2023-04-18
在“立题篇”中，杨律师提出，《反电信网络诈骗法》与数据合规有着千丝万缕的联系。
③事后协助义务。主要体现在三个方面：一是互联网服务提供者应当为公安机关办理诈骗案件依法调取证据提供技术支持和协助。二是在对涉诈信息、活动进行监测时，若发现犯罪线索或风险信息，互联网服务提供者还应将有关线索或信息移交给公安机关或行业主管部门，此与个人信息保护安全事件上报义务紧密联系。三是积极配合处置涉案资金、追赃挽损的同时，履行《个人信息保护法》的通知义务，将个人信息泄露情况通知个人有助于防止受影响个人被诈骗。
在“破题篇”中，杨律师通过展示电信网络诈骗典型案例，呈现常见企业数据合规体系的薄弱环节，将问题源头对准个人信息非法获取。
⑤独善其身远远不够，合规要求需传导辐射。此主要强调对可能接触个人信息的第三方的合规管理要求。以实践中常见的委托第三方日常运营系统场景为例，第三方相较于本公司能更直接、深入、全面接触、使用系统内数据，由第三方非法获取个人信息的风险较高。对此，从协议约束、权限管控、实质监督等方面加强第三方管理，系数据合规乃至反电诈义务落实的重点工作。
在“解题篇”中，杨律师提出，反电信诈骗措施并未超出现有数据合规体系的要求，但需进行针对性、精准化的调整，建议从以下三个角度适配已有数据合规体系：
组织措施包括三个方面：一是落实数据分类分级工作，其中适当提升对老人、孕妇、残疾人、低保人群等电诈常见侵害对象的个人信息的定级；二是规范业务流程，梳理关键岗位，落实责任到人；三是设置反电信网络诈骗内控机制，包括管理组织体系及制度建设。
技术措施包括三个方面：一是加强身份认证机制建设，强化权限管控，防止内部泄露；二是落实数据加密，尤其是特殊群体个人信息及关键个人信息；三是落实日志记录，有助于事后追查。
C端用户管理：一方面是在高风险账户识别方面，在履行最小必要和目的限定原则的基础上允许企业通过大数据分析建立风控模型；另一方面，通过隐私政策设置及行权响应机制建设，实现涉诈信息处理标准化。
形式合规承诺：通过制定并加入数据交互责任条款方式，明确第三方在数据交互场景下的数据合规责任，包括承诺数据来源合法合规（第三方作为数据提供方）；将数据处理目的场景控制在协议约束范围内（第三方作为数据接收方）等。
实质合规审查：在与第三方开展数据交互合作前，应对第三方数据安全能力及本项目开展的合规风险予以评估。
应对数据安全事件：及时响应并做好影响评估及止损处置，同时积极落实监管部门上报、数据主体通知义务。
配合反诈执法调查：积极配合执法调查，协助对涉诈用户、涉诈资金及时、合理处置。
唯有切题，方可解题。探寻“反电诈”背景下企业数据合规体系构建的“解题之道”，关键系透析《反电信网络诈骗法》在数据安全方面之合规要义，聚焦当下电信网络诈骗针对数据保护链条之突破缺口，在企业现有数据合规体系基础上吸纳、兼容反电诈义务之重点抓手。
在“立题篇”中，杨律师提出，《反电信网络诈骗法》与数据合规有着千丝万缕的联系。
③事后协助义务。主要体现在三个方面：一是互联网服务提供者应当为公安机关办理诈骗案件依法调取证据提供技术支持和协助。二是在对涉诈信息、活动进行监测时，若发现犯罪线索或风险信息，互联网服务提供者还应将有关线索或信息移交给公安机关或行业主管部门，此与个人信息保护安全事件上报义务紧密联系。三是积极配合处置涉案资金、追赃挽损的同时，履行《个人信息保护法》的通知义务，将个人信息泄露情况通知个人有助于防止受影响个人被诈骗。
在“破题篇”中，杨律师通过展示电信网络诈骗典型案例，呈现常见企业数据合规体系的薄弱环节，将问题源头对准个人信息非法获取。
⑤独善其身远远不够，合规要求需传导辐射。此主要强调对可能接触个人信息的第三方的合规管理要求。以实践中常见的委托第三方日常运营系统场景为例，第三方相较于本公司能更直接、深入、全面接触、使用系统内数据，由第三方非法获取个人信息的风险较高。对此，从协议约束、权限管控、实质监督等方面加强第三方管理，系数据合规乃至反电诈义务落实的重点工作。
在“解题篇”中，杨律师提出，反电信诈骗措施并未超出现有数据合规体系的要求，但需进行针对性、精准化的调整，建议从以下三个角度适配已有数据合规体系：
组织措施包括三个方面：一是落实数据分类分级工作，其中适当提升对老人、孕妇、残疾人、低保人群等电诈常见侵害对象的个人信息的定级；二是规范业务流程，梳理关键岗位，落实责任到人；三是设置反电信网络诈骗内控机制，包括管理组织体系及制度建设。
技术措施包括三个方面：一是加强身份认证机制建设，强化权限管控，防止内部泄露；二是落实数据加密，尤其是特殊群体个人信息及关键个人信息；三是落实日志记录，有助于事后追查。
C端用户管理：一方面是在高风险账户识别方面，在履行最小必要和目的限定原则的基础上允许企业通过大数据分析建立风控模型；另一方面，通过隐私政策设置及行权响应机制建设，实现涉诈信息处理标准化。
形式合规承诺：通过制定并加入数据交互责任条款方式，明确第三方在数据交互场景下的数据合规责任，包括承诺数据来源合法合规（第三方作为数据提供方）；将数据处理目的场景控制在协议约束范围内（第三方作为数据接收方）等。
实质合规审查：在与第三方开展数据交互合作前，应对第三方数据安全能力及本项目开展的合规风险予以评估。
应对数据安全事件：及时响应并做好影响评估及止损处置，同时积极落实监管部门上报、数据主体通知义务。
配合反诈执法调查：积极配合执法调查，协助对涉诈用户、涉诈资金及时、合理处置。
唯有切题，方可解题。探寻“反电诈”背景下企业数据合规体系构建的“解题之道”，关键系透析《反电信网络诈骗法》在数据安全方面之合规要义，聚焦当下电信网络诈骗针对数据保护链条之突破缺口，在企业现有数据合规体系基础上吸纳、兼容反电诈义务之重点抓手。
京ICP备05019364号-1 
京公网安备110105011258