专题二十二 数据合规尽调
一句话
数据合规尽调不是查“有没有隐私政策”，是查“这些数据从哪来、放在哪、给了谁、出了境没有、出事谁负责”。
数据合规与传统尽调最大的不同：传统尽调看的是“纸面权利”（证照、合同、登记），数据合规看的是“实际处理行为”（系统怎么采集、数据流向哪里、谁能访问）。纸面合规而实际违规，是这个领域最普遍的状态。
数据合规尽调的四条主线
| 主线 | 回答的问题 | 对应法规 |
|---|---|---|
| 数据从哪来 | 收集是否合法、有没有告知同意、有没有超范围 | 个人信息保护法 |
| 数据怎么用 | 使用目的是否原始目的、有没有自动化决策、有没有共享 | 个人信息保护法、数据安全法 |
| 数据放在哪 | 存储地点、存储期限、安全措施、是否出境 | 数据安全法、网络数据安全管理条例 |
| 出事怎么办 | 应急预案、泄露通知、合规审计、责任划分 | 数据安全法、个人信息保护法 |
查什么
第一组：业务与数据映射
- 业务线清单
- 每条业务线涉及的数据类型（用户数据、交易数据、设备数据、位置数据、生物识别数据、金融账户数据、健康医疗数据）
- 数据来源（用户主动提供、自动采集、第三方购买、合作方共享、公开渠道获取）
- 数据流向（内部系统之间、关联方、第三方服务商、境外）
- 数据角色（处理者、共同处理者、受托处理者）
这一步是整个尽调的基础。没有数据地图，后面的核查都是空的。
第二组：个人信息处理的合法性
- 处理的合法性基础（同意、订立履行合同所必需、履行法定职责或义务、应对突发公共卫生事件、公共利益、已公开的个人信息、法律行政法规规定的其他情形）
- 告知的内容（处理者身份、处理目的、处理方式、信息种类、保存期限、行使权利的方式）
- 同意的取得方式（明示、单独、书面、可撤回）
- 敏感个人信息的单独同意
- 未成年人个人信息的监护人同意
- 自动化决策的告知与拒绝选项
- 个人权利的响应机制（查阅、复制、更正、删除、转移）
第三组：数据安全
- 数据分类分级制度
- 重要数据目录（是否识别、是否申报）
- 安全管理机构与负责人
- 安全管理制度
- 技术措施（加密、脱敏、访问控制、日志审计、备份）
- 权限管理（谁能访问哪些数据）
- 安全培训
- 风险评估（重要数据处理者应定期开展）
- 应急预案与演练
- 数据泄露的处置与通知
第四组：数据出境
- 是否有数据出境（含向境外提供、境外访问）
- 出境的类型（个人信息、重要数据）
- 出境的路径（安全评估、标准合同、认证、豁免）
- 出境的数量（人数、条数）
- 出境的接收方
- 是否属于关键信息基础设施运营者
第五组：数据资产与交易
- 数据来源的合法性（是否有权持有、使用、交易）
- 数据产品的权属约定
- 数据交易的合同条款
- 是否存在侵犯他人权益的风险（如爬取的数据、未经授权的数据）
第六组：监管与争议
- 网络安全、数据安全、个人信息保护的行政处罚
- App 违规通报（工信部、网信办的通报）
- 数据相关的诉讼、仲裁
- 用户投诉、举报
- 数据泄露事件
怎么查
第一步：画数据地图
这是最花时间但最重要的一步。方法：
- 拿业务流程图，标出每个环节产生的数据
- 拿系统清单，标出每个系统存储的数据
- 拿第三方服务商清单，标出数据共享的去向
- 拿服务器与云服务清单，标出数据存储地点
输出一张表：
| 数据类型 | 来源 | 存储位置 | 使用目的 | 共享对象 | 是否出境 | 保存期限 |
|---|
第二步：查隐私政策与实际的差距
这是最容易发现问题的地方。做法：
- 读隐私政策，列出它声称的收集范围、使用目的、共享对象
- 抓取 App 或网站的实际数据采集行为（用抓包工具或第三方检测工具）
- 比对：实际采集的是否超出隐私政策声明的范围
常见的不一致：
- 隐私政策没写，但实际采集了通讯录、位置、设备信息
- 隐私政策写了“不会共享给第三方”，但实际有 SDK 在回传数据
- 隐私政策写的保存期限是“必要期限”，但没有具体的删除机制
第三步：查第三方 SDK
App 里嵌入的第三方 SDK 是数据合规的重灾区。要看：
- SDK 清单（名称、提供方、功能）
- 每个 SDK 收集什么数据
- SDK 的隐私政策
- 是否在 App 的隐私政策中披露
- SDK 是否在用户同意前就开始收集
第四步：查数据出境
按《促进和规范数据跨境流动规定》判断：
| 情形 | 是否需要申报 |
|---|---|
| 国际贸易、跨境运输、学术合作、跨国生产制造、市场营销中不含个人信息或重要数据 | 豁免 |
