如个人敏感信息的泄露，应及时将事件相关情况告知受影响的个人数据主体。难以逐一告知个人信息主体时，应采取合理、有效的方式发布与公众有关的警示信息。
数据合规指引（三）| 《网络安全法》企业合规相关条款解读
数据合规指引（四）| 《网络安全法》企业合规实践指引
数据合规指引（五）| 《数据安全法》企业合规相关条款解读
点击获取企业数据合规白皮书.pdf
