Page 128 - 企业合规管理体系建设研究

R 企业合规管理体系建设研究
esearch on the Construction of Enterprise Compliance Management System

方案时应参考行政执法机关制定的相关数据规范以及司法机关所制定的规范性文
件的基本精神。除此之外，司法机关会通过司法解释或者发布指导性案例的方式
对数据安全合规作进一步规范。另外，有效性是数据安全合规标准最重要的要求，
应将该原则贯穿数据处理的各个环节。

2. 流程体系化原则
数据安全合规标准应涵盖制订、适用和复盘的全过程。在制订环节，体系化
原则要求数据安全合规标准必须具备完整性、可操作性以及专业性，并且数据处
理者在进行参考以及后续落实的环节中还可以根据明确的标准，再结合本领域的

特定业务与实际情况，作出符合自身发展的调整。在适用环节：一方面，必须为
数据处理者的领导层知悉并重视；另一方面，数据安全合规作为合规业务的重要
领域，需要建立专门的合规部门并投入充足的人力和物力资源，运用专业的数据
安全合规技术手段来执行合规要求。在复盘检验环节，要求各部门员工在经过专

业合规培训之后，可以通过处理各个环节中的数据，防范数据安全风险，确保实
现数据闭环管理。
3. 手段必要限制原则
数据安全合规有效标准建设应当遵循数据处理中的手段必要限制原则。以

企业数据处理为例，企业在收集、使用用户数据实现其功能需求时，应采用对
用户限制最少，同时也是最必要的手段进行。该原则的目的在于防止企业过度收
集、运用和处理数据，造成不必要的成本支出和风险，同时避免给用户带来过多
限制。为了贯彻这一原则，数据安全合规标准需要从定性和定量两个方面考量。

对于定性的要求，企业收集的数据应与其业务密切相关，并且在必要的情况下进
行。企业首先应当对数据进行分类和风险评估，根据数据的敏感程度和风险等级
确定数据收集的必要性和关联性。对于定量的要求，企业应充分衡量其实际收集、
使用的数据规模和真实需求之间的比例平衡问题，不得对个人信息超量收集、

存储。
4. 风险管理原则
在建立数据安全合规标准时，应当遵循风险管理原则。风险管理和控制是数
据安全的重要内容。首先，企业应当对不同的数据安全风险进行评估和分类，并

采取相应的风险控制措施。对于敏感数据和关键数据，企业应采取更加严格的安
全措施，防止数据泄漏或被恶意篡改。其次，对数据收集、存储、传输等不同环

116