| 境外收集的数据传输至境内处理后再出境（来数加工），未引入境内个人信息或重要数据 | 豁免 |
| 为订立、履行合同所必需 | 豁免 |
| 按依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理 | 豁免 |
| 紧急情况下为保护自然人的生命健康和财产安全 | 豁免 |
| 非关键信息基础设施运营者，自当年 1 月 1 日起累计向境外提供不满 10 万人个人信息（不含敏感个人信息） | 豁免 |
| 关键信息基础设施运营者向境外提供个人信息或重要数据 | 必须申报安全评估 |
| 向境外提供重要数据 | 必须申报安全评估 |
| 非 CIIO，累计提供 100 万人以上个人信息或 1 万人以上敏感个人信息 | 必须申报安全评估 |
| 非 CIIO，累计提供 10 万人以上不满 100 万人个人信息（不含敏感个人信息） | 标准合同或认证 |
| 非 CIIO，累计提供不满 1 万人敏感个人信息 | 标准合同或认证 |
自贸试验区有负面清单制度的，按负面清单执行。
第五步：查合规审计
《个人信息保护合规审计管理办法》（国家互联网信息办公室令第 18 号，2025 年 5 月 1 日施行）第四条规定：处理超过 1000 万人个人信息的个人信息处理者，应当每两年至少开展一次个人信息保护合规审计。注意门槛是 1000 万人，不是 100 万人——这个数字容易记错，而它决定了客户要不要做审计。
要看：
- 是否达到 100 万人的门槛
- 是否开展了合规审计
- 审计发现的问题是否整改
第六步：查历史处罚
- 网信办的行政处罚
- 工信部的 App 通报（侵害用户权益的 App 名单）
- 公安部门的处罚
- 市场监管部门的处罚（消费者权益）
App 被通报是重要信号。连续被通报的，说明整改不到位。
现行规则
三部基础法律
- 《网络安全法》（2017 年 6 月 1 日施行）：网络运行安全、网络信息安全、监测预警与应急处置
- 《数据安全法》（2021 年 9 月 1 日施行）：数据分类分级、重要数据保护、数据安全审查、数据出口管制
- 《个人信息保护法》（2021 年 11 月 1 日施行）：处理规则、跨境提供、个人权利、处理者义务、法律责任
配套法规
- 《网络数据安全管理条例》（2025 年 1 月 1 日施行）：细化数据分类分级、个人信息处理、重要数据、数据跨境、平台责任
- 《促进和规范数据跨境流动规定》（2024 年 3 月 22 日施行）：明确豁免情形与门槛
- 《数据出境安全评估办法》（2022 年 9 月 1 日施行）
- 《个人信息出境标准合同办法》（2023 年 6 月 1 日施行）
- 《个人信息保护合规审计管理办法》（2025 年 5 月 1 日施行）
- 《App 违法违规收集使用个人信息行为认定方法》
- 《常见类型移动互联网应用程序必要个人信息范围规定》
关键义务
| 义务 | 触发条件 | 依据 |
|---|---|---|
| 制定隐私政策 | 处理个人信息 | 个保法第 17 条 |
| 取得同意 | 基于同意处理 | 个保法第 13、14 条 |
| 单独同意 | 处理敏感个人信息、向他人提供、公开、跨境、公共场所图像采集用于其他目的 | 个保法第 23、25、26、29、39 条 |
| 个人信息保护影响评估 | 处理敏感个人信息、自动化决策、委托处理/提供/公开、跨境 | 个保法第 55 条 |
| 合规审计 | 处理超过 1000 万人个人信息 | 合规审计办法第四条 |
| 数据出境申报 | 达到门槛 | 数据出境规定 |
| 重要数据风险评估 | 处理重要数据 | 数据安全法第 30 条 |
| 泄露通知 | 发生泄露、篡改、丢失 | 个保法第 57 条 |
常见坑
坑一：隐私政策与实际不符。 政策写“不收集位置信息”，实际 App 一启动就要定位权限。
坑二：同意前就采集。 用户还没点“同意”，SDK 已经开始上报设备信息。这是“未经同意收集”。
坑三：捆绑同意。 把隐私政策同意和用户协议同意捆在一起，用户不同意就不能用。这是“以捆绑方式取得同意”。
坑四：敏感个人信息没有单独同意。 人脸、指纹、金融账户、行踪轨迹、健康医疗，都属于敏感个人信息，要单独同意。
坑五：第三方 SDK 没披露。 App 里嵌了十几个 SDK，隐私政策里一个都没写。
坑六：数据出境没走合规路径。 用了境外服务器、境外 SaaS、境外客服系统，数据实际出境了，但没做安全评估、没签标准合同。
