关于数据共享,应着重关注的风险问题有:
基于不同的场景,分析共享情形导致的合规义务区别;
识别与共享第三方的关系,确定双方数据保护的权利和责任。
委托场景下,要确保在信息主体授权同意范围内委托。评估委托本身是否存在信息泄露风险。评估受托方,确保其足够的数据安保能力。委托过程中持续监督受托方的信息安全工作,并在侵权(风险)发生时及时补救。
共同控制场景下,将与第三方责任约定明确告知信息主体。
在使用第三方工具场景下,要对该工具进行技术评估,确定其是否具有直接或间接收集个人信息的能力。如SDK能收集个人信息,明示用户并就敏感信息征得同意;持续监督第三方工具是否存在违法或违约收集用户信息的行为。
脱敏信息的管理和控制,区分不同脱敏数据性质,控制信息安全和合规风险。
三、建议梳理
针对如上新型电商数据合规重点问题,建议企业在电商化转型时,应重点关注以下合规工作要点:
环节
主要问题
合规要点
数据收集
有无个人信息收集规则,规则呈现形式及内容详尽程度是否符合当前个人信息保护相关法律法规要求以及监管实践(当前的电商平台多数以APP/小程序等线上形式呈现,部分新零售模式下的电商业务还需注意线下场景中授权同意的取得);
是否已取得用户授权同意,是否针对不同的应用场景满足相应的授权同意要求(例如拼团型、分销型电商平台内将用户数据用于市场营销场景时的明示同意);
是否遵循最小必要原则收集个人信息(电商因类型、模式较多,因此各平台的功能不同,例如导购型平台与直销型平台的服务及功能存在较大差异,平台是否根据自身业务需要而收集个人信息)。
根据电商的类型特质,结合自身的商业模式和业务特点制定个性化的隐私政策,保证规则内容和呈现形式的合规性、获取用户授权同意的合规性等。
数据使用
是否按照法律规定及与用户的约定(个人信息收集处理规则)等如实使用所收集的个人信息,未超出约定范围使用;
对于画像分析、个性化展示等高风险使用场景,是否满足相应的合规要求(电商业务中,用户需求、浏览习惯、搜索偏好等特征尤为重要,画像分析和个性化展示是常见的数据使用场景);
是否存在非法交易数据等违法使用场景(电商平台现有模式下,流量和数据更是重要资源,容易引发非法牟利行为)。
超范围收集个人信