《个人信息保护法》对企业数据安全有哪些新要求？

撰稿 | 贾贾

编辑 | 草草

8月20日，十三届全国人大常委会第三十次会议表决通过了《中华人民共和国个人信息保护法》（下简称《个保法》），将于2021年11月1日正式施行。

作为我国首部专门针对个人信息保护的系统性、综合性法律，《个保法》对法律的适用范围、以“告知-同意”为核心的个人信息处理规则、个人信息处理活动中个人的权利和处理者义务、国家机关处理个人信息的规范、个人信息跨境流动及履行个人信息保护监管体制、法律责任等内容作出了具体规定。

作为“数据安全组合拳”之一的《个保法》，不仅是对普罗大众的一项福音，更是对于安全从业者的一次重大利好——企业安全已经从粗放式的发展转向了精细化的运行，常年救火的安全从业者如今手握一套有据可依的“尚方宝剑”，可以说是大展身手、提升个人价值的最好时机。

在《个保法》审议通过的当天，腾讯安全、腾讯产业互联网学堂、德勤联合安在新媒体一起发起了主题为“《个人信息保护法》正式审议通过，企业应关注哪些问题？”的线上沙龙，针对安全业界重点关注的三个角度“意义、责任、方法”进行了深度探讨与解读，超千人同时在线强势围观。

《个保法》进一步规范了行业的发展

我国长久以来都没有一部专门针对个人信息保护方面的立法，《个保法》的出现不仅在国际上大大提升了国外对中国个人信息保护的认可度和信心，对于网络安全从业者来说也是非常好的消息。

德勤风险咨询副总监王建霞表示，从今往后，安全从业者在进行日常工作时有了强制的法律依据，企业同时也有了更多的合规义务。企业迫切需要建立起个人信息保护的组织架构，在《个保法》前提下建立产品、开展业务，从而提升产品和业务在整个行业的竞争力。

《个保法》的特殊之处还在于，其对境外提供数据服务作出了进一步限制，境外企业必须建立相关的机构和代表后才能在国内提供服务，这不但方便了出现责权问题后的境内直接交涉，还可以在发生歧视行为时拒绝提供服务，从国家层面进行对等反制。

这部根据《宪法》制定的《个保法》具有非凡的法律地位。相比二审而言，三审后的《个保法》对未成年人信息、个人数据跨境规则、个人数据可携带权、个保工作机制以及自动化决策等社会热点、焦点都作出了清晰定义。

腾讯安全云鼎实验室数据安全专家刘海洋认为，《个保法》将会推动构建数据安全新的评估体系，也会方便安全从业者推动数据安全相关的工作，不过企业此后要把“保障个人行使权利”系统性地纳入业务设计，随之而来的业务调整也会成为较大的挑战。

“有罪推理”的执法方式，详细的应用场景与责权细分，无一不显示出《个保法》对于维护个人信息权益的决心，也因此获得了“比GDPR更严格”“有史以来最严格的数据安全保护法律之一”的评价。

企业的主体责任被明确

在《个保法》颁布前，根据机构特征不同，有些问题交给安全部门负责，有些则是交给IT部门负责，而《个保法》中明确指出，谁处理数据，谁负责。新增的责任人制度自下而上帮助国家安全部门分担职责，哪怕是委托数据信息的第三方，也需要承担监督的责任，无人能脱责。

企业该如何明确自身的责任所在？王建霞建议，企业要先进性梳理个人数据的基础工作，将其类型、应用场景、数据生命周期的流向等全部梳理明晰。梳理时，则可以从两个维度出发：

一、产品维度

企业对外提供服务和产品，无论是硬件、软件或是平台服务，产品涉及到哪些数据的场景。

二、企业级别

公司的HR、营销、售后可能都会涉及到个人数据的场景，不同的部门和不同的业务条线都会涉及，从前端的设计到后端的开发、测试、上线，这需要纵向梳理。在此基础上进行风险评估，对于大数据量的存量业务抓大放小，从高风险入手。

完成风险评估后，管理层还需进行一些针对个人信息保护的决策，从风险到组织架构、产品流程、技术实现等，针对这点，刘海洋总结了五项建议企业使用个人信息数据应遵循的原则：

一、诚信原则

不要用诱导或欺诈的方式拿信息。

二、最小范围

满足业务需要即可，多了不是财富而是灾难。

三、公开透明

无论是大数据分析、辅助决策还是营销推广，都要尽量通过媒体做到公开透明，这样也可以减轻自己的责任。

四、准确和即时性

要定期有机制保障信息及时性。

五、最短时间原则

收集来的信息需在最短时间内完成使用和删除。

企业机构履行责任的思路与工具

个人信息的价值与敏感性依托于其机密、可用和完整性，因此不难推断出，对个人信息的保护必然建立在数据安全基础上。那么，企业该如何提升自己的数据安全防护能力？

刘海洋籍由个人经验，预警了几个企业开展数据安全防护工作时可能踩到的坑：

一是公开信息的处理。《个保法》中提出对公开信息的处理需要“谨慎”，也就是说，信息处理者在操作前需征得同意，表明用途。

二是个人信息数据处理者有义务主动删除数据。删除的评定标准十分严格，不允许企业利用技术架构或者业务形态逃避该义务，如果以此为借口，等来的可能是强制停止数据活动的指令。

