強化網絡運營商數字化轉型依法合規管理

□ 文 薛興華

全面數字化轉型為網絡運營商帶來嶄新發展機遇的同時，也引發一系列合規問題，企業面臨前所未有的法律風險和嚴峻挑戰。在數字化轉型的過程中，合規建設和風險防控已成為當務之急，在疫情防控常態化情形下，需要認真研判外部法治環境和數字化轉型對合規管理的新要求，通過深化依法合規管理體系建設，實現合規管理組織體系健全、制度體系完備、工作流程規范、管控措施到位，聚焦助力企業數字化轉型和高質量發展。

1.個人信息的保護范圍。《民法典》適應互聯網、大數據時代對信息通信權利保護的需要，是指導網絡運營商依法數字化轉型的指南，對運營商具有重大影響?！睹穹ǖ洹访鞔_規定：個人信息是以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人的各種信息，包括自然人的姓名、出生日期、身份證件號碼、生物識別信息、住址、電話號碼、電子郵箱、健康信息、行蹤信息等。國家針對個人信息泄露和濫用的問題，加快立法完善個人信息保護的法律制度。備受全社會關注的《個人信息保護法草案》已經提請十三屆全國人大常委會第二十二次會議審議；全國信息安全標準化委員會已制定發布《個人信息安全規范》《大數據服務安全能力要求》等國家標準。

2.建立內部安全管理制度。網絡運營商掌握大量數據信息，在開發產品處理個人信息中，承擔著保護個人信息安全的責任和義務，需要依照法律法規和國家標準的

一、健全數據信息安全合規管理制度

網絡運營商全面數字化轉型，面臨全新商業模式的變革、全新的業務流程再造、全新營商環境和法治環境的適應，企業的依法合規和風險防控顯得十分突出，比任何時候都需要法律的支撐服務，傳統的法務管理方式面臨挑戰，依法合規管理制度建設具有舉足輕重的作用。強制性要求，建立健全企業內部個人信息安全管理制度。包括個人信息處理文檔化管理制度、個人信息分級授權管理機制、個人信息安全風險等級評估制度、個人信息安全事件應急機制等。

3.加強關鍵崗位人員權限管控。針對用戶數據信息管理的重要崗位、重點領域環節，建立健全崗位職責，加強關鍵崗位人員權限管控，形成集事前防范、事中控制和事后救濟于一體的閉環管控機制，切實把控用戶數據信息收集和使用的合規行為。《網絡安全法》明確規定“網絡運營者收集、使用個人信息，應當遵循合法、正當、必要的原則?！边\營商在提供產品和服務時使用“用戶信息”關鍵要解決好合法性問題，主要通過依據法律規定、合同約定、授權同意等方式獲得。企業從業人員、外包人員必須通過法律培訓、考試上崗，對關鍵崗位人員工作權限、賬號權限進行嚴格管控，簽訂安全保密協議和依法合規行為承諾書，確立嚴禁非法提供、出售用戶信息的法律紅線。

4.健全內控制度管理流程。網絡運營商應當將“用戶信息收集和使用審查”納入企業內部控制制度管理流程，使大數據各項業務流轉活動互相聯系、互相制約及程序流轉規范。內控環節的責任確保遵循所有相關適用的法律規范，未遵循相關適用的法律規范，導致用戶信息泄露、法律訴訟、經濟損失及被司法行政機關查處等風險事件，對于違法違規行為當事人按照相關規定進行追責。

5.終止使用后的處理。在個人信息終止使用后，應當停止對個人信息進行收集和使用，并提供注銷號碼或賬號的服務；不得泄露、篡改、毀損、出售或者非法向他人提供個人信息。

二、依法承擔數據信息安全的合規義務

合規義務包括對法律法規的遵守、對企業內部規章制度的遵守、對商業道德和社會責任的遵守等。網絡運營商承擔著數據安全、數據脫敏處理、數據跨境流動、網絡信息內容生態治理和關鍵信息基礎設施運營者主體責任五個方面的合規義務。

