數據合規和個人信息保護在這兩年備受關注，隨著工信部自2019年起對APP侵害用戶權益專項整治行動的開展和諸多社會事件的發酵，數據合規和個人信息保護引起了越來越多的關注和重視。筆者會通過梳理當前的主要法規、政策、案例及事件，就企業如何進行數據合規和個人保護以專題的形式通過系列文章逐漸展開，本文將理清基本的架構和概念。

一、立法及監管發展

2013年的《電信和互聯網用戶個人信息保護規定》就個人信息的收集和使用規范以及企業需要采取的安全保障措施作出專章規定，其中確定的大部分原則延續至今。

2017年，《網絡安全法》開始實施，該法作為網絡安全領域的第一部法律，在網絡運行安全和網絡信息安全方面提出了數據保護和個人信息保護的要求；同年，最高法、最高檢就侵犯公民個人信息罪發布了《侵犯公民個人信息刑事案件適用法律若干問題的解釋》，細化和明確了該罪的一些概念和標準。

2018年，歐盟GDPR的出臺在國際上引發熱議的同時，也促進了我國在數據立法和監管上步伐的加快；2019年初，工信部、網信辦、公安部、市場監管總局共同以一則《開展APP違法違規收集使用個人信息專項治理的公告》啟動了持續到現在的專項整治行動；2019年底，幾個部門又聯合發布了《APP違法違規收集使用個人信息行為認定方法的通知》，對認定APP違法違規收集使用個人信息行為進行了列舉，并成為監管執法工作的參考。

2020年10月1日，市場監督總局和國家標準委員會聯合發布了GB/T35273-2020《信息安全技術個人信息安全規范》，從數據處理全流程的活動原則和安全要求上作出全面規定。

2021年1月1日實施的《民法典》則是從基本法律的高度上明確了個人信息受法律保護。2021年8月1日，最高院《關于審理使用人臉識別技術處理個人信息相關民事案件適用若干問題的規定》成為第一個針對特定個人信息（人臉）保護作出的司法解釋。

本月底《個人信息保護法》將迎來第三次審議；2021年9月1日，確立數據安全及治理基本框架的《數據安全法》即將實施；2022年1月1日，《深圳經濟特區數據條例》將開始實施。

另外，公安部2019年發布的《互聯網個人信息安全保護指南》、信標委2020年7月發布的《網絡安全標準實踐指南——移動互聯網應用程序(APP)收集使用個人信息自評估指南》、9月發布的《網絡安全標準實踐指南——移動互聯網應用程序(APP)個人信息保護常見文集及處置指南》也是經常被提及和參考的一些文件。

從主要的法規、監管政策發布實施時間來看，自2019年起，數據合規和保護逐漸進入到強監管的時代。上述提到的文件，共同構筑了當下數據合規的監管框架。

二、基本概念——兩個誤區的闡明

(一) 數據、個人信息與隱私信息

很多人談到數據合規會有一個誤解，認為數據合規就是保護個人信息，保護個人信息就是保護個人隱私，保護個人隱私就是寫一份長長的隱私政策。實則不然。從法律中抽離數據、個人信息/數據、隱私的概念之后，可以看到三者之間存在著包含和被包含的邏輯。

數據是任何以電子或者其他方式對信息的記錄。個人信息是能夠單獨或者與其他信息結合識別特定自然人的各種信息，對特定自然人的識別是個人信息最核心的特點。隱私信息則是個人信息中的一部分，與個人的私人生活安寧、不愿為他人知曉的私密空間、私密活動、私密信息密切相關；需要特別提出的是，雖然很多隱私信息與敏感信息重合，但是二者并不能等同，隱私和敏感信息是在不同法律下或場景下的不同術語。

(二) 數據合規與個人信息保護

第二個常見的誤區，就是在談論數據合規的時候誤認為就是個人信息處理合規，除了前一個誤區下對數據和個人信息范圍的理解錯誤之外，對合規所包含的行為也比較片面。

《數據安全法》《個人信息保護法（草案第二次審議稿）》《深圳經濟特區數據條例》均是從安全和處理兩個方面分別作出規定。數據安全是指通過采取必要措施，確保數據處于有效保護和合法利用的狀態，以及具備保障持續安全狀態的能力；而數據處理，則是數據“從生到死”全流程的各個階段，包括數據的收集、存儲、使用、加工、傳輸、提供、公開等。數據安全和數據處理共同推進、相互作用，才能構建起完整的數據保護和數據合規。

基于當前主要的監管重點、案例焦點以及數據安全方面的內部性，大家談論的內容大多聚焦于數據處理的合規層面，尤其是數據中的個人數據處理。后續兩篇文章中筆者會先后探討數據處理和數據安全，敬請關注。