三是何时、怎样开展合规工作。第一步还是要理清自己的数据和个人信息，掌握了这些信息后，制度设计、技术解决方案反而不再是难事，重点是不能有死角，要监控到方方面面，结合规定上的条款进行工作。

数据驱动着企业变革，为了将庞大的数据量“点石成金”，上云发展是越来越多企业的战略性部署，数据安全问题也因此成为了云平台的最大威胁。作为经验丰富的老牌安全厂商，腾讯对数据安全防护颇有心得。腾讯云鼎实验室总监姬生利就曾提出，云原生架构可以使数据安全策略进一步演进。

由于国内外云厂商在云原生一体化的数据安全治理能力上仍有欠缺，目前主流的数据加密方案又存在较高的使用门槛，腾讯安全云鼎实验室提出了“云数据安全中台”的解决思路，通过基于商用密码技术的数据加密软硬件服务（CloudHSM /SEM）、密钥与凭据管理系统（KMS/SSM）以及云访问安全代理（CASB）三大核心能力，为企业提供便利的一站式云上数据分类分级、敏感数据识别、数据加密和动态脱敏方案，保障数据在识别、使用、存储过程中的安全。

刘海洋表示，云数据安全中台的CASB云访问安全代理模块，在开展合规工作时有几项优势特性：

一、云数据安全中台让用户得以使用最小的工作量，极简地实现对云上数据的加密保护。密钥管理系统（KMS）和云产品无缝集成，为用户提供透明加密的解决方案，用户只需要开通相应的服务，无需关系加密的细节，即可实现透明的云上数据加解密。一次集成，多项成立，对于企业的落地过程有极大增益。

二、针对各行业敏感数据的隐私保护及合规的数据安全治理需求，云访问安全代理CASB组件提供敏感数据识别功能，可根据各行业的业务数据特征和分类分级规范，提供行业模板。通过自主创新研发的敏感数据识别技术，全面、快速、准确发现和定位敏感数据，构建持续更新的企业敏感数据分类分级目录，自动化手段辅助大大降低了所需的工作量。

三、借助CASB，用户可以轻松敏捷的实现基于商用密码算法的免开发改造、面向服务侧的字段级数据存储加密，面向应用的动态脱敏服务。并能结合用户对敏感数据做访问审计,有效防护内外部数据安全威胁，为企业云端数据提供安全、合规、极简的数据加密解决方案。

分享结束后，想要对《个保法》深入了解的听众也发来了一些问题：

Q：已合法取得数据的成果归属问题，在《个保法》里有没有相关的约定，延伸下来该如何考虑？

A1： 首先从欧盟GDPR的逻辑来看，以下三类个人信息数据，都是属于用户个人的数据：

1. 用户直接提供的数据。即用户主动输入的账号或者身份证号。

2. 企业服务过程中生成的数据。例如用户的网页浏览记录、音乐APP听歌记录等。

3. 企业成果。比如企业的用户画像，非企业提供和生成，而是基于企业的算法或者本身技术得出的一些新数据。

而《个人信息保护法》中，对于合法取得和授权范围内的数据，企业有一定的知识产权。而从数据归属问题看来，数据究竟属于企业还是个人？答案比较复杂。根据目前个保法的要求来看，该类个人数据在充分告知和用户同意的情况下是可以使用的。

A2：《个人信息保护法》中有相关规定。首先，是否需要授权、以及归谁所有，前提需要确定该数据是否为个人信息。如果企业生成出来的数据，无法标示出个人的身份或行为，则归个人信息处理者所有，如果可以标识出来且属于个人信息，归个人所有。 从技术处理上来讲，如果已经进行匿名化处理的信息则不属于个人信息，归个人信息处理者所有。

Q：在数据安全能力不足或者是支撑措施不足的情况下，企业如何更好的做to C、to B的安全，是不是有最佳实践？

A：首先法规还是要遵守，没有什么躲避条款要求的建议。

有一个比较典型的是分类分级，很多企业提到分类分级就头疼，这些东西太难。如果精力不够可以粗暴地分成几类，中敏感、高敏感，一级数据、二级数据，这样简单分也可以。对自己的数据有一定的认识，业务部门在使用的时候知道触碰的是几级数据，总比之前没有做分类分级强。按业务条线、场景、还是按照国家的要求分四级、五级都可以。

其实，数据安全是企业安全，更是国家安全。可以说，腾讯安全的数据安全保护能力很好契合了《个保法》这一事实，并非一时兴起奔赴潮流后的误打误撞，而是在安全领域沉浮20余年的实际经验，让他们抓住了数字化发展中的历史机遇。

腾讯安全设计云数据安全中台的出发点，也是希望能协助企业更加轻松、快捷地完成数据本源的安全防护工作，从而改善企业数据安全的大生态，由点及面，助力大数据时代下的我国实现真正的国泰民安。