1.確保數據信息的安全。一是重視數據信息安全保障?；跀祿畔踩雷o手段和措施能力不足，突出表現為數據處理不規范，在對外合作中提供未脫模的數據；缺乏安全管控制度流程，對收集的用戶數據未在內網處理，造成數據泄露風險事件；對資質和能力審查不嚴，使用存在漏洞的第三方開源程序，數據安全無法保障。二是嚴控數據信息使用范圍。運營商應當建立數據安全管理責任制度，制定標識賦碼、科學分類、風險分級、安全審查規則，確保國家關鍵信息基礎設施的自主可控、穩定安全。在新冠疫情防控常態化下，個人信息迅速傳播轉發，醫療數據和個人信息泄露、超范圍使用較普遍，未經被收集者同意公開個人信息常發生，保護數據信息安全的任務十分繁重。三是防止數據信息泄露、毀損、丟失。在大數據產品開發的數據交易中，必須高度重視數據安全和信息泄露的法律風險管控，確保其收集的個人信息安全，防止數據信息泄露、毀損、丟失，防范因違規承擔的法律責任。

2.嚴格實行數據脫敏處理。數據脫敏是指對用戶個人敏感信息通過脫敏規則進行數據的變形，實現敏感隱私數據的可靠保護，可以直接幫助企業實現依法合規使用，有效防范個人敏感信息泄露的風險。網絡運營商在數據產品開發和對外使用過程中，對于經用戶個人同意收集的信息，應當進行脫敏處理，隱去用戶名稱、號碼、IP地址等可以直接指向或對應到用戶個人身份的信息。在數據產品開發應用領域，大量存在著諸如手機號碼、交易記錄、通話記錄、賬戶信息、住址信息、征信需求等個人敏感信息，在使用過程中面臨著嚴格的監管要求，承擔著有效保護的法律責任。數據脫敏實施規則主要有兩種情況：一是網絡運營商和互聯網公司自身需要，量身定制適合自己的數據脫敏工具，在使用用戶個人信息敏感數據進行用戶行為分析、個性化推薦、精準營銷等分析應用時，必須采取數據脫敏手段。二是為了大數據產品開發應用的需要，網絡運營商利用掌握的用戶個人信息數據，通過數據脫敏處理這一關鍵環節提供給合作伙伴及相關客戶，并將數據安全解決方案一起提供給客戶。

3.加強數據跨境流動的管控。由于各國對個人數據信息保護標準不一致，造成數據在全球范圍內不受限制地流動，缺乏安全可信的在線環境，將導致數據隱私和網絡信息安全法律風險加大，加強管控責任重大。數字經濟快速發展在加速個人數據全球流通和融合的同時，卻形成數據的黑色產業鏈，離境數據被惡意利用和買賣的現象頻發，很多網絡攻擊和網絡犯罪都是跨國、跨境行為。我國《網絡安全法》提出個人信息和重要信息的流動實施本地化存儲和管理的原則，需要跨境流動須要進行安全審評，并報相關部門批準。

4.關注網絡信息內容的生態治理。國家互聯網信息辦公室發布的《網絡信息內容生態治理規定》，明確網絡生態治理的對象是網絡信息內容，主要涉及內容生產者、內容服務平臺和內容服務使用者等三類主體，重點規范了三類主體及網絡行業組織的權利與義務。作為制作、復制、發布網絡信息內容的組織或者個人，應當遵守法律法規，遵循公序良俗，特別是網絡信息內容服務平臺企業應當履行信息內容管理主體責任。作為使用網絡信息內容服務的組織或者個人，應當按照法律法規的要求和用戶協議約定，切實履行相應的法律義務，對網上的違法和不良信息內容有義務以投訴、舉報等方式行使監督權。

