个人数据流通利用中的数据合规问题
个人数据的价值较高，同时对合规性要求较高。在合规前提下促进个人数
据流转对数据要素市场发展意义重大。无论是精准服务还是风控，个人数
据均有众多应用场景，产生巨大效益。
本文将从个人信息流通利用的监管导向、企业处理个人信息的合规义务、个人信息主体的权利、个人信息流通利用的主要场景以及合规难题与建议等方面，对个人数据流通利用中的数据合规问题进行深入探讨。
一、个人信息流通利用的监管导向
在数字经济时代背景下，个人数据的开发利用具有巨大的经济价值和社会意义。然而，如何在保障个人隐私权益的同时，促进个人数据的合法、安全、有序流通，成为监管部门面临的重要课题。
国家数据局在《2024年研究课题征集公告》中，明确提出了关于个人数据开发利用的权益保护和市场机制研究。这要求在符合《网络安全法》、《数据安全法》、《个人信息保护法》以及《数据安全管理条例》等法律法规的基础上，研究个人数据价值化的路径和实现机制，构建完善的市场服务体系，并探索开展个人数据空间等数据流通使用新模式。
二、企业处理个人信息的合规义务
企业作为个人数据的主要处理者，承担着保护个人信息安全的重要责任。根据《个人信息保护法》等法律法规，企业在处理个人信息时需遵循以下基本原则和合规义务：
合法、正当、必要原则：
企业处理个人信息必须具有合法、正当的目的，且仅限于实现该目的所必需的最小范围。
目的明确与最小必要原则：
企业在收集和处理个人信息时，必须明确告知信息主体处理的目的、方式和范围，并确保收集的信息是实现目的所必需的最小数据集。
公开透明原则：
企业应公开其个人信息处理规则，并以显著方式、清晰易懂的语言向信息主体进行告知。
信息质量与安全原则：
企业应确保处理的个人信息准确、完整，并采取必要的安全技术措施保护个人信息安全，防止信息泄露、毁损或丢失。
特殊个人信息的保护：
对于敏感个人信息和未成年人个人信息，企业应获得单独同意，并采取更为严格的保护措施。
跨境提供的限制：
企业在向境外提供个人信息时，需满足特定条件，并通过个人信息保护认证等机制确保跨境传输的安全性。
三、个人信息主体的权利
《个人信息保护法》赋予个人信息主体一系列权利，以保障其在个人信息处理过程中的知情权和选择权。这些权利包括：
知情权：
信息主体有权了解个人信息被收集、使用的目的、方式和范围。
查询、复制权：
信息主体有权查询、复制其个人信息。
更正、补充权：
信息主体有权要求更正、补充不准确的个人信息。
撤回同意权：
信息主体有权撤回对个人信息处理的同意，企业应及时停止处理相关信息。
可携带权：
在符合一定条件下，信息主体有权要求其个人信息在不同企业间转移。
删除权：
在特定情况下，信息主体有权要求删除其个人信息。
拒绝自动化决策权：
信息主体有权拒绝仅通过自动化决策方式作出的决定，特别是对其权益产生重大影响的决定。
诉讼权：
当信息主体的合法权益受到侵害时，有权向人民法院提起诉讼。
四、个人信息流通利用的主要场景
个人数据在多个领域具有广泛的应用场景，包括但不限于：
自动化决策：
通过计算机程序自动分析个人行为习惯、兴趣爱好等特征，进行精准营销、个性化推荐等。
风险控制：
在金融、医疗等领域，利用个人数据进行风险评估和欺诈检测，保障交易安全和服务质量。
集团化管理：
在集团企业内部，通过共享个人信息实现资源整合和协同效应，但需遵守严格的合规要求。
数据交易：
通过数据交易所等平台，将脱敏、去标识化后的个人数据作为产品进行交易，促进数据流通和价值实现。
五、合规难题与建议
在个人数据流通利用过程中，企业面临着诸多合规难题，主要包括：
告知-同意路径的局限性：
个人用户触达难、获取同意成本高，导致企业在实际操作中难以完全依赖告知-同意路径。
去标识化和匿名化的挑战：
去标识化后的信息仍属于个人信息范畴，需满足告知-同意规则；匿名化标准不明确，难以实现完全的数据保护。
跨境传输的合规性：
个人信息的跨境传输需满足严格的法律条件，企业在实际操作中面临诸多挑战。
针对以上合规难题，提出以下建议：
完善告知-同意机制：
通过隐私政策更新、弹窗提示等方式，提高用户触达率和同意效率；探索差异化告知-同意路径，针对不同类型的数据处理行为采取不同的同意方式。
推动匿名化技术发展：
明确匿名化的技术标准和法律界定，鼓励企业采用先进的匿名化技术保护个人信息；建立匿名化数据流通的市场机制，促进匿名化数据的合法、安全流通。
加强跨境传输监管：
完善个人信息跨境传输的法律制度和监管机制，明确跨境传输的条件和程序；推动建立个人信息跨境传输认证机制，确保跨境传输的合法性和安全性。
构建数据合规体系：
企业应建立健全的数据合规体系，包括数据治理、数据安全管理、合规审计等方面；加强员工培训和意识提升，确保企业全员参与数据合规工作。
内容参考整理自：9月8日北京大学数据资产与企业数字战略研修班第五期课程授课老师江翔宇课件：《
数据资产入表合规及相关法律问题》，老师简介：上海市协力律师事务所高级合伙人、法学博士 江翔宇