坑七：误判豁免。 以为“我们只是用了境外云服务”就属于豁免，实际上要看数据的类型和数量。
坑八：重要数据没识别。 不知道自己处理的是不是重要数据。重要数据要按行业主管部门的目录识别。
坑九：没有删除机制。 用户注销账号后，数据还在；或者“删除”只是标记删除，实际还在数据库里。
坑十：自动化决策没告知。 用算法给用户画像、定价、推荐，没有告知，也没有提供拒绝选项。
坑十一：未成年人信息没保护。 收集了不满十四周岁未成年人的信息，没有取得监护人同意，没有制定专门的处理规则。
坑十二：数据爬取的合法性。 从其他平台爬取数据，可能违反《反不正当竞争法》、可能侵犯个人信息权益、可能构成非法获取计算机信息系统数据罪。
坑十三：数据交易的权属瑕疵。 买来的数据，卖方没有处分权；或者数据本身是非法收集的。
坑十四：合规审计没做。 处理超过 1000 万人个人信息，没有按规定每两年做一次合规审计。
行业差异
互联网平台：用户量大、数据类型多、SDK 多、算法推荐、平台内经营者数据。合规压力最大。
金融：金融账户信息属于敏感个人信息，监管要求最严（人民银行、金融监管总局的专门规定）。
医疗健康：健康医疗数据属于敏感个人信息，且可能构成重要数据。要看人类遗传资源管理、医疗数据出境。
汽车：车联网数据、地理信息数据，涉及测绘法、汽车数据安全管理规定。重要数据出境限制严格。
教育：未成年人信息保护是重点，要看《未成年人网络保护条例》。
跨境电商/外贸：数据出境是核心问题，要看是否属于豁免情形。
人力资源服务：员工个人信息、招聘数据，要看跨境人力资源管理的豁免适用。
WorkBuddy 怎么接
指令一：隐私政策与实际采集比对
以下是公司的隐私政策全文，以及第三方检测工具抓取的实际数据采集行为清单（采集项、采集时机、是否在用户同意前采集、是否在隐私政策中披露）。请逐项比对：①隐私政策声明的收集范围是否覆盖实际采集项；②有没有实际采集但未披露的；③有没有在同意前就采集的；④有没有超范围采集（如与业务无关的通讯录、位置）。逐项列出。
产出：隐私政策与实际采集的差异表。
判断：比对它能做，但“这项采集是否属于业务必需”要你按《常见类型移动互联网应用程序必要个人信息范围规定》判断。
指令二：SDK 清单与披露核对
以下是 App 集成的第三方 SDK 清单（名称、提供方、功能、收集的数据类型）和隐私政策中关于第三方共享的披露内容。请核对：①每个 SDK 是否在隐私政策中披露；②披露的收集范围与 SDK 实际收集的是否一致；③有没有 SDK 在用户同意前初始化。列出未披露或不一致的 SDK。
产出：SDK 披露核对表。
判断：核对它能做，但“这个 SDK 收集的数据是否必要”要你判断。
指令三：数据出境情形判断
以下是公司的数据处理情况：数据类型（是否含个人信息、敏感个人信息、重要数据）、数据量（人数）、接收方所在国家/地区、出境方式（境外服务器、境外 SaaS、境外关联方访问）、是否为关键信息基础设施运营者。请按《促进和规范数据跨境流动规定》判断：①是否属于豁免情形（逐项对照六种豁免）；②如不属于豁免，应走哪条路径（安全评估、标准合同、认证）；③是否达到申报门槛。
产出：数据出境合规路径判断。
判断：判断它能做，但“这些数据是不是重要数据”要你按行业主管部门的目录判断，且“人数怎么统计”要你按口径核算。
指令四：合规义务清单生成
以下是公司的业务类型、用户规模、数据类型（是否含敏感个人信息）、是否处理重要数据、是否数据出境。请生成一份数据合规义务清单，逐项列明：①适用的法规；②具体义务；③是否已履行；④未履行的风险。按义务的强制性排序。
产出：合规义务清单。
判断：清单它能生成，但“这项义务是否适用”要你结合具体业务判断——比如“处理超过 1000 万人”的门槛，要看是累计还是实时。
自检
- [ ] 数据地图画了吗？每条业务线的数据来源、流向、存储都清楚吗？
- [ ] 隐私政策与实际采集行为比对过吗？
- [ ] 第三方 SDK 清单有吗？都披露了吗？
- [ ] 敏感个人信息有单独同意吗？
- [ ] 未成年人信息有监护人同意吗？
- [ ] 自动化决策有告知和拒绝选项吗？
- [ ] 数据出境判断了吗？走合规路径了吗？
- [ ] 重要数据识别了吗？
- [ ] 数据安全制度、负责人、技术措施到位吗？
- [ ] 个人信息保护影响评估做了吗？
- [ ] 合规审计做了吗（处理超过 1000 万人时每两年一次）？
- [ ] 有没有被网信办、工信部通报、处罚？
- [ ] 数据来源合法吗？有没有爬取、买卖数据？
- [ ] 用户注销后的删除机制有吗？