5.關鍵信息基礎設施運營商的特殊義務。《網絡安全法》在具體實施中關鍵信息基礎設施保護是核心內容之一，網絡運營商亟需構建關鍵信息基礎設施保障體系，加強合規體系建設，承擔主體責任義務。中央網絡安全和信息化委員會正在研究制定《國家關鍵信息基礎設施安全保護條例》，將從法規上建立關鍵信息基礎設施的保護主體責任和管理制度。關鍵信息基礎設施履行的安全保護義務，包括設置專門安全管理機構和安全管理負責人，并對該負責人和關鍵崗位的人員進行安全背景審查；制定網絡安全事件應急預案，采取數據分類、重要數據備份和加密等措施；制定內部安全管理制度和操作規程，確定網絡安全負責人，落實網絡安全保護責任等 。

三、嚴格用戶個人信息使用的制度流程

認真遵循法律法規關于保護個人信息安全保護的相關規定，合理界定提供數據信息的范圍，嚴格執行網絡運營商的制度流程，做到依法合規，重點把握好以下五點：

1.對外提供應當依法取得用戶個人的同意。用戶個人同意的方式可以在與網絡運營商的《業務服務協議》中事先約定，也可以另行取得同意或通過短信方式同意。

2.明確提供用戶個人信息的使用限制。一是網絡運營商對外合作提供的必須是脫敏數據信息，合作伙伴負有保密義務，不得以任何方式提供給第三方使用。二是網絡運營商通過對用戶個人信息進行收集和脫敏處理、加工后形成數據分析報告等交付件或成果，對此享有使用權和知識產權，在與合作伙伴簽訂的合同中應當明確權利歸屬。三是征信機構作為特定數據信息提供方，需要特別關注征信機構的資質情況。征信機構有權對企業、事業單位等組織的信用信息和個人的信用信息進行采集、整理、保存、加工，并向數據信息使用者提供。

3.加強對外合作合同的合法性審查。針對數據信息的收集、加工、存儲、分析、利用和對外提供而開展的經營活動，必須重視對外合作合同的合法性審查。一是合同重要條款包括：嚴格審查對方資質資信條件和技術方案；要求合作方遵循相關信息安全管理的辦法和大數據流程，接受考核；重視侵權處理，對于合作方發展大數據業務引發的用戶投訴或侵權糾紛等，要求具備能夠妥善處理的能力；明確約定個人信息數據的使用范圍及用途對象，防止數據被非法用于其他途徑或被泄露的責任追究等。二是對外提供匿名化個人信息合同，應當審查合作方的個人信息安全保護措施、能力和水平，與合作方書面約定該個人信息為匿名化個人信息，要求其不得嘗試復原匿名化信息的可識別性。三是認真評估拓展數據信息業務涉及到的法律關系，推出的數字業務做到法律審查全覆蓋，依法制定涉及關鍵數據的用戶信息和個人隱私的保護方案。

4.規范社會代理商的用戶信息管理和查詢行為。一是網絡運營商有義務幫助社會代理商員工開展依法合規教育，普及用戶信息保護的政策法規要求。社會代理商對用戶信息負有安全保密責任，除非法律規定或者征得運營商書面同意，社會代理商及代理網點不得向第三方提供、披露或泄露相關用戶個人數據信息。二是在簽訂社會代理商合作合同時，必須明確約定違規違法泄露用戶信息的法律責任和賠償內容，加大對社會代理商用戶信息保護工作的考核管理。運營商與外包服務供應商簽訂服務協議時，需要明確其保護個人客戶信息的職責和保密義務，明確個人客戶信息泄露的補救手段與責任追究，保證個人客戶信息安全的承諾和措施。三是外包協議終止后，需要監督外包服務供應商及時銷毀因外包業務而獲得的個人客戶信息。與外包服務供應商簽訂的保密協議（保密條款），需要明確約定外包服務供應商的保密義務不因外包服務的終止而終止。

