滴滴被罚80.26亿！大数据时代，企业如何做好个人信息保护合规建设？
7月21日，国家互联网信息办公室依据《网络安全法》《数据安全法》《个人信息保护法》《行政处罚法》等法律法规，对滴滴全球股份有限公司处人民币80.26亿元罚款，对滴滴全球股份有限公司董事长兼CEO程维、总裁柳青各处人民币100万元罚款。这不仅是国家网信办开出的最高罚单，也是全球数据隐私保护领域迄今为止最高罚单。
经国家网信办调查，滴滴存在违法收集用户手机相册中的截图信息1196.39万条、过度收集用户剪切板信息、应用列表信息83.23亿条；过度收集乘客人脸识别信息1.07亿条、年龄段信息5350.92万条、职业信息1633.56万条、亲情关系信息138.29万条、“家”和“公司”打车地址信息1.53亿条等共计十六项违法事实。
近年来，随着互联网迅速发展，数据安全和侵犯个人信息事件频发，涉事企业往往因此陷入数据保护合规与社会舆情压力的双重危机。滴滴被罚事件不仅揭示国家对非法收集、利用个人信息的违法行为持零容忍的态度，也给各联网企业敲响警钟。
从《网络安全法》到《数据安全法》，再到2021年11月1日生效的《个人信息保护法》，中国迎来了个人信息保护及企业数据合规的新纪元，面对着持续更新出台的法律法规，建立适应大数据时代的个人信息保护合规体系，是企业亟待重视和解决的问题。现结合我们团队处理过的个人信息保护合规案例，为企业提供以下建议：
根据《个人信息保护法》规定，公民个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。在大数据时代，个人信息不仅包括姓名、身份证件号码、联系电话、住址、账号密码、财产状况等传统个人信息，还包括人脸、指纹、声纹、虹膜信息等生物识别信息。
拟定个人信息保护合规管理制度。《个人信息保护法》第五十二条规定，制定内部管理制度和操作规程是个人信息处理者的法定义务。因此，企业应当根据个人信息保护的法律法规变化和监管动态，建立健全并不断更新个人信息保护合规管理制度，并加强对员工的培训。
建立个人信息保护机构。《个人信息保护法》第五十二条明确规定，处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人，负责对个人信息处理活动以及采取的保护措施等进行监督。可见，设立个人信息保护机构并明确负责人是个保法对一定规模的个人信息处理者做出的强制性规定。
依法进行个人信息保护影响评估（PIA）。PIA是对企业个人信息处理行为的合法合规程度进行核查，进行风险评估的过程。《个人信息保护法》中第五十五条及第五十六条规定，在处理敏感个人信息，利用个人信息进行自动化决策，委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息，向境外提供个人信息等情形时，个人信息处理者应当进行个人信息影响评估，且评估报告和处理情况记录应当至少保存三年。
除上述措施外，个人信息处理者应当加强风险监测，制定个人信息安全事件应急机制以应对数据泄露突发情况，同时，应定期对个人信息保护合规机制的合理性、可行性、有效性等进行审计、评估等。
依据《个人信息保护法》第四条规定，匿名化处理后的信息不属于个人信息。若企业能够将采集、接收到的个人信息进行匿名化处理，则其提供、传输、存储经匿名化处理后的个人信息数据的行为，将不会违反《个人信息保护法》的规定。国内已有专门的技术公司拥有匿名化处理技术的专利，可以为企业提供技术支持。
个人信息的处理行为已经成为数据时代企业经营中难以避免的一环，在立法执法越来越严格和公民个人信息保护意识开始觉醒的大背景下，企业应尽快做好个人信息合规建设。
本文仅代表作者个人观点，不可将其视为中闻律师事务所及其律师出具的正式法律意见或结论。如需转载或引用文章中的任何内容，请邮件联系我们：bd@zwlawyer.com；如您有意就该议题进一步交流或探讨，欢迎在公众号后台留言。
ZHONGWEN
合伙人 陈尔怡
● 北京市中闻律师事务所 律师
● 北京市中闻律师事务所 执委
● 业务领域：企业重整与清算，竞争与贸易救济，数据合规，环境保护、能源与自然资源，争议解决
ZHONGWEN
张滢 律师
● 北京市中闻律师事务所 律师
● 业务领域：争议解决，娱乐传媒，数据合规