从GDPR到PIPL,留给国际品牌的时间不多了

2022-06-20 18:15:00 来源: 硬核科技

去年,我国《数据安全法》、《个人信息保护法》(PIPL)相继实施,与《网络安全法》共同形成了数据合规领域的“三驾马车”。越来越多的企业开始关注自身的数据安全与合规性,考察数据平台、分析工具及其他常用第三方数据产品——时至今日,伴随着法律法规的不断健全,仅仅“观望”已并不足够。面对数据安全合规的要求,主动出击成为了他们的选择。

据悉,2022开年以来,许多外企向老牌咨询公司发出了“数据合规评估”的招标邀约,要求对企业内数字化产品和数据相关行为进行全面诊断。

除了信息主体的权利、信息处理者义务等必备维度,更常见于国际品牌经营中的问题也接踵而至:

“怎么判断个人信息数据有没有跨境流动?”“继续使用之前的跨境分析工具违法吗?”“如何评估数据服务商是否合规?”

没错,响应中国境内的法律法规要求,实现数据安全合规,已成为外企尤其是直面消费者的国际品牌“本土化”的硬要求之一。

而在外企对安全合规的众多担忧中,“数据出境”的讨论显得尤为关键。

去年11月,个保法(PIPL)正式实施,其覆盖范围不仅包括“在中华人民共和国境内处理自然人个人信息的活动”,也包括了在境外处理中国境内自然人个人信息的活动,具体包含“以向境内自然人提供产品或者服务为目的”,及“分析、评估境内自然人的行为”等情形。同时,与《数据出境安全评估办法(征求意见稿)》呼应,“处理个人信息达到国家网信部门规定数量的个人信息处理者,应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的,应当通过国家网信部门组织的安全评估。”

除此之外,《个人信息和重要数据出境安全评估办法(征求意见稿)》《网络安全法》《信息安全技术 数据出境安全评估指南(征求意见稿)》等法规也做出相应要求。

某国际品牌Digital部门负责人表示,曾就“数据出境”、“个人信息”等问题与法务部门进行探讨。“一直以来,大部分外企都是用的某国外厂商的跨境分析工具,但其实他们在中国境内并没有数据中心,这意味着我们以后如果继续使用这个产品,收集的用户行为数据最终会存储在境外,也就涉及数据出境的问题。”

我国法律中涉及数据出境合规的要求,目前主要集中在“个人信息”和“重要数据”两类。“理论上,跨境工具会采用‘假名化的Cookie ID’、‘IP地址匿名化’等方式力图保证合规,并在合同中明文规定禁止向其发送个人身份信息,但法务也为我们暴露了风险。”她解释到,“目前在实际操作过程中,我们可能很难确保采集的用户数据、标签等符合PIPL中定义的‘非个人信息’。而且我们无法确定当假名化的User-ID和系统元数据等数据交叉时,它是否仍符合‘不能被识别到个人’的要求。”

尝试主动报批使其合规,是一种解法。

个保法的第三十八条对个人信息数据出境的条件进行了清晰阐释:

“个人信息处理者因业务等需要,确需向中华人民共和国境外提供个人信息的,应当具备下列条件之一:(一)依照本法第四十条的规定通过国家网信部门组织的安全评估;(二)按照国家网信部门的规定经专业机构进行个人信息保护认证;(三)按照国家网信部门制定的标准合同与境外接收方订立合同,约定双方的权利和义务;(四)法律、行政法规或者国家网信部门规定的其他条件。”

然而,截至本文发布,据悉,相关安全评估尚未开始组织,专业机构及相关认证动作也尚未披露,标准合同也还未面世。

近日,国家市场监督管理总局、国家互联网信息办公室决定开展数据安全管理认证工作,鼓励网络运营者通过认证方式规范网络数据处理活动,加强网络数据安全保护。这或许可视为“开始”的行动之一,但总体来说,PIPL中规定的有关“个人信息数据出境”条件,还难以落地。

虽然个保法尚未针对企业的自我整改划下”死线“,但对于企业而言,等待第一个警告下罚再去行动,显然风险过大。

更多的外企已开始寻求“替代产品”。

“所有数据合法地存储在中国境内”,这只是最低限度的要求。

个人信息数据采集合规,数据全生命周期安全,未成年人信息保护,数据主体的撤回权与删除权……个保法、《数据安全法》等一系列法律法规的要求引起了绝大多数企业的重视,他们希望不仅符合个别条款,更能从整体视角审视企业的“数据安全合规”。

一家常驻某国际集团、为其提供数字化转型咨询服务的顾问企业谈到,“去年7月,因不符合GDPR的要求,亚马逊被卢森堡数据保护委员会开出7.46亿欧元罚单;今年2月,法国国家信息与自由委员会(CNIL)表示,一家本地网站使用Google Analytics提供的服务,违反了GDPR,责令其一个月内改进。海外的例子在前,这些都是外企可能面临的风险。”

博般数据

当然,类似的“替代产品”必须两条腿走路,一条腿是“足够安全合规”,另一条腿是“与原产品同等甚至更好用”。

据悉,国内知名的数据分析厂商们已陆续开始行动。

近日,国内分析云领军者、一站式增长服务商GrowingIO的创始人张溪梦在对媒体的访谈中表示:“我们的产品升级已经完成。”

他谈到,GrowingIO的数据分析平台(UBA)的数据采集符合《数据安全法》、个保法要求,数据传输、存储全流程加密,且支持本地化部署,数据不出境。同时,从其他数据分析工具迁移到GrowingIO,迁移成本和实施成本低,无需重新埋点即可切换。

而谈及GrowingIO数据产品的独特优势,张溪梦介绍:“我们支持全域数据的采集融合,包括所有框架开发的APP、小程序和网页等等,更贴近我们国家用户常用小程序等功能的习惯,也能支持多种业务诉求,可以灵活地完成画像构建、活动分析等动作。另外,我们有100多人的本地售后服务团队,专为及时响应全国各地企业客户的需求。”

博般数据

数据安全合规要求为力求本地数字化的国际品牌们开辟了新的“战场”。为夺取更多机会,国内的数据分析厂商们摩拳擦掌,跃跃欲试。

而我们可以预见的是,在这场长期战役中,最终的胜者或并不是产品功能“最卷的”,而是最为企业解忧、在不确定性中依旧能帮助企业找到增长机会的服务商。