5.法定機構的用戶信息查詢。網絡運營商需要分清查詢“一般用戶信息”和“用戶通信內容”所對應的不同法定機構再進行配合調查。司法機關調取和查詢用戶數據和通話內容等信息，實行法定原則，是法律法規賦予的權利。我國現行法律法規有權查詢“一般用戶信息”的有公安機關、檢察機關、國家安全機構、人民法院、監察機關、政府價格主管部門、政府統計機構和國務院證券監督管理機構等法定機構。公安機關、檢察機關、國家安全機構和監察機關等四個法定機構有權對短信內容、通話記錄等涉及用戶通信秘密的“用戶通信內容”進行查詢的，且只能因為法律規定的事由進行查詢，并按照規定程序進行。

法定機構的用戶信息查詢需要把握的幾點：一是防止泄露用戶信息和侵犯用戶隱私。網絡運營商向無權查詢的國家機關提供查詢或向有權查詢的國家機關超范圍提供查詢，將會面侵犯用戶通信自由和通信秘密的風險。二是避免被查詢司法機關的處罰。網絡運營商無正當理由拒絕向有權查詢的國家司法機關提供查詢信息，例如《民事訴訟法》第114條規定可對其主要負責人或者直接責任人員予以罰款；對仍不履行協助義務的，可以予以拘留。三是調取用戶信息必須符合法定原則。人民法院在調取個人電子信息和數據時，必須確保公民隱私權不受非法侵害，區分一般個人信息與通信內容的個人隱私?！侗O察法》第十八條規定，監察機關及其工作人員對監督、調查過程中知悉的國家秘密、商業秘密、個人隱私，應當保密。

四、強化業務服務協議個人信息保護的審查

重視用戶協議內容約定和個人信息保護條款審查是確保運營合規的基礎。運營商涉及到使用和提供用戶個人信息的，必須在與用戶簽訂的《業務服務協議》中明確雙方相關權利和義務?！稑I務服務協議》應當包含五個方面內容：

1.網絡運營商對通過辦理業務獲得的用戶個人資料和信息數據負有保密義務，工作人員泄露客戶個人信息的屬于違法行為。法定機關依法對個人客戶資料和信息數據調查取證的，運營商有義務配合。

2.通過格式條款取得用戶個人書面授權或同意的，應當在授權書或協議中明確適用的向第三方提供個人客戶信息的目的、范圍、內容等，在協議的醒目位置明確提示該授權或同意的可能產生后果。

3.網絡運營商可以使用用戶資料和通信數據，但僅限于為建立與用戶溝通渠道、改善服務工作質量或業務營銷等用途，并負有保密義務。

4.用戶應當按照協議約定的時間和方式及時、足額交納通信費用；客戶不交納通信費用的，運營商可以采取信函、電話、訴訟或委托第三方等形式進行追欠，也可按照有關規定向銀行等征信機構提供用戶欠費信息。

5.關注網絡運營商免責條款，因第三人違法犯罪行為（包括但不限于通過改號軟件等實施網絡詐騙）或其他網絡運營商無法控制的意外情況，給用戶個人造成直接或間接損失的，運營商不承擔賠償責任。

五、建立與行政司法機關溝通機制

網絡運營商應當加強與司法及行政部門的交流溝通，爭取更多的法律支持和業務指導。根據《民法典》和網絡信息安全新法律法規的實施及立法動向，網絡運營商應當與司法及行政部門建立正常的溝通聯系機制。針對可能發生和已經出現的法律風險重點領域，定期舉行分析研討會，解讀數字轉型發展涉及的新政策和新法律規定，剖析典型案例暴露出企業依法合規方面存在的漏洞及需要改進的方面。在溝通中及時了解和掌握法院司法審判動態、行政保護原則、政府部門監管要求，有效防范和化解數字轉型業務運營中的法律風險，確保數字轉型發展的依法合規。

總之，互聯網和數字經濟時代，努力構建依法合規管理科學體系，建立健全有效的法律風險防范機制，有助于網絡運營商在構建新的運營管理體系和數字業務商業模式中處理好各種法律關系，促進數字化轉型的健康發展。